サービスに関する最新情報

脅威検出の強化、統合の簡素化: Play Integrity API で成長を保護

所要時間: 5 分
Dom Elliott のプロフィールを表示 Eric Lynch さんのプロフィールを表示
Dom Elliott & Eric Lynch

モバイル エコシステムにおける不正行為は、収益、成長、ユーザーの信頼を脅かす可能性があります。デベロッパーの成功を支援するため、Google Play は、復元力のある脅威検出サービスである Play Integrity API を提供しています。Play Integrity API を使用すると、インタラクションやサーバー リクエストが、Google Play によってインストールされ、認定 Android デバイスで実行されている、改変されていないアプリから送信された、正当なものであることを検証できます。

その効果は大きく、Play Integrity の機能を使用しているアプリは、他のアプリと比較して不正使用が平均 80% 低減しています。現在、Uber、TikTok、Stripe、Kabam、Wooga、Radar.com、Zimperium、Paytm、Remini など、さまざまなカテゴリのリーダーが、ビジネスの保護に reCAPTCHA を使用しています。

Google は、Play Integrity API の改善を続けています。統合が容易になり、高度な攻撃に対する耐性が向上したほか、新しい Play のアプリ内修正プロンプトにより、完全性基準を満たしていないユーザーやエラーが発生したユーザーをより適切に復旧できるようになりました。

ビジネスに対する脅威を検出する

Play Integrity API は、重要な操作中に収益に影響を与える特定の脅威を検出するように設計された判定結果を提供します。

  • 不正アクセス: accountDetails の判定結果は、ユーザーが Google Play でアプリやゲームをインストールしたか、またはアプリやゲームに課金したかを判断するのに役立ちます。
  • コードの改ざん: appIntegrity の判定結果は、Google Play で認識される改変のないバイナリとやり取りしているかどうかを判断するのに役立ちます。
  • 危険なデバイス、エミュレートされた環境: deviceIntegrity の判定結果は、アプリが正規の Play プロテクト認定済み Android デバイスまたは PC 版 Google Play Games の正規のインスタンスで実行されているかどうかを判断するのに役立ちます。
  • パッチが適用されていないデバイス: Android 13 以降を搭載したデバイスの場合、deviceIntegrity 判定結果の MEETS_STRONG_INTEGRITY レスポンスは、デバイスに最新のセキュリティ アップデートが適用されているかどうかを判断するのに役立ちます。deviceAttributes をオプトインして、証明済みの Android SDK バージョンをレスポンスに含めることもできます。
  • 他のアプリからの危険なアクセス: appAccessRiskVerdict は、ユーザー補助の権限の不正使用などによって、画面のキャプチャ、オーバーレイの表示、デバイスの操作に使用される可能性のあるアプリが実行されているかどうかを判断するのに役立ちます。この判定では、本来のユーザー補助の目的を果たすアプリは自動的に除外されます。
  • 既知のマルウェア: playProtectVerdict は、Google Play プロテクトがオンになっているかどうか、および危険なアプリのインストールがデバイスで検出されたかどうかを判断するのに役立ちます。
  • 異常に多いアクティビティ: recentDeviceActivity のレベルは、デバイスが異常に多くの完全性トークン リクエストを最近送信したかどうかを判断するのに役立ちます。リクエストが異常に多い場合は、自動生成トラフィックや攻撃によるものである可能性があります。
  • 不正行為の繰り返し、再利用されているデバイス: deviceRecall（ベータ版）は、アプリの再インストールやデバイスのリセットを行った後でも、以前にフラグを設定したデバイスとやり取りしているかどうかを判断するのに役立ちます。デバイスの呼び出しを使用すると、トラッキングする繰り返しアクションをカスタマイズできます。

この API は、スマートフォン、タブレット、折りたたみ式デバイス、Android Auto、Android TV、Android XR、ChromeOS、Wear OS などのさまざまな Android フォーム ファクタと、PC 版 Google Play Games に使用できます。

Play Integrity API を最大限に活用する

アプリやゲームは、セキュリティ上の考慮事項に沿って、不正使用対策戦略に段階的なアプローチを取ることで、Play Integrity API を活用して成功を収めています。

ステップ 1: 保護する対象を決定する: アプリやゲーム内のアクションやサーバー リクエストのうち、検証と保護が必要なものを決定します。たとえば、ユーザーがアプリを起動したとき、ログインしたとき、マルチプレーヤー ゲームに参加したとき、生成 AI コンテンツを生成したとき、送金したときなどに、完全性チェックを実行できます。

ステップ 2: 整合性判定レスポンスを収集する: 重要なタイミングで整合性チェックを実行して、判定データの収集を開始します。最初は違反措置を適用しません。これにより、インストール ベースのレスポンスを分析し、既存の不正行為シグナルや過去の不正行為データとの関連性を確認できます。

ステップ 3: 適用戦略を決定する: 回答の分析と保護対象に基づいて、適用戦略を決定します。たとえば、重要なタイミングでリスクの高いトラフィックを変更して、機密性の高い機能を保護できます。この API はさまざまなレスポンスを提供するため、レスポンスの組み合わせごとに付与する信頼レベルに基づいて、段階的な違反措置戦略を実装できます。

ステップ 4: 段階的に適用してユーザーをサポートする: 段階的に適用します。判定に問題がある場合や判定を利用できない場合に備えて、再試行戦略を用意し、問題が発生した正規ユーザーをサポートできるようにします。以下で説明する新しい Google Play アプリ内修正プロンプトを使用すると、問題が発生しているユーザーをこれまで以上に簡単に正常な状態に戻すことができます。

NEW: Let Play recover users with issues automatically

さまざまな完全性シグナルへの対応方法を決定するのは複雑な場合があります。さまざまな完全性レスポンスと API エラーコード（ネットワークの問題や古い Play 開発者サービスなど）を処理する必要があります。このプロセスを簡素化するため、新しい Google Play のアプリ内修正プロンプトを導入します。Google Play のメッセージをユーザーに表示して、アプリ内で直接、さまざまな問題を自動的に修正できます。これにより、統合の複雑さが軽減され、一貫性のあるユーザー インターフェースが確保され、より多くのユーザーを良好な状態に戻すことができます。

get_integrity.gif

GET_INTEGRITY は、問題を自動的に検出して解決します（この例ではネットワーク エラー）。

Play Integrity API ライブラリ バージョン 1.5.0 以降で利用可能な GET_INTEGRITY ダイアログをトリガーすると、さまざまな問題が発生した後に、必要な修正を自動的にユーザーに案内できます。たとえば、次のような修正が可能です。

  • 不正アクセス: GET_INTEGRITY は、accountDetails でユーザーを Play ライセンスのレスポンスに戻します。
  • コードの改ざん: GET_INTEGRITY は、appIntegrity で Google Play が認識したレスポンスにユーザーを戻します。
  • デバイスの完全性の問題: GET_INTEGRITY は、deviceIntegrity で MEETS_DEVICE_INTEGRITY 状態に戻る方法をユーザーに案内します。
  • 修正可能なエラーコード: GET_INTEGRITY は、ネットワーク接続の修正や Google Play 開発者サービスの更新をユーザーに求めるなど、修正可能な API エラーを解決します。

また、GET_STRONG_INTEGRITY（GET_INTEGRITY と同様に機能し、playProtectVerdict で既知のマルウェアの問題がない MEETS_STRONG_INTEGRITY 状態にユーザーを戻す）、GET_LICENSED（Google Play のライセンスを取得し、Google Play で認識された状態にユーザーを戻す）、CLOSE_UNKNOWN_ACCESS_RISK、CLOSE_ALL_ACCESS_RISK（リスクのあるアプリを閉じるようユーザーに促す）などの特別なダイアログも用意されています。

最新の完全性ソリューションを選択する

Google では、Play Integrity API に加えて、不正使用対策戦略の一環として検討できるいくつかの機能を提供しています。Play Integrity API と Google Play の自動保護は、アプリの配布を保護するためのユーザー エクスペリエンスとデベロッパー向けのメリットを提供します。既存のアプリについては、以前の Play ライセンス ライブラリを使用するのではなく、これらの最新の完全性ソリューションに移行することをおすすめします。

自動保護: Google Play の自動保護で不正なアクセスを防ぎ、ユーザーが引き続き公式のアプリ アップデートを受け取れるようにします。この機能を有効にすると、Google Play がアプリのコードにインストーラ チェックを自動的に追加します。デベロッパーによる統合は必要ありません。保護されたアプリが別のチャネルで再配布または共有された場合、ユーザーには Google Play からアプリを入手するよう求めるメッセージが表示されます。対象となる Google Play デベロッパーは、Google Play の高度な改ざん対策も利用できます。この対策では、難読化とランタイム チェックを使用して、攻撃者が保護されたアプリを改ざんして再配布することを困難にし、コストを増大させます。

Android プラットフォーム キー構成証明: ハードウェア格納型の Android プラットフォーム キー構成証明を利用するには、Play Integrity API を使用することをおすすめします。Play Integrity API がデバイス エコシステム全体で基盤となる実装を処理し、Google Play が鍵関連の問題やサービス停止を自動的に軽減します。また、この API を使用して他の脅威を検出することもできます。Play Integrity API を使用せずにキー構成証明を直接実装しているデベロッパーは、2026 年 2 月に予定されている Android プラットフォームのルート証明書のローテーションに備えて、中断を回避する必要があります（Play Integrity API を使用しているデベロッパーは、何もする必要はありません）。

Firebase App Check: Firebase を使用しているデベロッパーは、Firebase App Check を使用して、認定済みの Android デバイスで Play Integrity API を利用したアプリとデバイスの完全性の判定結果と、他のプラットフォーム証明書プロバイダからのレスポンスを受け取ることができます。他のすべての脅威を検出し、他の Play 機能を使用するには、Play Integrity API を直接統合します。

reCAPTCHA Enterprise: 不正行為と bot 管理の完全なソリューションをお探しの企業のお客様は、モバイル向けの reCAPTCHA Enterprise を購入できます。reCAPTCHA Enterprise は、Play Integrity API の不正行為防止シグナルの一部を使用し、reCAPTCHA シグナルと組み合わせてすぐに使用できます。

今すぐビジネスを保護

ハードウェア格納型セキュリティの強固な基盤と、統合を簡素化する新しい自動修正ダイアログを備えた Play Integrity API は、成長を保護するための不可欠なツールです。

Play Integrity API のドキュメントをご覧ください。

作成者:
続きを読む