Comprendi le funzionalità di integrazione di reCAPTCHA per Google Cloud Armor per determinare quale funzionalità è più adatta al tuo caso d'uso.
reCAPTCHA offre le seguenti funzionalità che puoi utilizzare per l'integrazione con Google Cloud Armor:
Panoramica delle funzioni
Le integrazioni di reCAPTCHA per Google Cloud Armor supportano i token di azione, i token di sessione e la pagina di verifica.
Puoi utilizzare una o più funzionalità di reCAPTCHA per Google Cloud Armor in un'unica applicazione. Ad esempio, puoi scegliere di applicare un token di sessione per tutte le pagine e, in base al punteggio del token di sessione, puoi reindirizzare le richieste sospette alla pagina di verifica reCAPTCHA. Inoltre, puoi utilizzare un token di azione per azioni di alto profilo, come il pagamento. Per saperne di più, consulta gli esempi.
La tabella seguente mostra un breve confronto delle funzionalità di reCAPTCHA per Google Cloud Armor disponibili:
| Categoria di confronto | Token di azione reCAPTCHA | Token di sessione reCAPTCHA | Pagina di verifica reCAPTCHA |
|---|---|---|---|
| Caso d'uso | Utilizzalo per proteggere le azioni degli utenti, ad esempio l'accesso o la pubblicazione di commenti. | Utilizzalo per proteggere l'intera sessione utente nel dominio del sito. | Utilizzalo quando sospetti attività di spam indirizzate al tuo sito e devi escludere i bot.
Questo metodo interrompe l'attività di un utente perché deve verificare un test CAPTCHA. |
| Piattaforme supportate | Siti web e applicazioni mobile | Siti web | Siti web |
| Impegno per l'integrazione del client | Medio
Integrazione manuale lato client. |
Medio
Installa il codice JavaScript di reCAPTCHA manualmente o tramite l'inserimento nel WAF. |
Bassa
Interstitial attivato dalle policy di sicurezza. |
| Precisione del rilevamento | Highest
Sono disponibili indicatori specifici per client, server e azioni. |
Alta
Sono disponibili indicatori specifici per client e server. |
Medio
Sono disponibili indicatori specifici per client e server. Gli indicatori del client sono disponibili solo in una pagina interstitial. |
| Versione reCAPTCHA supportata | Chiavi basate su punteggio e casella di controllo reCAPTCHA | Chiavi basate sul punteggio reCAPTCHA | Chiavi basate su verifica reCAPTCHA incorporate in una pagina interstitial |
Token di azione reCAPTCHA
Puoi utilizzare i token di azione reCAPTCHA per proteggere le interazioni importanti degli utenti, come il pagamento sulle pagine web e sulle applicazioni mobile.
Il workflow dei token di azione reCAPTCHA è composto dai seguenti passaggi:
- Quando un utente finale attiva un'azione protetta da reCAPTCHA, la pagina web o l'applicazione mobile invia a reCAPTCHA i segnali raccolti nel browser per l'analisi.
- reCAPTCHA invia un token di azione alla pagina web o all'applicazione mobile.
- Questo token di azione viene allegato all'intestazione della richiesta che vuoi proteggere.
- Quando l'utente finale richiede l'accesso con il token di azione, Google Cloud Armor decodifica e convalida gli attributi del token di azione anziché l'applicazione di backend.
- Google Cloud Armor applica le azioni in base alle regole delle policy di sicurezza configurate.
Il seguente diagramma di sequenza mostra il flusso di lavoro dei token di azione reCAPTCHA per i siti web:
Il seguente diagramma di sequenza mostra il flusso di lavoro dei token di azione reCAPTCHA per le applicazioni mobile:
Token di sessione reCAPTCHA
Puoi utilizzare i token di sessione reCAPTCHA quando vuoi proteggere l'intera sessione utente nel dominio del sito. Un token di sessione ti consente di riutilizzare un token valido per più richieste per un periodo di tempo specificato, in modo da non dover chiamare execute() per ogni azione dell'utente, riducendo l'attrito per l'utente e il numero di chiamate a execute().
Per consentire a reCAPTCHA di apprendere il pattern di navigazione dei tuoi utenti finali, ti consigliamo di utilizzare un token di sessione reCAPTCHA su tutte le pagine web del tuo sito.
Il workflow dei token di sessione reCAPTCHA è costituito dai seguenti passaggi:
- Il browser carica il codice JavaScript di reCAPTCHA da reCAPTCHA.
- Il codice JavaScript di reCAPTCHA imposta un token di sessione come cookie nel browser dell'utente finale dopo aver chiamato
execute(). - Il browser dell'utente finale memorizza il cookie e il codice JavaScript reCAPTCHA aggiorna il cookie ogni 30 minuti, purché il codice JavaScript reCAPTCHA rimanga attivo.
- Quando l'utente richiede l'accesso con il cookie, Google Cloud Armor convalida questo cookie e applica le azioni in base alle regole delle policy di sicurezza.
Il seguente diagramma di sequenza mostra il flusso di lavoro dei token di sessione reCAPTCHA:
Pagina di verifica reCAPTCHA
Puoi utilizzare la funzionalità della pagina di verifica reCAPTCHA per reindirizzare le richieste in entrata a reCAPTCHA e determinare se ogni richiesta è potenzialmente fraudolenta o legittima.
Questa applicazione di un reindirizzamento e di un possibile test CAPTCHA interrompe l'attività di un utente. Ti consigliamo di utilizzarlo per escludere i bot quando sospetti attività di spam indirizzate al tuo sito.
Quando un utente finale (utente) visita il tuo sito per la prima volta, si verificano i seguenti eventi:
- Al livello Google Cloud Armor, la richiesta dell'utente viene reindirizzata alla pagina della verifica reCAPTCHA.
- reCAPTCHA risponde con una pagina HTML con il codice JavaScript di reCAPTCHA incorporato.
- Quando viene visualizzata la pagina di verifica, reCAPTCHA valuta l'interazione dell'utente. Se necessario, reCAPTCHA presenta un test CAPTCHA all'utente.
A seconda del risultato del test, reCAPTCHA esegue le seguenti operazioni:
- Se l'interazione utente supera la valutazione, reCAPTCHA rilascia un cookie di esenzione. Il browser allega questo cookie di esenzione alle richieste successive dell'utente allo stesso sito fino alla scadenza del cookie. Per impostazione predefinita, la scadenza del cookie di esenzione è dopo tre ore.
- Se l'interazione dell'utente non supera la valutazione, reCAPTCHA non rilascia un cookie di esenzione.
reCAPTCHA ricarica la pagina web con il cookie di esenzione se l'utente accede alla pagina web utilizzando una chiamata GET/HEAD. Se l'utente accede alla pagina web utilizzando una chiamata POST/PUT, deve fare clic sul link di ricaricamento nella pagina.
Google Cloud Armor esenta le richieste con un cookie di esenzione valido dal reindirizzamento e concede l'accesso al tuo sito.
Il seguente diagramma di sequenza mostra il workflow della pagina di verifica reCAPTCHA:
