Você pode usar a API Play Integrity para proteger apps e jogos contra interações arriscadas. Ao identificar essas interações, o app pode responder adequadamente para reduzir o risco de ataques e abuso.
Como funciona
A API Play Integrity protege seus apps e jogos contra abusos ao validar se as interações do usuário e solicitações do servidor partem do seu binário original, instalado via Google Play e executado em um dispositivo Android oficial (ou instância autêntica do Google Play Games para PC). Ao detectar diversas ameaças, como versões modificadas do app, dispositivos não confiáveis ou ambientes suspeitos, você pode reagir com precisão para reduzir fraudes, trapaças e acessos não autorizados.
Quando um usuário realiza uma ação, o app solicita uma avaliação da API Play Integrity. O servidor do Google Play retorna uma resposta criptografada com um veredito de integridade, que o app encaminha ao servidor para verificação. O servidor de back-end usa esse veredito para decidir o que o app ou jogo vai fazer em seguida.
A API retorna vereditos que ajudam a detectar possíveis ameaças, incluindo:
- Acesso não autorizado: o veredito
accountDetailsajuda a determinar se o usuário instalou ou pagou pelo app ou jogo no Google Play. - Adulteração de código: o veredito
appIntegrityajuda a determinar se você está interagindo com o binário não modificado reconhecido pelo Google Play. - Dispositivos de risco e ambientes emulados: o veredito
deviceIntegrityajuda a determinar se o app está sendo executado em um dispositivo Android certificado ou em uma instância oficial do Google Play Games para PC.
Importante: quando a API Play Integrity avalia um ambiente, ela usa indicadores de segurança com suporte de hardware que são altamente resilientes a ataques e evasão. A API Play Integrity simplifica o trabalho de integração do desenvolvedor e o gerenciamento contínuo ao abstrair a complexidade dos indicadores e a mitigação de problemas em várias versões do SDK do Android, chaves provisionadas pelo fabricante do dispositivo e modelos de dispositivos.
Os desenvolvedores do Google Play também podem ativar o recebimento de outros vereditos para detectar uma variedade maior de possíveis ameaças, incluindo:
- Dispositivos sem patch: a resposta
MEETS_STRONG_INTEGRITYno vereditodeviceIntegrityajuda a determinar se um dispositivo aplicou atualizações de segurança recentes (para dispositivos com Android 13 e versões mais recentes). - Acesso de risco por outros apps: o
appAccessRiskVerdictajuda a determinar se há apps em execução que podem ser usados para capturar a tela, mostrar sobreposições ou controlar o dispositivo (por exemplo, usando indevidamente a permissão de acessibilidade). - Malware conhecido: o
playProtectVerdictajuda a determinar se o Google Play Protect está ativado e se encontrou apps de risco ou perigosos instalados no dispositivo. - Hiperatividade: o nível
recentDeviceActivityajuda a identificar se um dispositivo realizou um volume anormal de solicitações ultimamente. Isso pode indicar tráfego automatizado e servir como sinal de um possível ataque. - Abuso repetido e dispositivos reutilizados: o
deviceRecall(Beta) ajuda a determinar se você está interagindo com um dispositivo que já foi sinalizado, mesmo que o app tenha sido reinstalado ou o dispositivo tenha sido redefinido.
A API pode ser usada em todos os formatos do Android, incluindo smartphones, tablets, dobráveis, Android Auto, Android TV, Android XR, ChromeOS, Wear OS e no Google Play Games para PC.
Dicas:
- É possível monitorar o status da API Play Integrity e de outros serviços usando o painel de status do Google Play.
- A API Integrity oferece um melhor resultado quando você segue todas as práticas recomendadas na documentação do site para desenvolvedores Android.
Configurar e gerenciar a API Play Integrity
Ativar a API Integrity para seu app
- Abra o Play Console e acesse Protegido com o Google Play no menu à esquerda.
- Role a tela até a seção "API Play Integrity".
