تشخیص تهدید قوی‌تر، ادغام ساده‌تر: با Play Integrity API از رشد خود محافظت کنید

در بوم‌سازگان تلفن همراه، سوءاستفاده می‌تواند درآمد، رشد، و اعتماد کاربران را تهدید کند. برای کمک به شکوفایی توسعه‌دهندگان، Google Play سرویس شناسایی تهدید انعطاف‌پذیری به‌نام Play Integrity API ارائه می‌دهد. Play Integrity API به شما کمک می‌کند تأیید کنید که تعامل‌ها و درخواست‌های سرور واقعی هستند و از برنامه تغییرنیافته شما در دستگاه Android موردتأیید که ازطریق Google Play نصب شده است نشئت می‌گیرند.

تأثیر آن قابل‌توجه است: برنامه‌هایی که از ویژگی‌های Play Integrity استفاده می‌کنند، به‌طور میانگین ۸۰٪ استفاده غیرمجاز کمتری نسبت‌به برنامه‌های دیگر دارند. امروزه، رهبران در دسته‌های مختلف—ازجمله Uber،‏ TikTok،‏ Stripe،‏ Kabam،‏ Wooga،‏ Radar.com،‏ Zimperium،‏ Paytm، و Remini—از آن برای کمک به محافظت از کسب‌وکارشان استفاده می‌کنند.

ما همچنان به بهبود Play Integrity API ادامه می‌دهیم تا ادغام آن آسان‌تر شود، دربرابر حملات پیچیده مقاوم‌تر شود، و با پیام‌واره‌های جدید اصلاح درون‌برنامه‌ای Play، کاربرانی را که استانداردهای یکپارچگی را برآورده نمی‌کنند یا با خطا مواجه می‌شوند بهتر بازیابی کند.

شناسایی تهدیدهای کسب‌وکار شما

Play Integrity API حکم‌هایی ارائه می‌دهد که برای شناسایی تهدیدهای خاصی طراحی شده‌اند که درطول تعامل‌های حیاتی بر سود خالص شما تأثیر می‌گذارند.

• دسترسی غیرمجاز: حکم accountDetails به شما کمک می‌کند تعیین کنید کاربر برنامه یا بازی‌تان را نصب یا هزینه آن را در Google Play پرداخت کرده است یا نه.
• دستکاری کد: حکم appIntegrity به شما کمک می‌کند تعیین کنید با دودویی تغییرنیافته خود که Google Play آن را تشخیص می‌دهد تعامل دارید یا نه.
• دستگاه‌های مخاطره‌آمیز و محیط‌های شبیه‌سازی‌شده: حکم deviceIntegrity به شما کمک می‌کند تشخیص دهید که برنامه‌تان در دستگاه Android واقعی دارای گواهینامه «سپر ایمنی Play» یا نمونه واقعی «بازی‌های Google Play ویژه رایانه» اجرا می‌شود یا نه.
• دستگاه‌های وصله‌نشده: برای دستگاه‌های دارای Android 13 و بالاتر، پاسخ MEETS_STRONG_INTEGRITY در حکم deviceIntegrity به شما کمک می‌کند تشخیص دهید که آیا دستگاه به‌روزرسانی‌های امنیتی اخیر را اعمال کرده است یا نه. همچنین می‌توانید با deviceAttributes موافقت کنید تا نسخه گواهی‌شده کیت توسعه نرم‌افزار Android در پاسخ گنجانده شود.
• دسترسی پرخطر توسط برنامه‌های دیگر: appAccessRiskVerdict به شما کمک می‌کند تشخیص دهید آیا برنامه‌هایی درحال اجرا هستند که بتوان از آن‌ها برای ضبط صفحه‌نمایش، نمایش رونهاد، یا کنترل دستگاه استفاده کرد (برای مثال، با سوءاستفاده از اجازه دسترس‌پذیری). این حکم به‌طور خودکار برنامه‌هایی را که اهداف واقعی دسترس‌پذیری را ارائه می‌دهند مستثنی می‌کند.
• بدافزار شناخته‌شده: playProtectVerdict به شما کمک می‌کند ببینید آیا «سپر ایمنی Google Play» روشن است یا نه و آیا برنامه‌های مخاطره‌آمیز یا خطرناکی را پیدا کرده است که در دستگاه نصب شده باشند.
• بیش‌فعالی: سطح recentDeviceActivity به شما کمک می‌کند تشخیص دهید آیا دستگاهی اخیراً تعداد غیرعادی زیادی درخواست کد تمامیت ارسال کرده است یا نه، که می‌تواند نشان‌دهنده ترافیک خودکارسازی‌شده و نشانه‌ای از حمله باشد.
• سوءاستفاده مکرر و دستگاه‌های دوباره استفاده‌شده: deviceRecall (نسخه بتا) به شما کمک می‌کند تشخیص دهید که آیا با دستگاهی تعامل دارید که قبلاً پرچم‌گذاری کرده‌اید یا نه، حتی اگر برنامه‌تان بازنصب شده باشد یا دستگاه بازنشانی شده باشد. با یادآوری دستگاه، می‌توانید کنش‌های تکراری را که می‌خواهید ردیابی کنید سفارشی‌سازی کنید.

این میانای برنامه‌سازی کاربردی را می‌توان در انواع ابعاد Android ازجمله تلفن، رایانه لوحی، تاشو، Android Auto،‏ Android TV،‏ Android XR،‏ ChromeOS،‏ Wear OS، و در «بازی‌های Google Play» برای رایانه استفاده کرد.

بیشترین بهره را از Play Integrity API ببرید

برنامه‌ها و بازی‌ها با دنبال کردن ملاحظات امنیتی و اتخاذ رویکردی مرحله‌ای برای راهبرد ضدسوءاستفاده خود، با Play Integrity API به موفقیت دست یافته‌اند.

مرحله ۱: تصمیم بگیرید که می‌خواهید از چه چیزی محافظت کنید: تصمیم بگیرید که کدام کنش‌ها و درخواست‌های سرور در برنامه‌ها و بازی‌هایتان برای درستی‌سنجی و محافظت مهم هستند. برای مثال، می‌توانید بررسی‌های تمامیت را زمانی انجام دهید که کاربر برنامه را راه‌اندازی می‌کند، به سیستم وارد می‌شود، به بازی چندنفره می‌پیوندد، محتوای هوش مصنوعی تولید می‌کند، یا پول انتقال می‌دهد.

مرحله ۲: جمع‌آوری پاسخ‌های حکم یکپارچگی: بررسی‌های یکپارچگی را در لحظات مهم انجام دهید تا جمع‌آوری داده‌های حکم را شروع کنید، بدون اینکه در ابتدا اجرایی شود. به‌این‌ترتیب می‌توانید پاسخ‌های پایگاه نصب خود را تجزیه‌وتحلیل کنید و ببینید که چگونه با نشان‌های سوءاستفاده موجود و داده‌های سوءاستفاده گذشته شما مرتبط هستند.

مرحله ۳: تصمیم‌گیری درباره راهبرد اجرایی: براساس تجزیه‌وتحلیل پاسخ‌ها و آنچه می‌خواهید از آن محافظت کنید، درباره راهبرد اجرایی خود تصمیم بگیرید. برای مثال، می‌توانید ترافیک پرخطر را در لحظات مهم تغییر دهید تا از عملکرد حساس محافظت کنید. این API طیفی از پاسخ‌ها را ارائه می‌دهد تا بتوانید براساس سطح اعتمادی که به هر ترکیب از پاسخ‌ها می‌دهید، استراتژی اجرایی چندسطحی پیاده‌سازی کنید.

