Surveiller les métriques reCAPTCHA

Ce document décrit les métriques reCAPTCHA émises par Identity Platform suite à l'intégration d'Identity Platform à l'API reCAPTCHA Enterprise, et explique comment les afficher avec Cloud Monitoring.

Métriques reCAPTCHA

Après avoir configuré l'intégration d'Identity Platform à l'API reCAPTCHA Enterprise et, éventuellement, activé reCAPTCHA SMS Defense, vous pouvez surveiller les métriques reCAPTCHA émises par votre projet pour vous assurer que vos flux d'authentification sont protégés. Si le provisionnement de la clé reCAPTCHA échoue ou si les comptes de service requis n'ont pas été créés, l'authentification reCAPTCHA échoue et s'ouvre.

Si vous avez activé la protection contre les bots reCAPTCHA en mode audit pour les flux d'authentification par adresse e-mail et mot de passe, la surveillance des métriques reCAPTCHA vous aide à déterminer si vous pouvez activer l'application. Avant d'activer l'application, tenez compte des points suivants :

  • Si la majorité des requêtes récentes ont des jetons valides et que le ratio de verdicts PASSED par rapport à FAILED_AUDIT ou FAILED_ENFORCE est acceptable pour votre cas d'utilisation, envisagez d'activer l'application.
  • Si la majorité des requêtes récentes proviennent probablement de clients obsolètes, envisagez d'attendre que davantage d'utilisateurs mettent à jour leur application avant d'activer l'application. L'application de l'intégration d'Identity Platform à l'API reCAPTCHA Enterprise interrompt les versions d'application antérieures qui ne sont pas intégrées à reCAPTCHA.

Pour vous assurer que les fonctionnalités d'intégration fonctionnent comme prévu, vous pouvez examiner les métriques suivantes que votre projet émet vers Cloud Monitoring.

identitytoolkit.googleapis.com/recaptcha/verdict_count

Cette métrique suit les différents verdicts renvoyés par reCAPTCHA. Un verdict est généré si un jeton est présent. Vous pouvez filtrer les verdicts suivants :

  • PASSED : indique qu'une requête donnée est autorisée lorsque l'application est activée.
  • FAILED_AUDIT : indique qu'une requête d'authentification par adresse e-mail et mot de passe donnée serait refusée lorsque le mode d'audit reCAPTCHA est activé.
  • FAILED_ENFORCE : indique qu'une requête donnée est refusée lorsque l'application de reCAPTCHA est activée.
  • CLIENT_TYPE_MISSING : indique qu'une requête donnée ne comporte pas de type de client lorsque l'application de reCAPTCHA est activée. Cette erreur se produit généralement si une requête a été envoyée à l'aide d'une version obsolète du SDK client qui n'est pas compatible avec reCAPTCHA.
  • KEYS_MISSING : indique qu'une requête donnée ne peut pas être validée, car Identity Platform ne peut pas récupérer de clés reCAPTCHA valides lorsque l'application de reCAPTCHA est activée.

Pour modifier vos plages de scores afin de changer le ratio de verdicts de réussite/échec, consultez Activer la protection contre les bots reCAPTCHA.

identitytoolkit.googleapis.com/recaptcha/token_count

Cette métrique suit le nombre et l'état des jetons reCAPTCHA reçus par le backend Identity Platform. Vous pouvez filtrer les données en fonction des états suivants :

  • VALID : indique que le jeton reCAPTCHA transmis est valide.
  • EXPIRED : indique que le jeton reCAPTCHA transmis a expiré. Un jeton expiré peut indiquer des problèmes de réseau client ou un abus.
  • DUPLICATE : indique que le jeton reCAPTCHA transmis est un doublon. Un jeton en double peut indiquer des problèmes de réseau client ou un abus.
  • INVALID : indique que le jeton reCAPTCHA transmis n'est pas valide. Un jeton non valide peut indiquer un abus.
  • MISSING : indique que le jeton reCAPTCHA n'existe pas dans la requête donnée. L'absence de jetons peut indiquer que l'application cliente est obsolète.
  • UNCHECKED : indique que le jeton reCAPTCHA n'a pas été vérifié en raison de verdicts CLIENT_TYPE_MISSING ou KEYS_MISSING.

Si votre application a été déployée avec succès auprès des utilisateurs, vous verrez du trafic avec des jetons valides. Le nombre de jetons valides est probablement proportionnel au nombre d'utilisateurs qui utilisent votre application mise à jour.

identitytoolkit.googleapis.com/recaptcha/risk_scores

Cette métrique suit la distribution des scores reCAPTCHA. Cela peut vous aider à définir les plages de scores optimales pour votre configuration de protection contre les bots.

identitytoolkit.googleapis.com/recaptcha/sms_tf_risk_scores

Cette métrique suit la distribution des scores de risque de reCAPTCHA SMS defense pour un projet Identity Platform particulier. Cela peut vous aider à définir les plages de scores optimales pour votre configuration reCAPTCHA SMS defense.

Afficher les métriques reCAPTCHA

Pour afficher les métriques reCAPTCHA avec Cloud Monitoring, procédez comme suit :

  1. Dans la console Google Cloud , accédez à la page Explorateur de métriques.

    Accéder à l'explorateur de métriques

  2. Dans Sélectionner une métrique, saisissez Locataire Identity Toolkit. Si vous utilisez la mutualisation, vous pouvez afficher les métriques de chaque locataire, ainsi que celles du projet parent, en laissant tenant_name vide.

Étapes suivantes