reCAPTCHA-Schlüssel für Websites erstellen

Sie können reCAPTCHA-Schlüssel erstellen, um Nutzerinteraktionen auf Ihren Webseiten zu prüfen.

reCAPTCHA-Schlüssel geben an, wie reCAPTCHA für eine Website konfiguriert ist. Die Konfiguration enthält wichtige Optionen, z. B. ob CAPTCHA-Aufgaben angezeigt werden sollen.

Hinweis

• Umgebung für Google Cloud Fraud Defense vorbereiten
• Sie benötigen die folgende Identity and Access Management-Rolle: reCAPTCHA Enterprise-Administrator (roles/recaptchaenterprise.admin).
• Wählen Sie den Schlüsseltyp aus, der für Ihren Anwendungsfall am besten geeignet ist.

reCAPTCHA-Schlüssel erstellen

Die Anzahl der reCAPTCHA-Schlüssel, die Sie für ein Google Cloud -Projekt erstellen können, ist nicht begrenzt. Am besten erstellen Sie einen reCAPTCHA-Schlüssel pro Website.

Wir empfehlen, separate reCAPTCHA-Schlüssel für Staging- und Produktionsumgebungen zu erstellen. Andernfalls riskieren Sie, dass die reCAPTCHA-Risikoanalyse mit Daten aus Ihrer Testumgebung verfälscht wird.

Cloud Console

1. Rufen Sie in der Google Cloud Console die Seite Google Cloud Fraud Defense auf.

   Zu Google Cloud Fraud Defense

2. Prüfen Sie, ob der Name Ihres Projekts in der Ressourcenauswahl oben auf der Seite angezeigt wird.

   Wenn Sie den Namen Ihres Projekts nicht sehen, klicken Sie auf die Ressourcenauswahl und wählen Sie Ihr Projekt aus.

3. Wählen Sie den Tab Keys aus.
4. Klicken Sie auf Schlüssel erstellen.
5. Geben Sie im Feld Anzeigename einen Anzeigenamen für den Schlüssel ein.
6. Wählen Sie als Anwendungstyp die Option Web aus.

   Der Abschnitt Domainliste wird angezeigt.

7. Zum Schutz des reCAPTCHA-Schlüssels für Ihre Domain und Subdomains müssen Sie den Ein/Aus-Button Domainbestätigung deaktivieren deaktivieren.

   Das Deaktivieren der Domainbestätigung ist ein Sicherheitsrisiko, da es keine Einschränkungen für die Website gibt. Ihr reCAPTCHA-Schlüssel kann also von jedem aufgerufen und verwendet werden.

8. Geben Sie den Domainnamen für Ihre Website ein:

   1. Klicken Sie im Abschnitt Domainliste auf Domain hinzufügen.
   2. Geben Sie im Feld Domain den Namen Ihrer Domain ein.

   3. Optional: Klicken Sie zum Hinzufügen einer zusätzlichen Domain auf Domain hinzufügen und geben Sie den Namen einer anderen Domain in das Feld Domain ein. Sie können bis zu 250 Domains hinzufügen.

      Bei Websites ist der reCAPTCHA-Schlüssel für die von Ihnen angegebenen Domains und Subdomains eindeutig. Sie können mehrere Domains angeben, wenn Sie Ihre Website von mehreren Domains bereitstellen. Wenn Sie eine Domain angeben (z. B. examplepetstore.com), müssen Sie die zugehörigen Subdomains (z. B. subdomain.examplepetstore.com) nicht angeben. Es kann bis zu 30 Minuten dauern, bis Änderungen an der Domainliste wirksam werden.

      Wenn Sie einen Schlüssel für mehr als 250 Domains verwenden möchten, klicken Sie auf den Ein/Aus-Button Domainbestätigung deaktivieren. Google Cloud Fraud Defense ignoriert dann die Domainliste. Sie müssen die Domainbestätigung selbst durchführen, indem Sie das Feld tokenProperties.hostname in den von Ihnen erstellten Bewertungen prüfen.

9. Führen Sie je nach Art des reCAPTCHA-Schlüssels, den Sie für Ihre Website erstellen möchten, die entsprechende Aktion aus:

Bewertungsbasierte reCAPTCHA-Schlüssel erstellen

Hinweis: Das Erstellen eines bewertungsbasierten Schlüssels ist die Standardoption in der Google Cloud Console.

1. Wenn Sie möchten, dass der punktebasierte Schlüssel mit Accelerated Mobile Pages (AMP) über die Komponente amp-recaptcha-input funktioniert, aktivieren Sie die Option Diesen Schlüssel für AMP-Seiten zulassen.

2. Wenn Sie für Ihre Nicht-Produktionsumgebung einen Wert angeben möchten, den der Schlüssel zurückgeben soll, wenn Bewertungen dafür erstellt werden, gehen Sie so vor:

   1. Klicken Sie auf Nächster Schritt (optional).
   2. Klicken Sie im Schritt „Weitere Einstellungen“ auf die Ein/Aus-Schaltfläche Erstellen Sie diesen Schlüssel nur zu Testzwecken?.
   3. Verwenden Sie den Schieberegler Wert festlegen, um einen Wert zwischen 0 und 1,0 anzugeben.
3. Klicken Sie auf Schlüssel erstellen.

Der neu erstellte Schlüssel wird auf der Seite reCAPTCHA-Schlüssel aufgeführt.

reCAPTCHA-Schlüssel für Kästchen erstellen

Wir raten davon ab, Kästchenschlüssel zu verwenden, da sie den Aufwand für den Nutzer erhöhen und die Genauigkeit nicht wesentlich verbessern.

1. Klicken Sie auf Nächster Schritt (optional).
2. Aktivieren Sie im Schritt „Weitere Einstellungen“ die Option Möchten Sie Aufgaben verwenden?. umschalten.
3. Wählen Sie die entsprechende Option für die Bestätigungssicherheit aus.

   Die Sicherheitsoption für die Identitätsbestätigung steuert die Wahrscheinlichkeit, mit der ein Nutzer zur Eingabe einer sekundären Identitätsbestätigung aufgefordert wird. Dabei werden Nutzer aufgefordert, Bilder basierend auf einer identifizierten Kategorie auszuwählen, z. B. die Bilder mit einem Motorrad oder Straßenspiegel.

   Wenn Sie den bestmöglichen Schutz vor Betrug wünschen, wählen Sie Hart aus.

   Wenn Sie Einfach auswählen, wird Nutzern die visuelle Aufgabe seltener angezeigt.

4. Wenn Sie für Ihre Nicht-Produktionsumgebung einen Wert angeben möchten, den der Schlüssel zurückgeben soll, wenn Bewertungen dafür erstellt werden, gehen Sie so vor:

   1. Klicken Sie auf den Schalter Erstellen Sie diesen Schlüssel nur zu Testzwecken?.
   2. Verwenden Sie den Schieberegler Wert festlegen, um einen Wert zwischen 0 und 1,0 anzugeben.
   3. Wählen Sie die entsprechende Option für Art der Identitätsbestätigung aus.
      • Bei Automatisch wird die Bestätigung manchmal angezeigt.
      • Bei Kein CAPTCHA wird keine Aufgabe angezeigt.
      • Bei Unlösbare Aufgabe werden die Bilder angezeigt, die Aufgabe wird aber nicht bestanden.
   4. Klicken Sie auf Schlüssel erstellen.

   Der neu erstellte Schlüssel wird auf der Seite reCAPTCHA-Schlüssel aufgeführt.

Richtlinienbasierte reCAPTCHA-Schlüssel für die Überprüfung erstellen

1. Klicken Sie auf Nächster Schritt (optional).
2. Aktivieren Sie im Schritt „Weitere Einstellungen“ die Option Möchten Sie Aufgaben verwenden?. umschalten.
3. Wählen Sie die entsprechende Option für die Bestätigungssicherheit aus.

   Mit der Sicherheitsoption für die Aufgabe werden die Komplexität und die Häufigkeit der CAPTCHA-Aufgaben festgelegt, die dem Nutzer angezeigt werden.

   Wenn Sie den bestmöglichen Schutz vor Betrug wünschen, wählen Sie Hart aus.

   Wenn Sie Einfach auswählen, werden Nutzer seltener mit weniger und weniger komplexen CAPTCHA-Aufgaben konfrontiert.

4. Wenn Sie für Ihre Nicht-Produktionsumgebung einen Wert für den Schlüssel angeben möchten, der zurückgegeben werden soll, wenn Bewertungen dafür erstellt werden, gehen Sie so vor:

   1. Klicken Sie auf den Schalter Erstellen Sie diesen Schlüssel nur zu Testzwecken?.
   2. Verwenden Sie den Schieberegler Wert festlegen, um einen Wert zwischen 0 und 1,0 anzugeben.
5. Wählen Sie den Schwellenwert für die Bewertung aus, ab dem CAPTCHA-Tests ausgelöst werden sollen. Dieser Wert gilt für alle Aktionen.
6. Klicken Sie auf Schlüssel erstellen.