مرحله ۴: اجرای تدریجی و پشتیبانی از کاربران: اجرای تدریجی را آغاز کنید. وقتی حکم‌ها مشکل دارند یا دردسترس نیستند، استراتژی تکرار داشته باشید و برای پشتیبانی از کاربران خوبی که مشکل دارند آماده باشید. پیام‌واره‌های جدید اصلاح درون‌برنامه‌ای Play که در زیر شرح داده شده است، بازگرداندن کاربران دارای مشکل به وضعیت خوب را آسان‌تر از همیشه می‌کند.

جدید: به Play اجازه دهید کاربران دارای مشکل را به‌طور خودکار بازیابی کند

تصمیم‌گیری درباره نحوه پاسخ دادن به سیگنال‌های مختلف یکپارچگی می‌تواند پیچیده باشد، باید پاسخ‌های مختلف یکپارچگی و کدهای خطای میانای برنامه‌سازی کاربردی (مانند مشکلات شبکه یا خدمات Play قدیمی) را مدیریت کنید. این فرایند را با پیام‌واره‌های جدید اصلاح درون‌برنامه‌ای Play ساده‌تر می‌کنیم. می‌توانید پیام‌واره Google Play را به کاربران نشان دهید تا طیف وسیعی از مشکلات را مستقیماً در برنامه‌تان به‌طور خودکار برطرف کنند. این کار پیچیدگی ادغام را کاهش می‌دهد، میانای کاربر ثابتی را تضمین می‌کند، و کمک می‌کند کاربران بیشتری به وضعیت خوب برگردند.

GET_INTEGRITY به‌طور خودکار مشکل را شناسایی می‌کند (در این مثال، خطای شبکه) و آن را حل می‌کند.

می‌توانید پس‌از بروز طیفی از مشکلات، کادر گفتگوی  GET_INTEGRITY را که در Play Integrity API نسخه ۱.۵.۰ به بالا دردسترس است فعال کنید تا کاربر به‌طور خودکار برای انجام اصلاحات لازم راهنمایی شود، ازجمله:

• دسترسی غیرمجاز: GET_INTEGRITY کاربر را به پاسخ دارای پروانه Play در accountDetails برمی‌گرداند.
• دست‌کاری کد: GET_INTEGRITY کاربر را به پاسخ تشخیص‌داده‌شده Play در appIntegrity برمی‌گرداند.
• مشکلات تمامیت دستگاه: GET_INTEGRITY کاربر را راهنمایی می‌کند که چگونه به وضعیت MEETS_DEVICE_INTEGRITY در deviceIntegrity برگردد.
• کدهای خطای قابل‌رفع: GET_INTEGRITY خطاهای قابل‌رفع API را برطرف می‌کند، مثلاً از کاربر می‌خواهد اتصال شبکه را درست کند یا «خدمات Google Play» را به‌روز کند.

همچنین کادرهای گفتگوی تخصصی ارائه می‌دهیم، ازجمله  GET_STRONG_INTEGRITY (که مانند GET_INTEGRITY عمل می‌کند و درعین‌حال کاربر را به حالت MEETS_STRONG_INTEGRITY برمی‌گرداند بدون اینکه مشکل بدافزار شناخته‌شده‌ای در playProtectVerdict وجود داشته باشد)، GET_LICENSED (که کاربر را به حالت دارای پروانه Play و شناسایی‌شده توسط Play برمی‌گرداند)، و CLOSE_UNKNOWN_ACCESS_RISK و CLOSE_ALL_ACCESS_RISK (که از کاربر می‌خواهد برنامه‌های بالقوه پرخطر را ببندد).