- Clique em Vamos começar.
- Escolha "Vincular projeto existente" e o projeto a que você quer vincular.
- Clique em Vincular projeto do Cloud.
Para começar a integrar a API Integrity ao app, faça o seguinte:
- Para apps em Java/Kotlin, instale a biblioteca Android mais recente disponível para a API Play Integrity no repositório Maven do Google.
- Para jogos do Unity, instale a versão mais recente dos plug-ins do Google Play para Unity. Todas as versões 2019.x, 2020.x e mais recentes são compatíveis. Se você usar a Unity 2018.x, instale a versão 2018.4 ou mais recente. Caso use a Unity 2017.x, instale a versão 2017.4.40 ou mais recente. As versões Unity 5.x e mais antigas não são compatíveis.
- Para apps e jogos nativos, instale o SDK nativo do Play Core mais recente.
Siga estas etapas no site para desenvolvedores Android e comece a usar a API Play Integrity no seu app ou jogo.
(Opcional) Personalizar respostas da API Integrity
Para saber como configurar as respostas da API Integrity, acesse o site para desenvolvedores Android.
Para editar suas respostas da API, faça o seguinte:
- Abra o Play Console e acesse Protegido com o Google Play no menu à esquerda.
- Role a tela até a seção "API Play Integrity".
- Clique em Gerenciar.
- Role a tela até a seção "Respostas".
- Clique em Editar.
- Marque ou desmarque as caixas de seleção ao lado das respostas de API que você quer mudar.
- Clique em Salvar alterações.
Importante: as mudanças nas respostas da API entrarão em vigor imediatamente após serem salvas, inclusive quando seu app estiver em produção. Antes de mudar o conjunto de respostas da API no Play Console, confira se o servidor está preparado para aceitar essas respostas.
(Opcional) Definir as configurações de solicitação clássica
Por padrão, o Google gerencia sua criptografia de respostas para solicitações clássicas. No entanto, você pode optar por gerenciar esse recurso.
Para gerenciar por conta própria a criptografia de respostas, faça o seguinte:
- Abra o Play Console e acesse Protegido com o Google Play no menu à esquerda.
- Role a tela até a seção "API Play Integrity".
- Clique em Gerenciar.
- Role a tela até a seção "Solicitações clássicas". Ao lado de "Criptografia de resposta", o status vai ser "Gerenciadas pelo Google" por padrão. Clique em Alterar.
- Escolha "Gerenciar e fazer o download das minhas próprias chaves de criptografia de resposta". O Google gera chaves de criptografia de resposta para você baixar e gerenciar. É preciso atualizar a lógica do servidor de back-end para descriptografar as respostas com as chaves.
- Siga as instruções na tela para gerar um arquivo .pem e faça upload dele para fazer o download das chaves de API.
- Clique em Salvar alterações.
- Uma mensagem na tela confirmará que o gerenciamento da criptografia de resposta foi atualizado.
- O download das novas chaves de criptografia de resposta será feito automaticamente. Para fazer o download delas no futuro, clique em Baixar chaves.
Se quiser mudar de volta para o gerenciamento pelo Google, siga estas etapas:
- Abra o Play Console e acesse Protegido com o Google Play no menu à esquerda.
- Role a tela até a seção "API Play Integrity".
- Clique em Gerenciar.
- Role a tela até a seção "Solicitações clássicas". Ao lado de "Criptografia de resposta", o status vai ser "Autogerenciada", porque você o alterou antes. Clique em Editar.
- Escolha "Permitir que o Google gerencie minhas chaves de criptografia de resposta (recomendado)." e clique em Salvar alterações. O Google criará e gerenciará as chaves de criptografia de resposta. O servidor de back-end precisa chamar o servidor do Google Play para descriptografar as respostas.
