ウェブアプリで reCAPTCHA Enterprise を使用して App Check を使ってみる

このページでは、reCAPTCHA Enterprise プロバイダを使用して、ウェブアプリで App Check を有効にする方法について説明します。App Check を有効にすると、自分のアプリだけがプロジェクトの Firebase リソースにアクセスできるようになります。この機能の概要をご覧ください。

reCAPTCHA Enterprise は有料サービスですが、無料の使用量割り当てをご利用いただけます。App Check は、無料のサービスである reCAPTCHA v3 もサポートしています。reCAPTCHA v3 と reCAPTCHA Enterprise の違いについては、機能の比較をご覧ください。

App Check では reCAPTCHA Enterprise のスコアベースのサイトキーを使用しているため、ユーザーには表示されません。reCAPTCHA Enterprise プロバイダがユーザーに問題の解決を求めることはありません。

独自のカスタムプロバイダで App Check を使用する場合は、App Check カスタムプロバイダを実装するをご覧ください。

1. Firebase プロジェクトを設定する

Firebase を JavaScript プロジェクトに追加します（まだ行っていない場合）。
Cloud コンソールの [reCAPTCHA Enterprise] セクションを開き、次の操作を行います。
1. reCAPTCHA Enterprise API を有効にするよう求めるメッセージが表示された場合は、有効にします。
2. ウェブサイト タイプのキーを作成します。ウェブアプリをホストするドメインを指定する必要があります。[チェックボックスによる本人確認を使用する] オプションはオフのままにします。
Firebase コンソールで [App Check] セクションに移動し、reCAPTCHA Enterprise プロバイダで App Check を使用するようにアプリを登録します。前の手順で取得したサイトキーを指定する必要があります。

Firebase プロダクトで適用を有効にすると、プロダクトのバックエンドリソースにアクセスできるのは登録されているアプリのみとなるため、通常、プロジェクトのアプリすべてを登録する必要があります。
省略可: アプリの登録設定で、プロバイダが発行する App Check トークンにカスタム有効期間（TTL）を設定します。TTL は 30 分から 7 日までの任意の値に設定できます。この値を変更する場合は、次のトレードオフに注意してください。
- セキュリティ: TTL が短いほど、漏えいしたトークンや傍受されたトークンが攻撃者によって悪用される可能性が低減するため、セキュリティが向上します。
- パフォーマンス: TTL が短いほど、アプリで証明書の取得が頻繁に行われます。アプリで証明書が取得されるたびにネットワークリクエストのレイテンシが増加するため、TTL が短いと、アプリのパフォーマンスに影響する可能性があります。
- 割り当てとコスト: TTL を短くすると、証明書の取得が頻繁に発生し、割り当てが早く消費されます。有料サービスの場合は、費用が増加する可能性があります。割り当てと上限をご覧ください。
通常は、デフォルトの TTL（1 時間）で十分です。App Check ライブラリは TTL の約半分でトークンを更新します。

2. アプリに App Check ライブラリを追加する

ウェブアプリに Firebase を追加します（まだ行っていない場合）。必ず App Check ライブラリをインポートしてください。

3. App Check を初期化する

Firebase サービスにアクセスする前に、次の初期化コードをアプリケーションに追加します。Cloud コンソールで作成した reCAPTCHA Enterprise のサイトキーを activate() に渡す必要があります。

Web version 9

import { initializeApp } from "firebase/app";
import { initializeAppCheck, ReCaptchaEnterpriseProvider } from "firebase/app-check";

const app = initializeApp({
  // Your Firebase configuration object.
});

// Create a ReCaptchaEnterpriseProvider instance using your reCAPTCHA Enterprise
// site key and pass it to initializeAppCheck().
const appCheck = initializeAppCheck(app, {
  provider: new ReCaptchaEnterpriseProvider(/* reCAPTCHA Enterprise site key */),
  isTokenAutoRefreshEnabled: true // Set to true to allow auto-refresh.
});

Web version 8

firebase.initializeApp({
  // Your Firebase configuration object.
});

// Create a ReCaptchaEnterpriseProvider instance using your reCAPTCHA Enterprise
// site key and pass it to activate().
const appCheck = firebase.appCheck();
appCheck.activate(
  new firebase.appCheck.ReCaptchaEnterpriseProvider(
    /* reCAPTCHA Enterprise site key */
  ),
  true // Set to true to allow auto-refresh.
);

次のステップ

App Check ライブラリがアプリにインストールされたら、デプロイします。

更新されたクライアントアプリは、Firebase にリクエストを送信するたびに App Check トークンを送信しますが、Firebase コンソールの [App Check] セクションで適用を有効にするまで、Firebase プロダクトは有効なトークンを必要としません。

指標をモニタリングして適用を有効にする

ただし、適用を有効にする前に、既存の正規ユーザーを中断しないように対策を行う必要があります。一方、アプリリソースの不審な使用に気づいた場合は、すぐに適用を有効にすることもできます。

使用するサービスの App Check 指標を確認すると、この決定を行ううえで役立ちます。

Realtime Database、Cloud Firestore、Cloud Storage、Authentication（ベータ版）で App Check リクエストの指標をモニタリングする。
Cloud Functions で App Check リクエストの指標をモニタリングする。

App Check の適用を有効にする

App Check がユーザーに与える影響を理解し、続行する準備ができたら、App Check の適用を有効にします。

Realtime Database、Cloud Firestore、Cloud Storage、Authentication（ベータ版）で App Check の適用を有効にする。
Cloud Functions で App Check の適用を有効にする。

デバッグ環境で App Check を使用する

アプリを App Check に登録した後に、App Check が有効と分類しないアプリをローカルの開発環境や継続的インテグレーション（CI）環境などで実行する場合は、実際の証明書プロバイダの代わりに App Check デバッグプロバイダを使用するデバッグビルドをアプリに作成できます。

ウェブアプリのデバッグプロバイダで App Check を使用するをご覧ください。

費用に関する注意事項

App Check は、ウェブアプリを実行しているブラウザが App Check トークンを更新するたびに、ユーザーのレスポンストークンを検証するために、ユーザーに代わって評価を作成します。無料割り当て枠を超えて作成された評価ごとに、プロジェクトに課金されます。詳しくは、reCAPTCHA Enterprise の料金をご覧ください。

デフォルトでは、ウェブアプリはこのトークンを 1 時間に 2 回更新します。アプリで App Check トークンの更新頻度（つまり、新しい評価を作成する頻度）を制御するには、TTL を構成します。