انتخاب راهکارهای مدرن تمامیت

علاوه‌بر Play Integrity API، ‏Google چندین ویژگی دیگر را ارائه می‌دهد که می‌توانید به‌عنوان بخشی از استراتژی کلی ضدسوءاستفاده خود درنظر بگیرید. ‫Play Integrity API و «محافظت خودکار» Play هر دو مزایایی برای تجربه کاربری و توسعه‌دهنده ارائه می‌دهند تا از توزیع برنامه محافظت کنند. برنامه‌های موجود را تشویق می‌کنیم به‌جای استفاده از کتابخانه صدور پروانه Play قدیمی، به این راهکارهای تمامیت مدرن مهاجرت کنند.

محافظت خودکار: با محافظت خودکار Google Play از دسترسی غیرمجاز جلوگیری کنید و مطمئن شوید که کاربران همچنان به‌روزرسانی‌های رسمی برنامه‌تان را دریافت می‌کنند. آن را روشن کنید تا Google Play به‌طور خودکار بررسی نصب‌کننده را به کد برنامه‌تان اضافه کند، بدون اینکه به کار ادغام توسعه‌دهنده نیاز باشد. اگر برنامه محافظت‌شده شما ازطریق کانال دیگری توزیع مجدد یا هم‌رسانی شود، از کاربر خواسته می‌شود برنامه شما را از Google Play دریافت کند. توسعه‌دهندگان واجدشرایط Play همچنین به محافظت پیشرفته دربرابر دست‌کاری Play دسترسی دارند که از مبهم‌سازی و بررسی‌های زمان اجرا استفاده می‌کند تا تغییر و توزیع مجدد برنامه‌های محافظت‌شده را برای مهاجمان دشوارتر و پرهزینه‌تر کند.

تصدیق کلید پلاتفرم Android: Play Integrity API روش توصیه‌شده برای بهره‌مندی از تصدیق کلید پلاتفرم Android با پشتیبانی سخت‌افزار است. Play Integrity API پیاده‌سازی اساسی را در سراسر بوم‌سازگان دستگاه انجام می‌دهد، Play به‌طور خودکار مشکلات و قطعی‌های مربوط به کلید را کاهش می‌دهد، و می‌توانید از این API برای شناسایی تهدیدهای دیگر استفاده کنید. توسعه‌دهندگانی که به‌جای تکیه بر Play Integrity API، تصدیق کلید را مستقیماً پیاده‌سازی می‌کنند باید برای چرخش گواهینامه ریشه پلاتفرم Android که در فوریه ۲۰۲۶ انجام می‌شود آماده شوند تا از بروز اختلال جلوگیری کنند (توسعه‌دهندگانی که از Play Integrity API استفاده می‌کنند لازم نیست اقدامی انجام دهند).

بررسی برنامه Firebase: توسعه‌دهندگانی که از Firebase استفاده می‌کنند می‌توانند از بررسی برنامه Firebase برای دریافت حکم تمامیت برنامه و دستگاه با پشتیبانی Play Integrity API در دستگاه‌های Android تأییدشده، به‌همراه پاسخ‌های سایر ارائه‌دهندگان گواهی پلاتفرم استفاده کنند. برای شناسایی همه تهدیدهای دیگر و استفاده از دیگر ویژگی‌های Play،‏ Play Integrity API را مستقیماً ادغام کنید.

reCAPTCHA Enterprise: مشتریان سازمانی که به‌دنبال راه‌حل کامل مدیریت کلاهبرداری و روبات هستند می‌توانند reCAPTCHA Enterprise را برای تلفن همراه خریداری کنند. reCAPTCHA Enterprise از برخی نشان‌های ضدسوءاستفاده Play Integrity API استفاده می‌کند و آن‌ها را با نشان‌های reCAPTCHA ترکیب می‌کند.

امروز از کسب‌وکارتان محافظت کنید

‫Play Integrity API با داشتن پایه‌ای قوی در امنیت با پشتیبانی سخت‌افزار و با مکالمه‌های اصلاحی خودکار جدید که یکپارچه‌سازی را ساده می‌کند، ابزاری ضروری برای محافظت از رشد شما است.

با مستندات Play Integrity API شروع کنید.