Testar a integração da API Play Integrity
Para testar a integração da API Integrity, configure uma lista de contas do Gmail. Primeiro, confira se os testadores têm acesso à sua versão. Publique o app na faixa de teste interno ou na faixa em que você pretende fazer o teste. Em seguida, siga as instruções para gerenciar testadores por endereço de e-mail ou use os Grupos do Google. Assim os testadores poderão acessar sua versão.
Para configurar um teste, siga estas etapas:
- Abra o Play Console e acesse Protegido com o Google Play no menu à esquerda.
- Role a tela até a seção "API Play Integrity".
- Clique em Gerenciar.
- Role a tela até a seção "Teste".
- Clique em Criar novo teste.
- Selecione uma lista de e-mails ou crie uma nova.
- Clique em Criar teste.
Personalizar a página de detalhes do app acessada pelas caixas de diálogo da API Integrity
Você pode usar uma caixa de diálogo de correção da API Integrity para pedir que os usuários que baixaram o app não oficial o instalem pelo Google Play. Após tocarem na caixa de diálogo, ela vai redirecionar para a página de detalhes do app, onde será possível tocar no botão "Instalar" (ou "Comprar"/"Atualizar") para adicionar o app à biblioteca do Google Play do usuário.
Você pode personalizar os recursos da página de detalhes do app para todos os visitantes que tocarem nas caixas de diálogo de correção da API Integrity, incluindo nome, ícone, descrições e recursos gráficos do app. Para personalizar a página de detalhes do app quando os usuários acessam pela caixa de diálogo da API Integrity:
- Abra o Play Console e acesse Protegido com o Google Play no menu à esquerda.
- Role a tela até a seção "API Play Integrity".
- Clique em Gerenciar.
- Role a tela até a seção "Personalizar página 'Detalhes do app'".
- Clique em Criar Detalhes do app.
- Siga as instruções na página Criar página personalizada de detalhes do app e clique em Salvar.
Também é possível criar páginas personalizadas de detalhes do app para caixas de diálogo da API Integrity diretamente em Páginas detalhes do app personalizadas:
- Abra o Play Console e acesse a página Páginas Detalhes do app personalizadas (Aumente o número de usuários > Páginas Detalhes do app personalizadas).
- Clique em Criar Detalhes do app, escolha se quer criar ou duplicar uma página de detalhes e clique em Próxima.
- Em "Detalhes da entrada", encontre a seção "Público-alvo".
- Selecione Por URL e digite "playintegrity" na caixa de texto.
- Insira todos os outros detalhes e clique em Salvar.
Dica: o parâmetro de URL "playintegrity" é uma palavra-chave especial reservada para links diretos de integridade. Por isso, ele precisa ser inserido de forma exata ao configurar a página personalizada de detalhes do app.
Aumentar o máximo de solicitações diárias da API Play Integrity
Por padrão, os apps podem fazer até 10 mil solicitações por dia para a API Integrity.
Para conferir o volume de solicitações diárias do app:
- Abra o Play Console e acesse Protegido com o Google Play no menu à esquerda.
- Role a tela até a seção "Monitorar API Play Integrity".
- Clique no card do monitor para abrir o relatório da API Integrity e conferir o número diário de solicitações.
Para ver o máximo de solicitações diárias do app:
- Abra o Play Console e acesse Protegido com o Google Play no menu à esquerda.
- Role a tela até a seção "API Play Integrity".
- Clique em Gerenciar.
- Confira sua cota diária.
É possível pedir para fazer mais de 10 mil solicitações por dia. Para se qualificar, você precisa:
- Confirmar a implementação correta da lógica da API, incluindo novas tentativas
- Publicar o app no Google Play, além de em outros canais de distribuição
Para aumentar o número máximo de solicitações diárias, preencha este formulário.
Conteúdo relacionado
- Leia a documentação da API Play Integrity para desenvolvedores.
- Assista este vídeo de visão geral sobre a API Play Integrity.
- Saiba mais sobre a proteção com o Google Play no Play Console
- Saiba mais sobre a proteção com o Google Play no site para desenvolvedores Android.