Der neu erstellte Schlüssel wird auf der Seite reCAPTCHA-Schlüssel aufgeführt.

Admin-Konsole

1. Rufen Sie die Admin-Konsole für Google Cloud Fraud Defense auf.

   Zur Fraud Defense-Admin-Konsole

2. Geben Sie im Feld Label einen Namen ein, mit dem Sie Ihre Website identifizieren können.
3. Wenn Sie einen punktebasierten Schlüssel erstellen möchten, wählen Sie Punktebasiert (v3) aus. Wenn Sie einen Schlüssel für ein Kästchen erstellen möchten, wählen Sie Aufgabe (v2) aus.
4. Wenn Sie eine Domain hinzufügen möchten, geben Sie den Domainnamen ein und klicken Sie auf .

   Wenn Sie eine weitere Domain hinzufügen möchten, wiederholen Sie diesen Schritt. Sie können maximal 250 Domains hinzufügen.

5. Wenn Sie die Google Cloud Console zum ersten Mal verwenden, lesen Sie die Nutzungsbedingungen und setzen Sie ein Häkchen in das Kästchen.
6. Klicken Sie auf Senden.

Wenn Sie die Google Cloud Console zum ersten Mal verwenden, wird ein Google Cloud -Projekt erstellt und die erforderlichen APIs werden aktiviert, damit Sie loslegen können. Wenn Sie bereits ein Google Cloud Projekt haben, sind die erforderlichen APIs für Ihr Projekt aktiviert.

gcloud

Verwenden Sie zum Erstellen von reCAPTCHA-Schlüsseln den Befehl gcloud recaptcha keys create.

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

• INTEGRATION_TYPE: Art der Integration. Geben Sie je nach Schlüsseltyp die folgenden Werte an:
  • score für punktzahlbasierte Schlüssel.
  • checkbox für Kästchenschlüssel.
  • policy-based-challenge für richtlinienbasierte Challenge-Schlüssel.
  Hinweis: Wir raten davon ab, CHECKBOX zu verwenden, da dies den Aufwand für den Nutzer erhöht und die Genauigkeit nicht wesentlich verbessert. Weitere Informationen finden Sie in den FAQs.
• DISPLAY_NAME: Name für den Schlüssel. In der Regel der Name einer Website.
• DOMAIN_NAME: Domains oder Subdomains von Websites, die den Schlüssel verwenden dürfen.

  Geben Sie mehrere Domains als durch Kommas getrennte Liste an.

  Wenn Sie einen Schlüssel für mehr als 250 Domains verwenden möchten, geben Sie --allow-all-domains an, um die Domainbestätigung zu deaktivieren. Google Cloud Fraud Defense ignoriert dann die Domainliste. Sie müssen die Domainbestätigung selbst durchführen, indem Sie das Feld tokenProperties.hostname in den von Ihnen erstellten Bewertungen prüfen.

  Das Deaktivieren der Domainbestätigung ist ein Sicherheitsrisiko, da es keine Einschränkungen für die Website gibt. Ihr reCAPTCHA-Schlüssel kann also von jedem aufgerufen und verwendet werden.

  Hinweis: Der reCAPTCHA-Schlüssel ist für die von Ihnen angegebenen Domains und Subdomains eindeutig. Sie können mehr als eine Domain angeben, wenn Sie Ihre Website über mehrere Domains bereitstellen. Wenn Sie eine Domain angeben (z. B. examplepetstore.com), müssen Sie ihre Subdomains (z. B. subdomain.examplepetstore.com) nicht angeben. Es kann bis zu 30 Minuten dauern, bis Änderungen an der Domainliste wirksam werden.
• DEFAULT_SCORE_THRESHOLD: Bei richtlinienbasierten Abfrageschlüsseln wird hier der allgemeine Abfrageschwellenwert für den Schlüssel definiert, wenn kein benutzerdefinierter Schwellenwert für die Punktzahl festgelegt ist.
• ACTION_SCORE_THRESHOLDS: Bei richtlinienbasierten Challenge-Schlüsseln werden hier die Aktion und der entsprechende Schwellenwert zwischen 0,0 und 1,0 angegeben. Beispiel: login='{"scoreThreshold": "0.3"}',signup='{"scoreThreshold": "0.1"}'.
  Hinweis: In Bewertungen werden nur die endgültigen Punktzahlen zurückgegeben, die nach etwaigen Anfechtungen berechnet werden. Der von Fraud Defense berechnete anfängliche Wert wird mit dem Schwellenwert verglichen.

Führen Sie den Befehl gcloud recaptcha keys create aus:

Linux, macOS oder Cloud Shell

gcloud recaptcha keys create \
        --web \
        --display-name=DISPLAY_NAME  \
        --integration-type=INTEGRATION_TYPE \
        --domains=DOMAIN_NAME \

Windows (PowerShell)

gcloud recaptcha keys create `
        --web `
        --display-name=DISPLAY_NAME  `
        --integration-type=INTEGRATION_TYPE `
        --domains=DOMAIN_NAME `

Windows (cmd.exe)

gcloud recaptcha keys create ^
        --web ^
        --display-name=DISPLAY_NAME  ^
        --integration-type=INTEGRATION_TYPE ^
        --domains=DOMAIN_NAME ^

Die Antwort enthält den neu erstellten reCAPTCHA-Schlüssel.

REST

API-Referenzinformationen zu Schlüsseltypen und Integrationstypen finden Sie unter Schlüssel und Integrationstyp.

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• INTEGRATION_TYPE: Art der Integration. Geben Sie je nach Schlüsseltyp die folgenden Werte an:
  • SCORE für punktzahlbasierte Schlüssel.
  • CHECKBOX für Kästchenschlüssel.
  • POLICY_BASED_CHALLENGE für richtlinienbasierte Challenge-Schlüssel.
  Hinweis: Wir raten davon ab, CHECKBOX zu verwenden, da dies den Aufwand für den Nutzer erhöht und die Genauigkeit nicht wesentlich verbessert. Weitere Informationen finden Sie in den FAQs.
• DISPLAY_NAME: Name für den Schlüssel. In der Regel der Name einer Website.
• DOMAIN_NAME: Domains oder Subdomains von Websites, die den Schlüssel verwenden dürfen.

  Geben Sie mehrere Domains als durch Kommas getrennte Liste an.

  Wenn Sie einen Schlüssel für mehr als 250 Domains verwenden möchten, geben Sie --allow-all-domains an, um die Domainbestätigung zu deaktivieren. Google Cloud Fraud Defense ignoriert dann die Domainliste. Sie müssen die Domainbestätigung selbst durchführen, indem Sie das Feld tokenProperties.hostname in den von Ihnen erstellten Bewertungen prüfen.

  Das Deaktivieren der Domainbestätigung ist ein Sicherheitsrisiko, da es keine Einschränkungen für die Website gibt. Ihr reCAPTCHA-Schlüssel kann also von jedem aufgerufen und verwendet werden.

  Hinweis: Der reCAPTCHA-Schlüssel ist für die von Ihnen angegebenen Domains und Subdomains eindeutig. Sie können mehr als eine Domain angeben, wenn Sie Ihre Website über mehrere Domains bereitstellen. Wenn Sie eine Domain angeben (z. B. examplepetstore.com), müssen Sie ihre Subdomains (z. B. subdomain.examplepetstore.com) nicht angeben. Es kann bis zu 30 Minuten dauern, bis Änderungen an der Domainliste wirksam werden.
• DEFAULT_SCORE_THRESHOLD: Bei richtlinienbasierten Abfrageschlüsseln wird hier der allgemeine Abfrageschwellenwert für den Schlüssel definiert, wenn kein benutzerdefinierter Schwellenwert für die Punktzahl festgelegt ist.
• ACTION_SCORE_THRESHOLDS: Bei richtlinienbasierten Challenge-Schlüsseln werden hier die Aktion und der entsprechende Schwellenwert zwischen 0,0 und 1,0 angegeben. Beispiel: login='{"scoreThreshold": "0.3"}',signup='{"scoreThreshold": "0.1"}'.
  Hinweis: In Bewertungen werden nur die endgültigen Punktzahlen zurückgegeben, die nach etwaigen Anfechtungen berechnet werden. Der von Fraud Defense berechnete anfängliche Wert wird mit dem Schwellenwert verglichen.
• DEFAULT_SCORE_THRESHOLD: Bei richtlinienbasierten Abfrageschlüsseln wird hier der allgemeine Abfrageschwellenwert für den Schlüssel definiert, wenn kein benutzerdefinierter Schwellenwert für die Punktzahl festgelegt ist. Diese Funktion ist eine Vorabversion.
• ACTION_SCORE_THRESHOLDS: Bei richtlinienbasierten Challenge-Schlüsseln werden hier die Aktion und der entsprechende Schwellenwert zwischen 0,0 und 1,0 angegeben. Beispiel: login='{"scoreThreshold": "0.3"}',signup='{"scoreThreshold": "0.1"}'. Diese Funktion ist eine Vorabversion.
  Hinweis: In Bewertungen werden nur die endgültigen Punktzahlen zurückgegeben, die nach etwaigen Anfechtungen berechnet werden. Der von reCAPTCHA berechnete anfängliche Wert wird mit dem Schwellenwert verglichen.

HTTP-Methode und URL:

POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys

JSON-Text der Anfrage:

{
  "displayName": "DISPLAY_NAME",
  "webSettings": {
    "allowedDomains": "DOMAINS",
    "integrationType": "INTEGRATION_TYPE"
  }
}

Wenn Sie die Anfrage senden möchten, wählen Sie eine der folgenden Optionen aus:

curl

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt haben, die Sie automatisch in der gcloud-Befehlszeile anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"

PowerShell

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt haben. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content

Sie sollten eine JSON-Antwort ähnlich wie diese erhalten:

{
  "name": "projects/project-id/keys/6Ldqgs0UAAAAAIn4k7YxEB-LwEh5S9-Gv6IIWB8m",
  "displayName": "DISPLAY_NAME",
  "webSettings": {
    "allowAllDomains": false,
    "allowedDomains": [
      DOMAINS
    ],
    "allowAmpTraffic": false,
    "integrationType": "SCORE",
    "challengeSecurityPreference": "CHALLENGE_SECURITY_PREFERENCE_UNSPECIFIED"
  }
}

Hinweis: Nachdem Sie reCAPTCHA-Schlüssel erstellt haben, können Sie sie bearbeiten oder löschen. Gelöschte Schlüssel können nicht wiederhergestellt werden. Außerdem können Sie reCAPTCHA-Schlüssel nicht von einem Google Cloud Projekt in ein anderes migrieren.

(Optional) Geheimen reCAPTCHA-Legacy-Schlüssel finden

Wenn Sie eine Integration mit einer Drittanbieteranwendung oder einem CMS-Plug-in (Content-Management-System) wie WordPress oder Shopify vornehmen möchten, das nicht die reCAPTCHA Enterprise API verwendet, benötigen Sie einen Schlüssel, der der vom Plug-in unterstützten Version (v2 oder v3) entspricht, und den alten geheimen Schlüssel des Schlüssels. Weitere Informationen zum Prüfen der Schlüsselversion und zum Konfigurieren von CMS-Plug-ins finden Sie unter Terminologie der Admin-Konsole und der Google Cloud Console abgleichen.

Für jeden von Ihnen erstellten Websiteschlüssel erstellt reCAPTCHA einen geheimen reCAPTCHA-Legacy-Schlüssel (geheimer Legacy-Schlüssel), den Sie mit Ihrer Drittanbieteranwendung verwenden können.

Hinweis: Drittanbieteranwendungen oder ‑Plug-ins bezeichnen diesen geheimen Legacy-Schlüssel oft als privaten Schlüssel oder geheimen Schlüssel.

Wenn Sie den geheimen Schlüssel für einen reCAPTCHA Classic-Schlüssel benötigen, migrieren Sie den Schlüssel zu reCAPTCHA auf Google Cloud und suchen Sie den geheimen Legacy-Schlüssel.

Hinweis: Wir empfehlen, keinen Legacy-Secret-Key im Frontend zu verwenden, da er für Nutzer sichtbar ist und Angreifer Ihre Anwendung missbrauchen können.

So finden Sie den alten geheimen Schlüssel:

1. Rufen Sie in der Google Cloud Console die Seite Fraud Defense auf.

   Zu Fraud Defense

2. Wählen Sie den Tab Keys aus.

3. Suchen Sie im Abschnitt reCAPTCHA-Schlüssel nach dem von Ihnen erstellten reCAPTCHA-Schlüssel und klicken Sie darauf.

   

4. Rufen Sie auf der Seite Schlüsseldetails den Tab Integration auf und klicken Sie dann auf Legacy-Schlüssel verwenden oder Drittanbieterdienst oder Plug‑in einbinden. Ein Dialogfeld mit Ihrem geheimen Legacy-Schlüssel wird geöffnet.

   

Nächste Schritte

• Terminologie der Admin-Konsole und der Google Cloud Konsole abgleichen
• Auf Punktzahlen basierende Schlüssel auf Ihren Webseiten installieren
• Kästchenschlüssel auf Ihren Webseiten installieren
• Richtlinienbasierte Abfrageschlüssel auf Ihren Webseiten installieren