Informieren Sie sich über die reCAPTCHA-Integrationsfunktionen für Google Cloud Armor, um herauszufinden, welche Funktion am besten zu Ihrem Anwendungsfall passt.
reCAPTCHA bietet die folgenden Funktionen, die Sie in Google Cloud Armor einbinden können:
Übersicht über die Funktionen
reCAPTCHA für Google Cloud Armor-Integrationen unterstützt Aktionstokens, Sitzungstokens und die Aufgabenseite.
Sie können eine oder mehrere reCAPTCHA for Google Cloud Armor-Funktionen in einer einzelnen Anwendung verwenden. Sie können beispielsweise ein Sitzungstoken für alle Seiten anwenden und verdächtige Anfragen basierend auf dem Score des Sitzungstokens an die reCAPTCHA-Aufgabenseite weiterleiten. Außerdem können Sie ein Aktionstoken für wichtige Aktionen wie den Bezahlvorgang verwenden. Weitere Informationen finden Sie in den Beispielen.
Die folgende Tabelle enthält einen kurzen Vergleich der verfügbaren reCAPTCHA für Google Cloud Armor-Funktionen:
| Vergleichskategorie | reCAPTCHA-Aktionstokens | reCAPTCHA-Sitzungstoken | reCAPTCHA-Abfrageseite |
|---|---|---|---|
| Anwendungsfall | Verwenden Sie diese Option, um Nutzeraktionen wie Anmeldung oder Kommentarposts zu schützen. | Wird verwendet, um die gesamte Nutzersitzung in der Domain der Website zu schützen. | Verwenden Sie diese Option, wenn Sie Spamaktivitäten auf Ihrer Website vermuten und Bots herausfiltern müssen.
Diese Methode unterbricht die Aktivität eines Nutzers, da der Nutzer eine CAPTCHA-Eingabe bestätigen muss. |
| Unterstützte Plattformen | Websites und mobile Apps | Websites | Websites |
| Aufwand für die Clientintegration | Mittel
Manuelle clientseitige Integration. |
Mittel
Installieren Sie reCAPTCHA JavaScript manuell oder über die WAF. |
Niedrig
Interstitial, das durch Sicherheitsrichtlinien ausgelöst wird. |
| Erkennungsgenauigkeit | Highest
Es sind client-, server- und aktionsspezifische Signale verfügbar. |
Hoch
Es sind client- und serverspezifische Signale verfügbar. |
Mittel
Es sind client- und serverspezifische Signale verfügbar. Clientsignale sind nur auf einer Interstitial-Seite verfügbar. |
| Unterstützte reCAPTCHA-Version | reCAPTCHA-Schlüssel mit Bewertung und Kästchen | Bewertungsbasierte reCAPTCHA-Schlüssel | Aufgabenbasierte reCAPTCHA-Schlüssel, die in eine Interstitial-Seite eingebettet sind |
reCAPTCHA-Aktionstokens
Mit reCAPTCHA-Aktionstokens können Sie wichtige Nutzerinteraktionen wie den Bezahlvorgang auf Webseiten und in mobilen Anwendungen schützen.
Der Workflow für reCAPTCHA-Aktions-Tokens umfasst die folgenden Schritte:
- Wenn ein Endnutzer eine durch reCAPTCHA geschützte Aktion auslöst, sendet die Webseite oder die mobile Anwendung Signale, die im Browser erfasst werden, zur Analyse an reCAPTCHA.
- reCAPTCHA sendet ein Aktionstoken an die Webseite oder die mobile Anwendung.
- Sie hängen dieses Aktions-Token an den Header der Anfrage an, die Sie schützen möchten.
- Wenn der Endnutzer mit dem Aktionstoken Zugriff anfordert, decodiert und validiert Google Cloud Armor die Aktionstoken-Attribute anstelle Ihrer Backend-Anwendung.
- Google Cloud Armor wendet Aktionen basierend auf den von Ihnen konfigurierten Sicherheitsrichtlinienregeln an.
