Funciones para la integración con Google Cloud Armor

Comprender las funciones de integración de reCAPTCHA para Google Cloud Armor y determinar cuál se ajusta mejor a tu caso de uso

reCAPTCHA ofrece las siguientes funciones que puedes usar para integrarte con Google Cloud Armor:

Descripción general de las funciones

Las integraciones de reCAPTCHA para Google Cloud Armor admiten tokens de acción, tokens de sesión y páginas de desafío.

Puedes usar una o más funciones de reCAPTCHA para Google Cloud Armor en una sola aplicación. Por ejemplo, puedes optar por aplicar un token de sesión para todas las páginas y, según la puntuación del token de sesión, puedes redireccionar las solicitudes sospechosas a la página de desafío de reCAPTCHA. También puedes usar un token de acción para acciones de alto perfil, como el pago. Para obtener más información, consulta los ejemplos.

En la siguiente tabla, se muestra una breve comparación de las funciones disponibles de reCAPTCHA para Google Cloud Armor:

Categoría de comparación Tokens de acción de reCAPTCHA Tokens de sesión de reCAPTCHA Página de desafío de reCAPTCHA
Caso de uso Se usa para proteger las acciones de los usuarios, como el acceso o las publicaciones de comentarios. Se usa para proteger toda la sesión del usuario en el dominio del sitio. Úsala cuando sospeches que hay actividad de spam dirigida a tu sitio y necesites filtrar los bots.

Este método interrumpe la actividad del usuario, ya que este debe verificar un desafío de CAPTCHA.
Plataformas compatibles Sitios web y aplicaciones para dispositivos móviles Sitios web Sitios web
Esfuerzo de integración del cliente Medio

Integración manual del cliente

 Medio

Instala el JavaScript de reCAPTCHA de forma manual o a través de la inserción en el WAF.

 Baja

Anuncio intersticial activado por las políticas de seguridad.
Precisión de la detección Highest (Más alta)

Están disponibles los indicadores específicos del cliente, del servidor y de la acción.

 Alto

Se encuentran disponibles los indicadores específicos del cliente y del servidor.

 Medio

Se encuentran disponibles los indicadores específicos del cliente y del servidor. Los indicadores del cliente solo están disponibles en una página intersticial.
Versión de reCAPTCHA compatible Claves basadas en puntuación y de casilla de verificación de reCAPTCHA Claves basadas en la puntuación de reCAPTCHA Claves basadas en desafíos de reCAPTCHA incorporadas en una página intersticial

Tokens de acción de reCAPTCHA

Puedes usar los tokens de acción de reCAPTCHA para proteger las interacciones importantes de los usuarios, como la confirmación de la compra en páginas web y en aplicaciones para dispositivos móviles.

El flujo de trabajo de los tokens de acción de reCAPTCHA consta de los siguientes pasos:

  1. Cuando un usuario final activa una acción protegida por reCAPTCHA, la página web o la aplicación para dispositivos móviles envía indicadores que se recopilan en el navegador a reCAPTCHA para su análisis.
  2. reCAPTCHA envía un token de acción a la página web o a la aplicación para dispositivos móviles.
  3. Adjunta este token de acción al encabezado de la solicitud que deseas proteger.
  4. Cuando el usuario final solicita acceso con el token de acción, Google Cloud Armor decodifica y valida los atributos del token de acción en lugar de tu aplicación de backend.
  5. Google Cloud Armor aplica acciones según las reglas de la política de seguridad que configuraste.

En el siguiente diagrama de secuencia, se muestra el flujo de trabajo de los tokens de acción de reCAPTCHA para sitios web:

En el siguiente diagrama de secuencia, se muestra el flujo de trabajo de los tokens de acción de reCAPTCHA para aplicaciones para dispositivos móviles:

Tokens de sesión de reCAPTCHA

Puedes usar tokens de sesión de reCAPTCHA cuando quieras proteger toda la sesión del usuario en el dominio del sitio. Un token de sesión te permite reutilizar un token válido en todas las solicitudes durante un período especificado, de modo que no necesites llamar a execute() para cada acción del usuario, lo que reduce la fricción del usuario y la cantidad de llamadas a execute().

Para permitir que reCAPTCHA conozca el patrón de navegación de tus usuarios finales, te recomendamos que uses un token de sesión de reCAPTCHA en todas las páginas web de tu sitio.

El flujo de trabajo de los tokens de sesión de reCAPTCHA consta de los siguientes pasos:

  1. El navegador carga el JavaScript de reCAPTCHA desde reCAPTCHA.
  2. El JavaScript de reCAPTCHA establece un token de sesión como una cookie en el navegador del usuario final después de llamar a execute().
  3. El navegador del usuario final almacena la cookie y el JavaScript de reCAPTCHA la actualiza cada 30 minutos, siempre y cuando el JavaScript de reCAPTCHA permanezca activo.
  4. Cuando el usuario solicita acceso con la cookie, Google Cloud Armor la valida y aplica acciones según las reglas de la política de seguridad.

En el siguiente diagrama de secuencia, se muestra el flujo de trabajo de los tokens de sesión de reCAPTCHA:

Página de desafío de reCAPTCHA

Puedes usar la función de página de desafío de reCAPTCHA para redireccionar las solicitudes entrantes a reCAPTCHA y determinar si cada solicitud es potencialmente fraudulenta o legítima.

Esta aplicación de un redireccionamiento y un posible desafío de CAPTCHA interrumpe la actividad de un usuario. Te recomendamos que lo uses para filtrar bots cuando sospeches que hay actividad de spam dirigida a tu sitio.

Cuando un usuario final (usuario) visita tu sitio por primera vez, ocurren los siguientes eventos:

  1. En la capa de Google Cloud Armor, la solicitud del usuario se redirecciona a la página de desafío de reCAPTCHA.
  2. reCAPTCHA responde con una página HTML incorporada con el JavaScript de reCAPTCHA.
  3. Cuando se renderiza la página de desafío, reCAPTCHA evalúa la interacción del usuario. Si es necesario, reCAPTCHA entrega un desafío de CAPTCHA al usuario.

  4. Según el resultado de la evaluación, reCAPTCHA hace lo siguiente:

    1. Si la interacción del usuario pasa la evaluación, reCAPTCHA emite una cookie de exención. El navegador adjunta esta cookie de exención a las solicitudes posteriores del usuario al mismo sitio hasta que la cookie venza. De forma predeterminada, la cookie de exención vence después de tres horas.
    2. Si la interacción del usuario no pasa la evaluación, reCAPTCHA no emite una cookie de exención.

  5. reCAPTCHA vuelve a cargar la página web con la cookie de exención si el usuario accede a la página web con una llamada GET/HEAD. Si el usuario accede a la página web con una llamada POST/PUT, debe hacer clic en el vínculo para volver a cargar la página.

  6. Google Cloud Armor exime a las solicitudes que tienen una cookie de exención válida de volver a redireccionarse y otorga acceso a tu sitio.

En el siguiente diagrama de secuencia, se muestra el flujo de trabajo de la página de desafío de reCAPTCHA:

¿Qué sigue?