יצירת מפתחות reCAPTCHA לאתרים

אתם יכולים ליצור מפתחות reCAPTCHA כדי לאמת אינטראקציות של משתמשים בדפי האינטרנט שלכם.

מפתחות reCAPTCHA מייצגים את אופן ההגדרה של reCAPTCHA באתר. ההגדרה כוללת אפשרויות חשובות, כמו הצגת אתגרי CAPTCHA.

לפני שמתחילים

• הכנת הסביבה ל-Google Cloud Fraud Defense.
• חשוב לוודא שיש לכם את התפקיד הבא בניהול זהויות והרשאות גישה: אדמין ב-reCAPTCHA Enterprise‏ (roles/recaptchaenterprise.admin).
• בוחרים את סוג המפתח שמתאים לתרחיש לדוגמה.

יצירת מפתח reCAPTCHA

אין הגבלה על מספר מפתחות reCAPTCHA שאפשר ליצור לפרויקט ב- Google Cloud . מומלץ ליצור מפתח reCAPTCHA אחד לכל אתר.

מומלץ ליצור מפתחות reCAPTCHA נפרדים לסביבות Staging וייצור. אחרת, אתם עלולים לזהם את ניתוח הסיכונים של reCAPTCHA עם נתונים מסביבת הבדיקה.

מסוף Cloud

1. נכנסים לדף Google Cloud Fraud Defense במסוף Google Cloud .

   כניסה ל-Google Cloud Fraud Defense

2. מוודאים ששם הפרויקט מופיע בבורר המשאבים שבראש הדף.

   אם שם הפרויקט לא מופיע, לוחצים על בורר המשאבים ובוחרים את הפרויקט.

3. לוחצים על הכרטיסייה Keys.
4. לוחצים על Create key.
5. בשדה Display name, מזינים שם לתצוגה של המפתח.
6. ב-Application type בוחרים באפשרות Web.

   הקטע רשימת דומיינים מופיע.

7. כדי להגן על מפתח reCAPTCHA של הדומיין ותת-הדומיינים, ודאו שהמתג Disable domain verification מושבת.

   השבתת אימות הדומיין היא סיכון אבטחה כי אין הגבלות על האתר, כך שכל אחד יכול לגשת למפתח reCAPTCHA ולהשתמש בו.

8. מזינים את שם הדומיין של האתר:

   1. בקטע רשימת דומיינים, לוחצים על הוספת דומיין.
   2. בשדה דומיין, מזינים את שם הדומיין.

   3. אופציונלי: כדי להוסיף עוד דומיין, לוחצים על הוספת דומיין ומזינים את השם של הדומיין הנוסף בשדה דומיין. אפשר להוסיף עד 250 דומיינים.

      באתרים, מפתח reCAPTCHA הוא ייחודי לדומיינים ולתת-הדומיינים שאתם מציינים. אם האתר שלכם מוצג מכמה דומיינים, אתם יכולים לציין יותר מדומיין אחד. אם מציינים דומיין (לדוגמה, examplepetstore.com), לא צריך לציין את תת-הדומיינים שלו (לדוגמה, subdomain.examplepetstore.com). שינויים ברשימת הדומיינים ייכנסו לתוקף תוך 30 דקות.

      כדי להשתמש במפתח ביותר מ-250 דומיינים, לוחצים על המתג Disable domain verification. במקרה כזה, Google Cloud Fraud Defense תתעלם מרשימת הדומיינים. אתם צריכים לבצע בעצמכם אימות דומיין. בשביל לעשות את זה, בוחנים את השדה tokenProperties.hostname בבדיקות שיוצרים.

9. בהתאם לסוג מפתח ה-reCAPTCHA שרוצים ליצור לאתר, מבצעים את הפעולה המתאימה:

יצירת מפתחות reCAPTCHA שמבוססים על ניקוד

הערה: יצירת מפתח מבוסס-ניקוד היא אפשרות ברירת המחדל במסוף Google Cloud .

1. אם ברצונך לאפשר למפתח מבוסס הציון לעבוד עם Accelerated Mobile Pages (AMP) באמצעות ה-amp-recaptcha-input רכיב, הפעל אתאפשר למפתח הזה לעבוד עם דפי AMP לְמַתֵג.

2. בסביבה שאינה סביבת ייצור, אם רוצים לציין את הניקוד שהמפתח אמור להחזיר כשנוצרות הערכות בשבילו, מבצעים את הפעולות הבאות:

   1. לוחצים על השלב הבא (אופציונלי).
   2. בשלב Additional settings, לוחצים על המתג Are you creating this key for testing purposes only?‎.
   3. משתמשים בפס ההזזה הגדרת ניקוד כדי לציין ניקוד בין 0 ל-1.0.
3. לוחצים על Create key.

המפתח החדש שנוצר מופיע בדף reCAPTCHA keys.

יצירת מפתחות reCAPTCHA עם תיבת סימון

לא מומלץ להשתמש במפתחות של תיבות סימון כי הם מגבירים את החיכוך עם המשתמשים ולא משפרים באופן משמעותי את הדיוק.

1. לוחצים על השלב הבא (אופציונלי).
2. בשלב "הגדרות נוספות", מפעילים את האפשרות האם להשתמש באתגרים? .
3. בוחרים את האפשרות המתאימה של אבטחת אתגר.

   אפשרות האבטחה של האתגר קובעת את הסבירות שמשתמש יתבקש לענות על אתגר משני, שבו המשתמשים מתבקשים לבחור תמונות על סמך קטגוריה שזוהתה (לדוגמה, בחירת התמונות עם אופנוע או מדרגות).

   כדי להבטיח את ההגנה הטובה ביותר מפני הונאות, בוחרים באפשרות קשיח.

   אם בוחרים באפשרות קל, יש פחות סיכוי שהמשתמשים יתבקשו לפתור את האתגר החזותי.

4. בסביבה שאינה סביבת ייצור, אם רוצים לציין את הניקוד שהמפתח אמור להחזיר כשנוצרות הערכות בשבילו, מבצעים את הפעולות הבאות:

   1. לוחצים על המתג המפתח הזה נוצר למטרות בדיקה בלבד?.
   2. משתמשים בפס ההזזה הגדרת ניקוד כדי לציין ניקוד בין 0 ל-1.0.
   3. בוחרים את האפשרות המתאימה של Challenge type (סוג האתגר).
      • אוטומטי: האתגר מופיע לפעמים.
      • ב-No CAPTCHA לא מוצג אתגר.
      • אתגר שלא ניתן לפתור מציג את התמונות אבל האתגר לא עובר.
   4. לוחצים על Create key.

   המפתח החדש שנוצר מופיע בדף reCAPTCHA keys.

יצירת מפתחות reCAPTCHA לאתגרים שמבוססים על מדיניות

1. לוחצים על השלב הבא (אופציונלי).
2. בשלב "הגדרות נוספות", מפעילים את האפשרות האם להשתמש באתגרים? .
3. בוחרים את האפשרות המתאימה של אבטחת אתגר.

   אפשרות האבטחה של האתגר מגדירה את המורכבות והתדירות של אתגרי ה-CAPTCHA שמוצגים למשתמש.

   כדי להבטיח את ההגנה הטובה ביותר מפני הונאות, בוחרים באפשרות קשיח.

   אם בוחרים באפשרות קל, סביר להניח שהמשתמשים יקבלו פחות אתגרי CAPTCHA, והם יהיו פחות מורכבים.

4. בסביבה שאינה סביבת ייצור, אם רוצים לציין ציון למפתח שיוחזר כשנוצרות הערכות בשבילו, מבצעים את הפעולות הבאות:

   1. לוחצים על המתג המפתח הזה נוצר למטרות בדיקה בלבד?.
   2. משתמשים בפס ההזזה הגדרת ניקוד כדי לציין ניקוד בין 0 ל-1.0.
5. בוחרים את סף הניקוד להפעלת אתגרי CAPTCHA, שרלוונטי לכל הפעולות.
6. לוחצים על Create key.

המפתח החדש שנוצר מופיע בדף reCAPTCHA keys.

מסוף Admin

1. נכנסים למסוף Admin של Google Cloud Fraud Defense.

   כניסה למסוף Admin של Fraud Defense

2. בשדה תווית, מזינים שם שיעזור לכם לזהות את האתר.
3. אם רוצים ליצור מפתח שמבוסס על ציון, בוחרים באפשרות על סמך ציון (גרסה 3). אם רוצים ליצור מפתח לתיבת סימון, בוחרים באפשרות אתגר (גרסה 2).
4. כדי להוסיף דומיין, מזינים את שם הדומיין ולוחצים על .

   כדי להוסיף עוד דומיין, אפשר לחזור על השלב הזה. אפשר להוסיף עד 250 דומיינים.

5. אם אתם משתמשים חדשים במסוף Google Cloud , קראו את התנאים וההגבלות וסמנו את התיבה.
6. לוחצים על שליחה.

אם אתם משתמשים חדשים במסוף Google Cloud , נוצר פרויקט Google Cloud ומופעלים ממשקי ה-API שצריך כדי להתחיל. אם כבר יש לכם פרויקט ב- Google Cloud , ממשקי ה-API הנדרשים לפרויקט מופעלים כדי שתוכלו להתחיל.

gcloud

כדי ליצור מפתחות reCAPTCHA, משתמשים בפקודה gcloud recaptcha keys create.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫INTEGRATION_TYPE: סוג השילוב. מציינים את הערכים הבאים, בהתאם לסוג המפתחות:
  • ‫score למפתחות שמבוססים על ניקוד.
  • ‫checkbox למקשים של תיבות סימון.
  • ‫policy-based-challenge למפתחות אתגר שמבוססים על מדיניות.
  הערה: לא מומלץ להשתמש ב-CHECKBOX כי זה מגביר את החיכוך עם המשתמשים ולא משפר את הדיוק באופן משמעותי. מידע נוסף זמין בדף השאלות הנפוצות.
• ‫DISPLAY_NAME: שם המפתח. בדרך כלל שם האתר.
• ‫DOMAIN_NAME: דומיינים או תת-דומיינים של אתרים שמורשים להשתמש במפתח.

  כדי לציין כמה דומיינים, צריך להזין רשימה מופרדת בפסיקים.

  כדי להשתמש במפתח ביותר מ-250 דומיינים, צריך לציין את הערך --allow-all-domains כדי להשבית את אימות הדומיין. במקרה כזה, Google Cloud Fraud Defense תתעלם מרשימת הדומיינים. אתם צריכים לבצע בעצמכם אימות דומיין. בשביל לעשות את זה, בוחנים את השדה tokenProperties.hostname בבדיקות שיוצרים.

  השבתת אימות הדומיין היא סיכון אבטחה כי אין הגבלות על האתר, כך שכל אחד יכול לגשת למפתח reCAPTCHA ולהשתמש בו.

  הערה: מפתח reCAPTCHA הוא ייחודי לדומיינים ולתת-הדומיינים שאתם מציינים. אם האתר שלכם מוצג מכמה דומיינים, אתם יכולים לציין יותר מדומיין אחד. אם מציינים דומיין (לדוגמה, examplepetstore.com), לא צריך לציין את תת-הדומיינים שלו (לדוגמה, subdomain.examplepetstore.com). יכול להיות שיחלפו עד 30 דקות לפני שהשינויים ברשימת הדומיינים ייכנסו לתוקף.
• ‫DEFAULT_SCORE_THRESHOLD: במפתחות לאתגרים שמבוססים על מדיניות, הערך הזה מגדיר את סף האתגר האוניברסלי למפתח כשלא מוגדר סף ניקוד בהתאמה אישית.
• ‫ACTION_SCORE_THRESHOLDS: במפתחות אתגר שמבוססים על מדיניות, הפרמטר הזה מציין את הפעולה ואת ציון הסף התואם בין 0.0 ל-1.0. לדוגמה, login='{"scoreThreshold": "0.3"}',signup='{"scoreThreshold": "0.1"}'.
  הערה: רק הציונים הסופיים שמחושבים אחרי ערעורים מוחזרים בהערכות. הניקוד הראשוני שחושב על ידי Fraud Defense מושווה לסף.

