Comprenez les fonctionnalités d'intégration de reCAPTCHA pour Google Cloud Armor afin de déterminer celle qui correspond le mieux à votre cas d'utilisation.
reCAPTCHA propose les fonctionnalités suivantes que vous pouvez utiliser pour l'intégration à Google Cloud Armor :
Aperçu des fonctionnalités
Les intégrations de reCAPTCHA pour Google Cloud Armor sont compatibles avec les jetons d'action, les jetons de session et la page de test.
Vous pouvez utiliser une ou plusieurs fonctionnalités de reCAPTCHA pour Google Cloud Armor dans une même application. Par exemple, vous pouvez choisir d'appliquer un jeton de session à toutes les pages et, en fonction du score du jeton de session, vous pouvez rediriger les requêtes suspectes vers la page de test reCAPTCHA. Vous pouvez également utiliser un jeton d'action pour les actions les plus significatives, telles que le paiement. Pour en savoir plus, consultez Exemples.
Le tableau suivant présente une brève comparaison des fonctionnalités reCAPTCHA pour Google Cloud Armor disponibles :
| Catégorie de comparaison | Jetons d'action reCAPTCHA | Jetons de session reCAPTCHA | Page de test reCAPTCHA |
|---|---|---|---|
| Cas d'utilisation | Utilisez-le pour protéger les actions des utilisateurs, telles que la connexion ou la publication de commentaires. | Utilisez-le pour protéger l'intégralité de la session utilisateur sur le domaine du site. | Utilisez cette option lorsque vous suspectez une activité de spam dirigée vers votre site et que vous devez filtrer les bots.
Cette méthode interrompt l'activité de l'utilisateur, car il doit effectuer un test CAPTCHA. |
| Plates-formes compatibles | Sites Web et applications mobiles | Sites Web | Sites Web |
| Effort d'intégration du client | Moyen
Intégration manuelle côté client. |
Moyen
Installez le code JavaScript reCAPTCHA manuellement ou par injection sur le WAF. |
Faible
Interstitiel déclenché par les règles de sécurité. |
| Précision de la détection | Le plus élevé
Des signaux spécifiques au client, au serveur et à l'action sont disponibles. |
Élevé
Des signaux spécifiques au client et au serveur sont disponibles. |
Moyen
Des signaux spécifiques au client et au serveur sont disponibles. Les signaux client ne sont disponibles que sur une page interstitielle. |
| Version de reCAPTCHA compatible | Clés reCAPTCHA basées sur un score et clés de case à cocher | Clés reCAPTCHA basées sur un score | Clés de test reCAPTCHA intégrées dans une page interstitielle |
Jetons d'action reCAPTCHA
Vous pouvez utiliser des jetons d'action reCAPTCHA pour protéger les interactions importantes des utilisateurs, telles que le paiement sur les pages Web et les applications mobiles.
Le workflow des jetons d'action reCAPTCHA comprend les étapes suivantes :
- Lorsqu'un utilisateur final déclenche une action protégée par reCAPTCHA, la page Web ou l'application mobile envoie des signaux collectés dans le navigateur à reCAPTCHA pour analyse.
- reCAPTCHA envoie un jeton d'action à la page Web ou à l'application mobile.
- Vous associez ce jeton d'action à l'en-tête de la requête que vous souhaitez protéger.
- Lorsque l'utilisateur final demande l'accès avec le jeton d'action, Google Cloud Armor décode et valide les attributs du jeton d'action au lieu de votre application de backend.
- Google Cloud Armor applique des actions en fonction des règles de stratégie de sécurité que vous avez configurées.
Le schéma de séquence suivant illustre le workflow des jetons d'action reCAPTCHA pour les sites Web :
Le schéma de séquence suivant montre le workflow des jetons d'action reCAPTCHA pour les applications mobiles :
Jetons de session reCAPTCHA
Vous pouvez utiliser des jetons de session reCAPTCHA lorsque vous souhaitez protéger l'intégralité de la session utilisateur sur le domaine du site. Un jeton de session vous permet de réutiliser un jeton valide pour plusieurs requêtes pendant une période spécifiée. Vous n'avez donc pas besoin d'appeler execute() pour chaque action de l'utilisateur, ce qui réduit les frictions pour l'utilisateur et le nombre d'appels à execute().
Pour permettre à reCAPTCHA d'en savoir plus sur le comportement de navigation de vos utilisateurs finaux, nous vous recommandons d'utiliser un jeton de session reCAPTCHA sur toutes les pages Web de votre site.
Le workflow des jetons de session reCAPTCHA comprend les étapes suivantes :
- Le navigateur charge le code JavaScript reCAPTCHA à partir de reCAPTCHA.
- Le code JavaScript reCAPTCHA définit un jeton de session en tant que cookie sur le navigateur de l'utilisateur final après l'appel de
execute(). - Le navigateur de l'utilisateur final stocke le cookie, et le code JavaScript reCAPTCHA l'actualise toutes les 30 minutes tant que le code JavaScript reCAPTCHA reste actif.
- Lorsque l'utilisateur demande l'accès avec le cookie, Google Cloud Armor valide ce cookie et applique des actions en fonction des règles de stratégie de sécurité.
Le schéma de séquence suivant illustre le workflow des jetons de session reCAPTCHA :
Page de test reCAPTCHA
Vous pouvez utiliser la fonctionnalité de page de test reCAPTCHA pour rediriger les requêtes entrantes vers reCAPTCHA afin de déterminer si chacune d'elles est potentiellement frauduleuse ou légitime.
Cette application d'une redirection et d'un test CAPTCHA éventuel interrompt l'activité de l'utilisateur. Nous vous recommandons de l'utiliser pour exclure les robots lorsque vous suspectez des activités de spam dirigées vers votre site.
Lorsqu'un utilisateur final (utilisateur) visite votre site pour la première fois, les événements suivants se produisent :
- Au niveau de la couche Google Cloud Armor, la requête de l'utilisateur est redirigée vers la page du test reCAPTCHA.
- reCAPTCHA répond par une page HTML avec le code JavaScript reCAPTCHA intégré.
- Lorsque la page de test s'affiche, reCAPTCHA évalue l'interaction de l'utilisateur. Si nécessaire, reCAPTCHA propose un test CAPTCHA à l'utilisateur.
En fonction du résultat de l'évaluation, reCAPTCHA effectue les opérations suivantes :
- Si l'interaction utilisateur réussit l'évaluation, reCAPTCHA émet un cookie d'exception. Le navigateur joint ce cookie d'exception aux requêtes ultérieures de l'utilisateur au même site jusqu'à l'expiration du cookie. Par défaut, le cookie d'exemption expire au bout de trois heures.
- Si l'interaction utilisateur ne réussit pas l'évaluation, reCAPTCHA n'émet pas de cookie d'exemption.
reCAPTCHA actualise la page Web avec le cookie d'exemption si l'utilisateur accède à la page Web à l'aide d'un appel GET/HEAD. Si l'utilisateur accède à la page Web via un appel POST/PUT, il doit cliquer sur le lien d'actualisation de la page.
Google Cloud Armor exempte les requêtes qui ont un cookie d'exception valide d'être redirigées à nouveau et accorde l'accès à votre site.
Le schéma séquentiel suivant illustre le workflow de la page de test reCAPTCHA :
