Vous pouvez utiliser l'API Play Integrity pour protéger vos applications et vos jeux contre les interactions dangereuses. En identifiant ces interactions, votre application peut réagir de façon adéquate pour réduire les risques d'attaque et d'utilisation abusive.
Fonctionnement
L'API Integrity associe les fonctionnalités Google Play conçues pour lutter contre les utilisations abusives à différents signaux d'intégrité afin de permettre aux développeurs de jeux et d'applications Android de détecter le trafic potentiellement dangereux et frauduleux. Ce trafic peut provenir de versions modifiées de votre application ou de votre jeu, ainsi que d'appareils ou d'autres environnements non fiables. En détectant ce trafic, vous pouvez prendre les mesures appropriées pour limiter les attaques et les utilisations abusives (fraudes, tricherie, accès non autorisés, etc.).
Lorsqu'un utilisateur effectue une action définie par une application ou un jeu, votre serveur demande au code côté client d'appeler l'API Integrity. Le serveur Google Play renvoie une réponse chiffrée contenant une évaluation de l'intégrité qui indique si vous pouvez approuver cet appareil et son binaire. Votre application transmet ensuite cette réponse à votre serveur pour validation. Celui-ci peut décider de la procédure que l'application ou le jeu doit alors suivre.
L'API fournit une évaluation de l'intégrité sous forme de réponse contenant les informations suivantes :
- Binaire d'application authentique : déterminez si vous interagissez avec le binaire non modifié reconnu par Google Play.
- Installation Play authentique : déterminez si le compte utilisateur actuel dispose d'une licence, c'est-à-dire si l'utilisateur a installé ou payé votre application ou votre jeu à partir de Google Play.
- Appareil Android authentique : déterminez si votre application s'exécute sur un appareil Android authentique équipé des services Google Play (ou une instance authentique de Google Play Jeux pour PC).
Vous pouvez également choisir de recevoir des informations supplémentaires sur l'environnement dans l'évaluation de l'intégrité :
- Risque d'accès à l'application : déterminez si d'autres applications en cours d'exécution peuvent capturer l'écran, afficher des superpositions sur votre application ou contrôler l'appareil.
- Risque de logiciel malveillant connu : déterminez si Google Play Protect est activé et s'il a détecté un logiciel malveillant connu sur l'appareil.
Astuces :
- Vous pouvez surveiller l'état de l'API Play Integrity et d'autres services Play à l'aide du tableau de bord sur l'état de Google Play.
- Pour que l'API Integrity fonctionne au mieux avec votre application, suivez chacune des pratiques recommandées dans la documentation du site pour les développeurs Android.
Configurer et gérer l'API Play Integrity
Activer l'API Integrity pour votre application
Pour activer les réponses de l'API Integrity pour votre application, vous devez associer un projet Google Cloud dans la Play Console. Pour associer votre projet :
- Ouvrez la Play Console, puis accédez à la page Intégrité de l'appli (Tester et publier > Intégrité de l'appli).
- Faites défiler la page jusqu'à la section "API Play Integrity".
- Sélectionnez "Associer un projet existant", puis le projet que vous souhaitez associer.
- Cliquez sur Associer un projet Cloud.
Pour commencer à intégrer l'API Integrity dans votre application, procédez comme suit :
- Pour les applications Java/Kotlin, installez la dernière bibliothèque Android disponible pour l'API Play Integrity à partir du dépôt Maven de Google.
- Pour les jeux Unity, installez la dernière version des plug-ins Google Play pour Unity. Toutes les versions 2019.x, 2020.x et ultérieures sont compatibles. Si vous utilisez Unity 2018.x, installez la version 2018.4 ou une version ultérieure. Si vous utilisez Unity 2017.x, installez la version 2017.4.40 ou une version ultérieure. Unity 5.x et les versions antérieures ne sont pas compatibles.
- Pour les applications et les jeux natifs, installez la dernière version du SDK Play Core natif.
Pour commencer à utiliser l'API Play Integrity dans votre application ou votre jeu, vous pouvez maintenant suivre cette procédure sur le site Développeurs Android.
(Facultatif) Personnaliser les réponses de l'API Integrity
Pour savoir comment configurer les réponses de l'API Integrity, consultez le site pour les développeurs Android.
Pour modifier les réponses de l'API :
- Ouvrez la Play Console, puis accédez à la page Intégrité de l'appli (Tester et publier > Intégrité de l'appli).
- Faites défiler la page jusqu'à la section "API Play Integrity".
- Cliquez sur Paramètres.
- Faites défiler la page jusqu'à la section "Réponses".
- Cliquez sur Modifier.
- Cochez ou décochez les cases correspondant aux réponses d'API que vous souhaitez modifier.
- Cliquez sur Enregistrer les modifications.
Important : Les modifications apportées aux réponses de l'API sont prises en compte dès que vous les enregistrez, y compris lorsque votre application est en production. Avant de modifier les réponses de l'API dans la Play Console, vérifiez que votre serveur est prêt à les accepter.
(Facultatif) Configurer les paramètres des requêtes classiques
Par défaut, Google gère le chiffrement des réponses aux requêtes classiques. Toutefois, si vous le souhaitez, vous pouvez choisir de le gérer vous-même.
Important : Pour gérer vous-même le chiffrement des réponses qui l'était auparavant par Google (ou inversement), vous devez modifier le code sur votre serveur backend.
Pour gérer vous-même le chiffrement des réponses :
- Ouvrez la Play Console, puis accédez à la page Intégrité de l'appli (Tester et publier > Intégrité de l'appli).
- Faites défiler la page jusqu'à la section "API Play Integrity".
- Cliquez sur Paramètres.
- Faites défiler la page jusqu'à la section "Requêtes classiques". L'état par défaut indiqué à côté de "Chiffrement de réponse" est "Gérées par Google". Cliquez sur Modifier.
- Sélectionnez "Gérer et télécharger mes clés de chiffrement de réponse". Google va générer des clés de chiffrement de réponse que vous pourrez télécharger et gérer. Pour déchiffrer les réponses avec ces clés, vous devez modifier la logique de votre serveur backend.
- Suivez les instructions à l'écran pour générer un fichier .pem et importez-le afin de télécharger vos clés API.
- Cliquez sur Enregistrer les modifications.
- Un message à l'écran confirme que le mode de gestion du chiffrement des réponses a été modifié.
- Vos nouvelles clés de chiffrement de réponse seront automatiquement téléchargées. Vous pourrez toujours les télécharger plus tard en cliquant sur Télécharger les clés.
Si vous gérez vous-même vos clés et souhaitez qu'elles soient désormais gérées par Google :
- Ouvrez la Play Console, puis accédez à la page Intégrité de l'appli (Tester et publier > Intégrité de l'appli).
- Faites défiler la page jusqu'à la section "API Play Integrity".
- Cliquez sur Paramètres.
- Faites défiler la page jusqu'à la section "Requêtes classiques". L'état indiqué à côté de "Chiffrement de réponse" est "Autogérées", car vous avez auparavant choisi de gérer le chiffrement vous-même. Cliquez sur Modifier.
- Sélectionnez "Laisser Google gérer mon chiffrement de réponse (recommandé)", puis cliquez sur Enregistrer les modifications. Google va générer et gérer vos clés de chiffrement de réponse. Votre serveur backend doit appeler le serveur de Google Play pour déchiffrer les réponses.
Tester l'intégration de l'API Play Integrity
Pour tester l'intégration de l'API Integrity, vous pouvez configurer une liste de comptes Gmail. Commencez par vérifier que vos testeurs ont accès à votre version. Publiez votre application sur le canal de test interne ou sur le canal où vous souhaitez effectuer le test. Une fois cette étape effectuée, suivez les instructions expliquant comment gérer les testeurs à l'aide de leur adresse e-mail ou utiliser des groupes Google pour que vos testeurs puissent accéder à votre version.
Pour configurer un test :
- Ouvrez la Play Console, puis accédez à la page Intégrité de l'appli (Tester et publier > Intégrité de l'appli).
- Faites défiler la page jusqu'à la section "API Play Integrity".
- Cliquez sur Paramètres.
- Faites défiler la page jusqu'à la section "Tests".
- Cliquez sur Créer un test.
- Sélectionnez une liste de diffusion ou créez-en une.
- Cliquez sur Créer le test.
Personnaliser votre fiche Play Store lorsque des utilisateurs y accèdent à partir des boîtes de dialogue de l'API Integrity
Vous pouvez utiliser une boîte de dialogue de résolution de l'API Integrity pour inviter les utilisateurs qui ont obtenu votre application de manière non officielle à la télécharger depuis Google Play. Lorsque les utilisateurs appuient sur la boîte de dialogue, ils sont alors redirigés vers votre fiche Play Store, où ils peuvent appuyer sur le bouton d'installation (ou d'achat ou de mise à jour) pour ajouter l'application à leur bibliothèque Play.
Vous pouvez personnaliser les assets de votre fiche Play Store pour tous les utilisateurs qui appuient sur les boîtes de dialogue de résolution de l'API Integrity, y compris le nom, l'icône, les descriptions et les assets graphiques de votre application. Pour personnaliser votre fiche Play Store lorsque des utilisateurs y accèdent à partir d'une boîte de dialogue de l'API Integrity :
- Ouvrez la Play Console, puis accédez à la page Intégrité de l'appli (Tester et publier > Intégrité de l'appli).
- Faites défiler la page jusqu'à la section "API Play Integrity".
- Cliquez sur Paramètres.
- Faites défiler la page jusqu'à la section "Personnaliser la fiche Play Store".
- Cliquez sur Créer une fiche.
- Suivez les instructions de la page Créer une fiche Play Store personnalisée, puis cliquez sur Enregistrer.
Vous pouvez également créer des fiches Play Store personnalisées pour les boîtes de dialogue de l'API Integrity directement depuis la page "Fiches Play Store personnalisées" :
- Ouvrez la Play Console, puis accédez à la page Fiches Play Store personnalisées (Accroître le nombre d'utilisateurs > Fiches Play Store personnalisées).
- Cliquez sur Créer une fiche, indiquez si vous souhaitez créer une fiche ou en dupliquer une, puis cliquez sur Suivant.
- Sous "Informations sur l'application", recherchez la section "Audience cible".
- Sélectionnez Par URL, puis saisissez "playintegrity" dans la zone de texte.
- Saisissez tous les autres détails, puis cliquez sur Enregistrer.
Remarque : Le paramètre d'URL "playintegrity" est un mot clé spécial réservé aux liens profonds d'intégrité. Vous devez donc le saisir tel quel lorsque vous configurez la fiche Play Store personnalisée.
Augmenter le nombre maximal de requêtes quotidiennes pour l'API Play Integrity
Par défaut, les applications peuvent envoyer jusqu'à 10 000 requêtes par jour à l'API Integrity.
Pour consulter le volume de requêtes que votre application envoie quotidiennement :
- Ouvrez la Play Console, puis accédez à la page Intégrité de l'appli (Tester et publier > Intégrité de l'appli).
- Faites défiler la page jusqu'à la section "API Play Integrity".
- Consultez votre nombre quotidien de requêtes. Pour afficher plus de données, modifier la période et appliquer des filtres, cliquez sur Afficher le rapport sur l'API Integrity.
Pour consulter le nombre maximal de requêtes quotidiennes de votre application :
- Ouvrez la Play Console, puis accédez à la page Intégrité de l'appli (Tester et publier > Intégrité de l'appli).
- Faites défiler la page jusqu'à la section "API Play Integrity".
- Cliquez sur Paramètres.
- Affichez votre niveau d'utilisation.
Vous pouvez demander à pouvoir envoyer plus de 10 000 requêtes par jour. Pour cela :
- Vous devez vérifier que la logique d'API est correctement implémentée, y compris pour les nouvelles tentatives.
- Vous devez publier votre application sur Google Play en plus de la rendre disponible sur d'autres canaux de distribution.
Pour augmenter le nombre maximal de requêtes quotidiennes, remplissez ce formulaire.
Contenu associé
- Consultez la documentation sur l'API Play Integrity destinée aux développeurs
- Regardez cette vidéo de présentation de l'API Play Integrity.
- En savoir plus sur les services d'intégrité et de signature dans la Play Console
- En savoir plus sur les services de signature et liés à l'intégrité sur le site Développeurs Android