מריצים את הפקודה gcloud recaptcha keys create:

‫Linux,‏ macOS או Cloud Shell

gcloud recaptcha keys create \
        --web \
        --display-name=DISPLAY_NAME  \
        --integration-type=INTEGRATION_TYPE \
        --domains=DOMAIN_NAME \

‏Windows (PowerShell)

gcloud recaptcha keys create `
        --web `
        --display-name=DISPLAY_NAME  `
        --integration-type=INTEGRATION_TYPE `
        --domains=DOMAIN_NAME `

Windows‏ (cmd.exe)

gcloud recaptcha keys create ^
        --web ^
        --display-name=DISPLAY_NAME  ^
        --integration-type=INTEGRATION_TYPE ^
        --domains=DOMAIN_NAME ^

התשובה מכילה את מפתח reCAPTCHA החדש שנוצר.

REST

למידע נוסף על סוגי מפתחות וסוגי שילובים, ראו מפתח וסוג שילוב.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫INTEGRATION_TYPE: סוג השילוב. מציינים את הערכים הבאים, בהתאם לסוג המפתחות:
  • ‫SCORE למפתחות שמבוססים על ניקוד.
  • ‫CHECKBOX למקשים של תיבות סימון.
  • ‫POLICY_BASED_CHALLENGE למפתחות אתגר שמבוססים על מדיניות.
  הערה: לא מומלץ להשתמש ב-CHECKBOX כי זה מגביר את החיכוך עם המשתמשים ולא משפר את הדיוק באופן משמעותי. מידע נוסף זמין בדף השאלות הנפוצות.
• ‫DISPLAY_NAME: שם המפתח. בדרך כלל שם האתר.
• ‫DOMAIN_NAME: דומיינים או תת-דומיינים של אתרים שמורשים להשתמש במפתח.

  כדי לציין כמה דומיינים, צריך להזין רשימה מופרדת בפסיקים.

  כדי להשתמש במפתח ביותר מ-250 דומיינים, צריך לציין את הערך --allow-all-domains כדי להשבית את אימות הדומיין. במקרה כזה, Google Cloud Fraud Defense תתעלם מרשימת הדומיינים. אתם צריכים לבצע בעצמכם אימות דומיין. בשביל לעשות את זה, בוחנים את השדה tokenProperties.hostname בבדיקות שיוצרים.

  השבתת אימות הדומיין היא סיכון אבטחה כי אין הגבלות על האתר, כך שכל אחד יכול לגשת למפתח reCAPTCHA ולהשתמש בו.

  הערה: מפתח reCAPTCHA הוא ייחודי לדומיינים ולתת-הדומיינים שאתם מציינים. אם האתר שלכם מוצג מכמה דומיינים, אתם יכולים לציין יותר מדומיין אחד. אם מציינים דומיין (לדוגמה, examplepetstore.com), לא צריך לציין את תת-הדומיינים שלו (לדוגמה, subdomain.examplepetstore.com). יכול להיות שיחלפו עד 30 דקות לפני שהשינויים ברשימת הדומיינים ייכנסו לתוקף.
• ‫DEFAULT_SCORE_THRESHOLD: במפתחות לאתגרים שמבוססים על מדיניות, הערך הזה מגדיר את סף האתגר האוניברסלי למפתח כשלא מוגדר סף ניקוד בהתאמה אישית.
• ‫ACTION_SCORE_THRESHOLDS: במפתחות אתגר שמבוססים על מדיניות, הפרמטר הזה מציין את הפעולה ואת ציון הסף התואם בין 0.0 ל-1.0. לדוגמה, login='{"scoreThreshold": "0.3"}',signup='{"scoreThreshold": "0.1"}'.
  הערה: רק הציונים הסופיים שמחושבים אחרי ערעורים מוחזרים בהערכות. הניקוד הראשוני שחושב על ידי Fraud Defense מושווה לסף.
• ‫DEFAULT_SCORE_THRESHOLD: במפתחות לאתגרים שמבוססים על מדיניות, הערך הזה מגדיר את סף האתגר האוניברסלי למפתח כשלא מוגדר סף ניקוד בהתאמה אישית. התכונה הזו נמצאת בגרסת טרום-השקה (Preview).
• ‫ACTION_SCORE_THRESHOLDS: במפתחות אתגר שמבוססים על מדיניות, הפרמטר הזה מציין את הפעולה ואת ציון הסף התואם בין 0.0 ל-1.0. לדוגמה, login='{"scoreThreshold": "0.3"}',signup='{"scoreThreshold": "0.1"}'. התכונה הזו נמצאת בגרסת טרום-השקה (Preview).
  הערה: רק הציונים הסופיים שמחושבים אחרי ערעורים מוחזרים בהערכות. הניקוד הראשוני שחושב על ידי reCAPTCHA מושווה לסף.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys

גוף בקשת JSON:

{
  "displayName": "DISPLAY_NAME",
  "webSettings": {
    "allowedDomains": "DOMAINS",
    "integrationType": "INTEGRATION_TYPE"
  }
}

כדי לשלוח את הבקשה עליכם לבחור אחת מהאפשרויות הבאות:

curl

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"

PowerShell

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/project-id/keys/6Ldqgs0UAAAAAIn4k7YxEB-LwEh5S9-Gv6IIWB8m",
  "displayName": "DISPLAY_NAME",
  "webSettings": {
    "allowAllDomains": false,
    "allowedDomains": [
      DOMAINS
    ],
    "allowAmpTraffic": false,
    "integrationType": "SCORE",
    "challengeSecurityPreference": "CHALLENGE_SECURITY_PREFERENCE_UNSPECIFIED"
  }
}

הערה: אחרי שיוצרים מפתחות reCAPTCHA, אפשר לערוך או למחוק אותם. אי אפשר לשחזר מפתחות שנמחקו. בנוסף, אי אפשר להעביר מפתחות reCAPTCHA מפרויקט אחד של Google Cloud לפרויקט אחר.

(אופציונלי) איך מוצאים מפתח סודי של reCAPTCHA מדור קודם

אם אתם רוצים לשלב אפליקציה של צד שלישי או פלאגין של מערכת ניהול תוכן (CMS) (כמו WordPress או Shopify) שלא משתמשים ב-reCAPTCHA Enterprise API, אתם צריכים מפתח שתואם לגרסה שנתמכת על ידי הפלאגין (v2 או v3) ואת המפתח הסודי הקודם של המפתח. למידע נוסף על בדיקת גרסת המפתח והגדרת הפלאגינים של ה-CMS, קראו את המאמר התאמה בין מסוף Admin לבין המונחים במסוף Google Cloud .

לכל מפתח אתר שאתם יוצרים, reCAPTCHA יוצר מפתח סודי מדור קודם של reCAPTCHA (מפתח סודי מדור קודם), שאפשר להשתמש בו עם האפליקציה של הצד השלישי.

הערה: באפליקציות או בפלאגינים של צד שלישי, המפתח הסודי הקודם הזה נקרא בדרך כלל מפתח פרטי או מפתח סודי.

אם אתם צריכים את המפתח הסודי של מפתח reCAPTCHA Classic, העבירו את המפתח ל-reCAPTCHA ב- Google Cloud ומצאו את המפתח הסודי מהדור הקודם.

הערה: לא מומלץ להשתמש במפתח סודי מדור קודם בקצה הקדמי, כי הוא יהיה גלוי למשתמשים, ותוקפים יוכלו לנצל לרעה את האפליקציה.

כדי למצוא את המפתח הסודי הקודם:

1. נכנסים לדף Fraud Defense במסוף Google Cloud .

   מעבר אל Fraud Defense

2. לוחצים על הכרטיסייה Keys.

3. בקטע reCAPTCHA Keys, מוצאים את מפתח ה-reCAPTCHA שיצרתם ולוחצים עליו.

   

4. בדף Key details, עוברים לכרטיסייה Integration ולוחצים על Use legacy key או על Integrate with a third-party service or plugin. תיפתח תיבת דו-שיח עם המפתח הסודי הקודם.

   

המאמרים הבאים

• התאמה בין המונחים במסוף Admin לבין המונחים במסוף Google Cloud .
• מטמיעים מפתחות מבוססי-ניקוד בדפי האינטרנט.
• התקנת מפתחות של תיבות סימון בדפי האינטרנט.
• התקנת מפתחות אתגר מבוססי-מדיניות בדפי האינטרנט.