Détection renforcée des menaces, intégration simplifiée : protégez votre croissance avec l'API Play Integrity

Dans l'écosystème mobile, les abus peuvent menacer vos revenus, votre croissance et la confiance des utilisateurs. Pour aider les développeurs à réussir, Google Play propose un service de détection des menaces résilient, l'API Play Integrity. L'API Play Integrity vous aide à vérifier que les interactions et les requêtes de serveur sont authentiques (autrement dit, qu'elles proviennent de votre application non modifiée sur un appareil Android certifié, installée par Google Play).

L'impact est significatif : le pourcentage d'utilisations non autorisées des applications qui utilisent les fonctionnalités Play Integrity est en moyenne inférieur de 80% à celui enregistré par les autres applications. Aujourd'hui, des leaders de différents secteurs, dont Uber, TikTok, Stripe, Kabam, Wooga, Radar.com, Zimperium, Paytm et Remini, l'utilisent pour protéger leur entreprise.

Nous continuons d'améliorer l'API Play Integrity pour faciliter son intégration, la rendre plus résistante aux attaques sophistiquées et mieux récupérer les utilisateurs qui ne respectent pas les normes d'intégrité ou qui rencontrent des erreurs grâce aux nouvelles invites de correction dans l'application Play.

Détecter les menaces qui pèsent sur votre entreprise

L'API Play Integrity propose des évaluations conçues pour détecter les menaces spécifiques qui ont un impact sur vos résultats lors d'interactions critiques.

• Accès non autorisé : l'évaluation accountDetails vous aide à déterminer si l'utilisateur a installé ou payé votre application ou votre jeu à partir de Google Play.
• Falsification de code : l'évaluation appIntegrity vous aide à déterminer si vous interagissez avec votre binaire non modifié reconnu par Google Play.
• Appareils à risque et environnements émulés : l'évaluation deviceIntegrity vous aide à déterminer si votre application s'exécute sur un appareil Android certifié Play Protect authentique ou sur une instance authentique de Google Play Jeux pour PC.
• Appareils non corrigés : pour les appareils exécutant Android 13 ou version ultérieure, la réponse MEETS_STRONG_INTEGRITY dans l'évaluation deviceIntegrity vous aide à déterminer si un appareil a appliqué les mises à jour de sécurité récentes. Vous pouvez également activer deviceAttributes pour inclure la version du SDK Android attestée dans la réponse.
• Accès risqué par d'autres applications : l'évaluation appAccessRiskVerdict vous aide à déterminer si des applications en cours d'exécution peuvent être utilisées pour effectuer des captures d'écran, afficher des superpositions ou contrôler l'appareil (par exemple, en utilisant de manière abusive l'autorisation d'accessibilité). Cette évaluation exclut automatiquement les applications qui répondent à de véritables besoins d'accessibilité.
• Logiciel malveillant connu : l'évaluation playProtectVerdict vous aide à déterminer si Google Play Protect est activé et s'il a détecté des applications douteuses ou dangereuses installées sur l'appareil.
• Hyperactivité : le niveau de recentDeviceActivity vous aide à déterminer si un appareil a effectué un nombre anormalement élevé de demandes de jetons d'intégrité récemment, ce qui pourrait indiquer un trafic automatisé et être le signe d'une attaque.
• Abus répétés et appareils réutilisés : deviceRecall (bêta) vous aide à déterminer si vous interagissez avec un appareil que vous avez déjà signalé, même si votre application a été réinstallée ou si l'appareil a été réinitialisé. Avec le rappel de données appareil, vous pouvez personnaliser les actions répétées que vous souhaitez suivre.

L'API peut être utilisée sur les facteurs de forme Android, y compris les téléphones, les tablettes, les appareils pliables, Android Auto, Android TV, Android XR, ChromeOS, Wear OS et Google Play Games pour PC.

Exploiter tout le potentiel de l'API Play Integrity

Des applications et des jeux ont réussi à utiliser l'API Play Integrity en suivant les considérations de sécurité et en adoptant une approche progressive pour leur stratégie de lutte contre les abus.

Étape 1 : Déterminez ce que vous souhaitez protéger : déterminez les actions et les requêtes de serveur dans vos applications et vos jeux qu'il est important de vérifier et de protéger. Par exemple, vous pouvez effectuer des contrôles d'intégrité lorsqu'un utilisateur lance l'application, se connecte, rejoint un jeu multijoueur, génère du contenu IA ou transfère de l'argent.

Étape 2 : Collectez les réponses de verdict d'intégrité : effectuez des vérifications d'intégrité à des moments importants pour commencer à collecter des données de verdict, sans appliquer de mesures d'application dans un premier temps. Vous pouvez ainsi analyser les réponses pour votre nombre d'installations (par utilisateur actif) et voir comment elles sont corrélées à vos signaux d'utilisation abusive existants et à l'historique des données d'utilisation abusive.

Étape 3 : Définissez votre stratégie d'application : définissez votre stratégie d'application en fonction de votre analyse des réponses et de ce que vous essayez de protéger. Par exemple, vous pouvez modifier le trafic risqué à des moments importants pour protéger les fonctionnalités sensibles. L'API propose un éventail de réponses qui vous permettent de mettre en œuvre une stratégie d'application par niveaux en fonction du niveau de confiance que vous accordez à chaque combinaison de réponses.

Étape 4 : Déployez progressivement l'application des règles et aidez vos utilisateurs : déployez progressivement l'application des règles. Prévoyez une stratégie de nouvelle tentative lorsque les verdicts présentent des problèmes ou ne sont pas disponibles, et préparez-vous à aider les utilisateurs légitimes qui rencontrent des problèmes. Les nouvelles invites de correction dans l'application Play, décrites ci-dessous, permettent de résoudre plus facilement que jamais les problèmes des utilisateurs.

NOUVEAU : Laissez Play récupérer automatiquement les utilisateurs rencontrant des problèmes

Il peut être difficile de décider comment réagir aux différents signaux d'intégrité. Vous devez gérer différentes réponses d'intégrité et codes d'erreur d'API (comme les problèmes de réseau ou les services Play obsolètes). Nous simplifions ce processus grâce aux nouvelles invites de correction dans l'application Play. Vous pouvez afficher une invite Google Play pour résoudre automatiquement un grand nombre de problèmes directement dans votre application. Cela réduit la complexité de l'intégration, garantit une interface utilisateur cohérente et permet à davantage d'utilisateurs de revenir à un état normal.

GET_INTEGRITY détecte automatiquement le problème (dans cet exemple, une erreur réseau) et le résout.

Vous pouvez déclencher la boîte de dialogue GET_INTEGRITY, disponible dans la version 1.5.0 ou ultérieure de la bibliothèque de l'API Play Integrity, après une série de problèmes pour guider automatiquement l'utilisateur vers les correctifs nécessaires, y compris :

• Accès non autorisé  : GET_INTEGRITY redirige l'utilisateur vers une réponse sous licence Play dans accountDetails.
• Altération du code : GET_INTEGRITY redirige l'utilisateur vers une réponse reconnue par Play dans appIntegrity.
• Problèmes d'intégrité de l'appareil : GET_INTEGRITY guide l'utilisateur pour qu'il revienne à l'état MEETS_DEVICE_INTEGRITY dans deviceIntegrity.
• Codes d'erreur corrigibles : GET_INTEGRITY résout les erreurs d'API corrigibles, par exemple en invitant l'utilisateur à résoudre les problèmes de connectivité réseau ou à mettre à jour les services Google Play.

Nous proposons également des boîtes de dialogue spécialisées, y compris  GET_STRONG_INTEGRITY (qui fonctionne comme GET_INTEGRITY tout en ramenant l'utilisateur à l'état MEETS_STRONG_INTEGRITY sans problème de logiciel malveillant connu dans le playProtectVerdict), GET_LICENSED (qui ramène l'utilisateur à un état sous licence Play et reconnu par Play), ainsi que CLOSE_UNKNOWN_ACCESS_RISK et CLOSE_ALL_ACCESS_RISK (qui invitent l'utilisateur à fermer les applications potentiellement risquées).

Choisir des solutions d'intégrité modernes

En plus de l'API Play Integrity, Google propose plusieurs autres fonctionnalités à prendre en compte dans votre stratégie globale de lutte contre les utilisations abusives. L'API Play Integrity et la protection automatique de Play offrent des avantages aux utilisateurs et aux développeurs pour sécuriser la distribution des applications. Nous encourageons les applications existantes à migrer vers ces solutions d'intégrité modernes au lieu d'utiliser l'ancienne bibliothèque Play Licensing.

Protection automatique  : empêchez les accès non autorisés grâce à la protection automatique de Google Play et assurez-vous que les utilisateurs continuent de recevoir les mises à jour officielles de votre application. Activez-la, et Google Play ajoutera automatiquement une vérification du programme d'installation au code de votre application, sans que cela nécessite de travail d'intégration de la part du développeur. Si votre application protégée est redistribuée ou partagée via un autre canal, l'utilisateur sera invité à la télécharger sur Google Play. Les développeurs Play éligibles ont également accès à la protection avancée contre la falsification de Play, qui utilise l'obscurcissement et les vérifications d'exécution pour rendre plus difficile et plus coûteuse la modification et la redistribution des applications protégées par des pirates informatiques.

Attestation de clé de plate-forme Android  : l'API Play Integrity est la méthode recommandée pour bénéficier de l'attestation de clé de plate-forme Android intégrée au matériel. L'API Play Integrity gère l'implémentation sous-jacente dans l'écosystème d'appareils, Play corrige automatiquement les problèmes et les pannes liés aux clés, et vous pouvez utiliser l'API pour détecter d'autres menaces. Les développeurs qui implémentent directement l'attestation des clés au lieu de s'appuyer sur l'API Play Integrity doivent se préparer à la prochaine rotation du certificat racine de la plate-forme Android en février 2026 pour éviter toute interruption (les développeurs qui utilisent l'API Play Integrity n'ont rien à faire).

Firebase App Check : les développeurs qui utilisent Firebase peuvent se servir de Firebase App Check pour recevoir un verdict sur l'intégrité de l'application et de l'appareil, fourni par l'API Play Integrity sur les appareils Android certifiés, ainsi que les réponses d'autres fournisseurs d'attestation de plate-forme. Pour détecter toutes les autres menaces et utiliser d'autres fonctionnalités Play, intégrez directement l'API Play Integrity.

reCAPTCHA Enterprise : les clients Enterprise qui recherchent une solution complète de gestion des fraudes et des bots peuvent acheter reCAPTCHA Enterprise pour mobile. reCAPTCHA Enterprise utilise certains des signaux anti-abus de l'API Play Integrity et les combine avec les signaux reCAPTCHA prêts à l'emploi.

Protégez votre entreprise dès aujourd'hui

Grâce à une base solide de sécurité intégrée au matériel et à de nouvelles boîtes de dialogue de correction automatisées qui simplifient l'intégration, l'API Play Integrity est un outil essentiel pour protéger votre croissance.

Premiers pas avec la documentation de l'API Play Integrity