Das folgende Sequenzdiagramm zeigt den Workflow für reCAPTCHA-Aktionstokens für Websites:
Das folgende Sequenzdiagramm zeigt den Workflow für reCAPTCHA-Aktionstokens für mobile Anwendungen:
reCAPTCHA-Sitzungstoken
Sie können reCAPTCHA-Sitzungstokens verwenden, wenn Sie die gesamte Nutzersitzung auf der Domain der Website schützen möchten. Mit einem Sitzungstoken können Sie ein gültiges Token für einen bestimmten Zeitraum für mehrere Anfragen wiederverwenden. So müssen Sie execute() nicht für jede Nutzeraktion aufrufen, was die Nutzerfreundlichkeit verbessert und die Anzahl der Aufrufe von execute() reduziert.
Damit reCAPTCHA das Surfverhalten Ihrer Endnutzer kennenlernen kann, empfehlen wir, auf allen Webseiten Ihrer Website ein reCAPTCHA-Sitzungstoken zu verwenden.
Der Workflow für reCAPTCHA-Sitzungs-Token umfasst folgende Schritte:
- Der Browser lädt das reCAPTCHA-JavaScript aus reCAPTCHA.
- Das reCAPTCHA-JavaScript legt nach dem Aufruf von
execute()ein Sitzungstoken als Cookie im Endnutzerbrowser fest. - Der Browser des Endnutzers speichert das Cookie und das reCAPTCHA-JavaScript aktualisiert das Cookie alle 30 Minuten, solange das reCAPTCHA-JavaScript aktiv bleibt.
- Fordert der Nutzer Zugriff mit dem Cookie an, so validiert Google Cloud Armor dieses Cookie und führt Aktionen basierend auf den Sicherheitsrichtlinienregeln aus.
Das folgende Sequenzdiagramm zeigt den Workflow für reCAPTCHA-Sitzungstokens:
reCAPTCHA-Abfrageseite
Mit der Funktion für die reCAPTCHA-Aufgabenseite können Sie eingehende Anfragen an reCAPTCHA weiterleiten, um für jede Anfrage festzustellen, ob sie potenziell betrügerisch oder legitim ist.
Diese Anwendung einer Weiterleitung und einer möglichen CAPTCHA-Aufgabe unterbricht die Aktivität eines Nutzers. Es empfiehlt sich, Bots zu herausfiltern, wenn Sie vermuten, dass Spamaktivitäten auf Ihre Website weitergeleitet werden.
Wenn ein Endnutzer (Nutzer) Ihre Website zum ersten Mal besucht, finden die folgenden Ereignisse statt:
- Auf der Google Cloud Armor-Ebene wird die Anfrage des Nutzers an die reCAPTCHA-Aufgabenseite weitergeleitet.
- reCAPTCHA antwortet mit einer HTML-Seite, auf der das reCAPTCHA-JavaScript eingebettet ist.
- Wenn die Challenge-Seite gerendert wird, bewertet reCAPTCHA die Nutzerinteraktion. Falls erforderlich, stellt reCAPTCHA dem Nutzer eine CAPTCHA-Aufgabe.
Je nach Ergebnis der Bewertung führt reCAPTCHA Folgendes aus:
- Wenn die Nutzerinteraktion die Bewertung besteht, gibt reCAPTCHA ein Ausnahme-Cookie aus. Der Browser hängt dieses Ausnahme-Cookie an nachfolgende Anfragen des Nutzers an dieselbe Website an, bis das Cookie abläuft. Standardmäßig läuft das Ausnahme-Cookie nach drei Stunden ab.
- Wenn die Nutzerinteraktion die Bewertung nicht besteht, gibt reCAPTCHA kein Ausnahme-Cookie aus.
reCAPTCHA lädt die Webseite mit dem Ausnahme-Cookie neu, wenn der Nutzer über einen GET/HEAD-Aufruf auf die Webseite zugreift. Wenn der Nutzer über einen POST/PUT-Aufruf auf die Webseite zugreift, muss er auf den Aktualisierungslink auf der Seite klicken.
Google Cloud Armor nimmt Anfragen mit einem gültigen Ausnahme-Cookie von der erneuten Weiterleitung aus und gewährt Zugriff auf Ihre Website.
Das folgende Sequenzdiagramm zeigt den Workflow der reCAPTCHA-Aufgabenseite:
