Более надежное обнаружение угроз и простая интеграция: защитите свой рост с помощью Play Integrity API

В мобильной экосистеме злоупотребления могут угрожать вашему доходу, росту и доверию пользователей. Чтобы помочь разработчикам, Google Play предлагает надежный сервис обнаружения угроз – Play Integrity API. Play Integrity API позволяет убедиться, что действия пользователей и серверные запросы исходят из вашего неизмененного приложения, запущенного на сертифицированном устройстве Android, которое было установлено из Google Play.

В среднем несанкционированное использование приложений с функциями Play Integrity на 80% ниже, чем у других приложений. Сегодня его используют руководители компаний из разных отраслей, в том числе Uber, TikTok, Stripe, Kabam, Wooga, Radar.com, Zimperium, Paytm и Remini.

Мы продолжаем улучшать Play Integrity API, чтобы его было проще интегрировать, чтобы он был более устойчив к сложным атакам и чтобы пользователи, которые не соответствуют стандартам целостности или сталкиваются с ошибками, могли восстановить доступ с помощью новых подсказок в приложении.

Обнаруживайте угрозы для своей компании

Play Integrity API предоставляет оценки, которые помогают выявлять определенные угрозы, влияющие на вашу прибыль во время важных взаимодействий.

• Несанкционированный доступ. Оценка accountDetails позволяет определить, установил или оплатил ли пользователь ваше приложение или игру через Google Play.
• Изменение кода. Оценка appIntegrity помогает узнать, используется ли неизмененная версия исполняемого файла, подтвержденная Google Play.
• Опасные устройства и эмулируемые среды. Оценка deviceIntegrity позволяет выявить, запущено ли приложение на немодифицированном сертифицированном устройстве Android или в подлинной версии Google Play Games на компьютере.
• Устройства без исправлений. Для устройств с Android 13 и более поздних версий ответ MEETS_STRONG_INTEGRITY в оценке deviceIntegrity помогает определить, установлены ли на устройстве недавние обновления системы безопасности. Вы также можете включить deviceAttributes, чтобы в ответе указывалась подтвержденная версия Android SDK.
• Риск доступа со стороны других приложений. Оценка appAccessRiskVerdict позволяет узнать, запущены ли приложения, которые могут использоваться для записи экрана, показа оверлеев или управления устройством (например, путем злоупотребления разрешениями на доступ к специальным возможностям). Это решение автоматически исключает приложения, которые действительно нужны для специальных возможностей.
• Известное вредоносное ПО. Оценка playProtectVerdict помогает выявить, включена ли Google Play Защита и обнаружены ли на устройстве подозрительные или опасные приложения.
• Гиперактивность. Уровень recentDeviceActivity позволяет определить, отправляло ли устройство аномально высокое число запросов токенов целостности в последнее время. Это может указывать на автоматическую передачу трафика или атаку.
• Повторные нарушения и неоднократное использование устройств. Оценка deviceRecall (бета) помогает узнать, взаимодействуете ли вы с устройством, на котором вы уже отмечали нарушения, даже если приложение было переустановлено или настройки устройства были сброшены. С помощью функции "Запоминание устройства" можно настроить повторяющиеся действия, которые вы хотите отслеживать.

API можно использовать на устройствах Android всех типов, включая телефоны, планшеты, складные устройства, Android Auto, Android TV, Android XR, ChromeOS и Wear OS, а также в Google Play Games на компьютере.

Как эффективно использовать Play Integrity API

Приложения и игры, в которых используется Play Integrity API, добиваются успеха, следуя принципам безопасности и поэтапно реализуя стратегию защиты от злоупотреблений.

Шаг 1. Определите, что вы хотите защитить. Решите, какие действия и запросы к серверу в ваших приложениях и играх важно проверять и защищать. Например, вы можете выполнять проверки целостности, когда пользователь запускает приложение, входит в аккаунт, присоединяется к многопользовательской игре, создает ИИ-контент или переводит деньги.

Шаг 2. Собирайте ответы о целостности. Выполняйте проверки целостности в важные моменты, чтобы начать собирать данные о вердиктах, но пока не применяйте их. Это позволит вам проанализировать ответы пользователей, сравнить их с существующими сигналами о нарушениях и историческими данными о нарушениях.

Шаг 3. Выберите стратегию применения правил. На основе анализа ответов и того, что вы хотите защитить, выберите стратегию применения правил. Например, вы можете перенаправлять подозрительный трафик в важные моменты, чтобы защитить конфиденциальные функции. API предлагает разные варианты ответов, поэтому вы можете реализовать многоуровневую стратегию защиты, основанную на уровне доверия к каждой комбинации ответов.

Шаг 4. Постепенно внедряйте принудительное применение правил и оказывайте поддержку пользователям. Разработайте стратегию повторных попыток, если вердикты недоступны или с ними возникли проблемы, и будьте готовы оказать поддержку добросовестным пользователям, у которых возникли проблемы. Новые подсказки для устранения проблем в приложении, описанные ниже, помогут вам вернуть пользователей, столкнувшихся с проблемами, к нормальному использованию приложения.

НОВИНКА: Google Play будет автоматически восстанавливать доступ к аккаунтам пользователей с проблемами

Решить, как реагировать на разные сигналы целостности, может быть сложно. Вам нужно обрабатывать различные ответы о целостности и коды ошибок API (например, проблемы с сетью или устаревшие сервисы Google Play). Мы упростили этот процесс, добавив подсказки по устранению нарушений в приложении Google Play. Вы можете показывать пользователям запрос Google Play, чтобы автоматически устранять различные проблемы прямо в приложении. Это упрощает интеграцию, обеспечивает единообразный интерфейс и помогает восстановить работу приложения для большего числа пользователей.

GET_INTEGRITY автоматически обнаруживает проблему (в этом примере – ошибку сети) и устраняет ее.

Вы можете активировать диалоговое окно  GET_INTEGRITY, доступное в библиотеке Play Integrity API версии 1.5.0 и выше, после возникновения различных проблем, чтобы автоматически помочь пользователю их устранить. Например, это окно может помочь в следующих случаях:

• Несанкционированный доступ.  GET_INTEGRITY возвращает пользователя к ответу с лицензией Play в accountDetails.
• Изменение кода. GET_INTEGRITY направляет пользователя к ответу, распознанному Google Play, в appIntegrity.
• Проблемы с защитой целостности данных на устройстве. GET_INTEGRITY помогает пользователю восстановить состояние MEETS_DEVICE_INTEGRITY в deviceIntegrity.
• Исправляемые коды ошибок. GET_INTEGRITY устраняет исправляемые ошибки API, например предлагает пользователю восстановить подключение к сети или обновить сервисы Google Play.

Мы также предлагаем специализированные диалоговые окна, в том числе  GET_STRONG_INTEGRITY (работает как GET_INTEGRITY, но при этом возвращает пользователя в состояние MEETS_STRONG_INTEGRITY без известных проблем с вредоносным ПО в playProtectVerdict), GET_LICENSED (возвращает пользователя в состояние, когда приложение лицензировано и распознается Google Play), а также CLOSE_UNKNOWN_ACCESS_RISK и CLOSE_ALL_ACCESS_RISK (предлагают пользователю закрыть потенциально опасные приложения).

Используйте современные решения для защиты целостности

Помимо Play Integrity API, Google предлагает несколько других функций, которые можно использовать в рамках общей стратегии защиты от злоупотреблений. Play Integrity API и автоматическая защита Google Play помогают разработчикам защищать распространение приложений и улучшать взаимодействие с пользователями. Мы рекомендуем разработчикам перевести существующие приложения на современные решения для защиты целостности вместо использования устаревшей библиотеки лицензирования Google Play.

Автоматическая защита.  Предотвращайте несанкционированный доступ с помощью автоматической защиты Google Play и убедитесь, что пользователи получают официальные обновления приложения. Включите ее, и Google Play автоматически добавит в код приложения проверку установщика. От вас не потребуется никаких действий. Если ваше защищенное приложение будет распространяться или передаваться через другой канал, пользователю будет предложено скачать его из Google Play. Разработчикам, соответствующим требованиям, также доступна расширенная защита от вмешательства, которая использует обфускацию и проверки во время выполнения, чтобы усложнить и удорожить для злоумышленников изменение и распространение защищенных приложений.

Подтверждение ключей платформы Android.  Play Integrity API – это рекомендуемый способ использовать подтверждение ключей платформы Android из аппаратного хранилища. Play Integrity API обеспечивает базовую реализацию на всех устройствах, Google Play автоматически устраняет проблемы с ключами и перебои в работе, а вы можете использовать API для обнаружения других угроз. Разработчикам, которые напрямую реализуют подтверждение ключа, а не используют Play Integrity API, следует подготовиться к предстоящей ротации корневого сертификата платформы Android в феврале 2026 года, чтобы избежать сбоев. Разработчикам, использующим Play Integrity API, никаких действий предпринимать не нужно.

Проверка приложений Firebase. Разработчики, использующие Firebase, могут получать от проверки приложений Firebase вердикт о целостности приложения и устройства на сертифицированных устройствах Android, а также ответы от других поставщиков подтверждения платформы. Чтобы обнаруживать другие угрозы и использовать другие функции Google Play, интегрируйте Play Integrity API напрямую.

reCAPTCHA Enterprise. Корпоративные клиенты, которым нужно комплексное решение для борьбы с мошенничеством и ботами, могут приобрести reCAPTCHA Enterprise для мобильных устройств. В reCAPTCHA Enterprise используются некоторые сигналы Play Integrity API, которые по умолчанию комбинируются с сигналами reCAPTCHA.

Защитите свой бизнес уже сегодня

Play Integrity API – это важный инструмент для защиты вашего роста. Он основан на надежной аппаратной защите и включает новые диалоговые окна автоматического исправления, которые упрощают интеграцию.

Начните работу с Play Integrity API.