Zwalczanie oszustw i nadużyć

Wraz ze wzrostem popularności Twojej aplikacji może ona przyciągać niepożądaną uwagę złośliwych użytkowników, którzy mogą chcieć nadużywać Twojej aplikacji. W tym artykule znajdziesz zalecenia, które pomogą Ci zapobiegać takim atakom na integrację rozliczeń i zmniejszać wpływ nadużyć w aplikacji.

Przeniesienie newralgicznych elementów logiki do backendu

W miarę możliwości przenieś newralgiczne dane i elementy logiki na serwer backendu, nad którym masz kontrolę. Im więcej danych i elementów logiki znajduje się na urządzeniu frontendowym, tym bardziej jest ono podatne na modyfikacje i manipulacje.

Na przykład w internetowej grze w szachy wszystkie ruchy powinny być weryfikowane w backendzie, a nie na podstawie założenia, że frontend zawsze wysyła prawidłowe ruchy.

Ponadto, jeśli znajdziesz luki w zabezpieczeniach lub problemy z bezpieczeństwem, w zależności od projektu systemu łatwiej będzie debugować, naprawiać i wdrażać aktualizacje w backendzie niż w frontendzie.

Weryfikowanie zakupów przed przyznaniem uprawnień

Szczególnym przypadkiem newralgicznych danych i elementów logiki, które powinny być obsługiwane w backendzie, jest weryfikacja zakupów i potwierdzenie. Gdy użytkownik dokona zakupu, wykonaj te czynności:

Wyślij odpowiedni purchaseToken do backendu. Oznacza to, że musisz prowadzić rejestr wszystkich wartości purchaseToken dla wszystkich zakupów.
Sprawdź, czy wartość purchaseToken dla bieżącego zakupu nie jest zgodna z żadną poprzednią wartością purchaseToken. purchaseToken jest unikalny na całym świecie, więc możesz bezpiecznie używać tej wartości jako klucza podstawowego w bazie danych.
Użyj punktów końcowych Purchases.products:get lub Purchases.subscriptionsv2:get w interfejsie Google Play Developer API, aby zweryfikować z Google, że zakup jest prawidłowy.
Jeśli zakup jest prawidłowy i nie był używany w przeszłości, możesz bezpiecznie przyznać uprawnienia do zakupu w aplikacji lub subskrypcji.
W przypadku subskrypcji, gdy linkedPurchaseToken jest ustawiony w Purchases.subscriptionsv2:get, należy też usunąć linkedPurchaseToken z bazy danych i cofnąć uprawnienia, które są przyznane do linkedPurchaseToken, aby mieć pewność, że wielu użytkowników nie ma uprawnień do tego samego zakupu.
Uprawnienia należy przyznawać tylko wtedy, gdy stan zakupu to PURCHASED, i należy prawidłowo obsługiwać zakupy w stanie PENDING. Jeśli nastąpi gwałtowny wzrost liczby zakupów w stanie CANCELED, możesz przyznawać uprawnienia, gdy zakup jest jeszcze w stanie PENDING. Więcej informacji znajdziesz w artykule Obsługa transakcji oczekujących.
Jeśli po przyznaniu uprawnień chcesz wykorzystać i potwierdzić produkt jednorazowy, użyj interfejsu Play Developer API na bezpiecznym serwerze backendu.Purchases.products:consume Aby potwierdzić produkt niejednorazowy lub subskrypcję, wywołaj odpowiedni punkt końcowy interfejsu Play Developer API, czyli Purchases.products:acknowledge lub Purchases.subscriptions:acknowledge na bezpiecznym serwerze backendu. Potwierdzenie jest wymagane, ponieważ informuje Google Play, że użytkownik otrzymał uprawnienia do zakupu. Zakup należy potwierdzić natychmiast po przyznaniu uprawnień.

Pamiętaj, że chociaż możesz potwierdzić lub skonsumować zakup po stronie klienta za pomocą aplikacji, interfejsy API po stronie serwera zapewniają dodatkową ochronę przed problemami takimi jak słabe połączenie sieciowe i złośliwa aktywność. Załóżmy na przykład, że użytkownik kupił element w Twojej aplikacji, ale utracił połączenie sieciowe podczas weryfikacji zakupu. Bez potwierdzenia po stronie serwera może być konieczne ponowne zalogowanie się w aplikacji, aby dokończyć proces potwierdzenia. W przeciwnym razie, jeśli użytkownik nie zaloguje się ponownie w ciągu 3 dni, zakup zostanie automatycznie zwrócony z powodu braku potwierdzenia. Potwierdzenie po stronie serwera zapobiega takiej sytuacji, ponieważ wysyła potwierdzenie, gdy tylko Google Play powiadomi serwer, że zakup jest prawidłowy.

Więcej informacji o potwierdzaniu i wykorzystywaniu zakupów znajdziesz w artykule Przetwarzanie zakupów.

Ochrona odblokowanych treści

Aby uniemożliwić złośliwym użytkownikom redystrybucję odblokowanych treści, nie dołączaj ich do pliku APK. Zamiast tego wykonaj jedną z tych czynności:

Użyj usługi w czasie rzeczywistym do dostarczania treści, np. źródła treści. Dostarczanie treści za pomocą usługi w czasie rzeczywistym umożliwia też utrzymywanie ich aktualności.
Użyj serwera zdalnego do dostarczania treści.

Gdy dostarczasz treści z serwera zdalnego lub usługi w czasie rzeczywistym, możesz przechowywać odblokowane treści w pamięci urządzenia lub na karcie SD. Jeśli przechowujesz treści na karcie SD, zaszyfruj je i użyj klucza szyfrowania specyficznego dla urządzenia.

Wykrywanie i obsługa unieważnionych zakupów

Unieważnione zakupy to zakupy, które zostały anulowane, cofnięte lub obciążone zwrotem. Jeśli unieważniony zakup przyznał wcześniej użytkownikowi elementy w aplikacji lub inne treści, możesz użyć interfejsu Voided Purchases API aby uzyskać powód unieważnienia zakupu oraz powiązane z nim treści, które możesz odzyskać.

Zakupy elementów w aplikacji i subskrypcji mogą zostać unieważnione z różnych powodów, m.in.:

Zakup został anulowany przez użytkownika, dewelopera lub Google (w tym automatycznie anulowane zakupy, które nie zostały potwierdzone). W przypadku subskrypcji pamiętaj, że chodzi o anulowanie zakupu subskrypcji, a nie samej subskrypcji.
Zakup został obciążony zwrotem.
Deweloper aplikacji anuluje zamówienie użytkownika lub zwraca za nie środki i zaznacza w konsoli opcję „Cofnij”.

Na podstawie powodu unieważnienia zakupu i z uwzględnieniem wcześniejszych danych o zachowaniu użytkownika możesz podjąć odpowiednie działania. Zalecamy wdrożenie co najmniej jednego z tych rozwiązań:

Odzyskiwanie środków: gdy zakup zostanie unieważniony, możesz odzyskać niewykorzystane elementy tak, jakby nigdy nie zostały kupione. Jeśli na przykład zakup waluty w grze został unieważniony, możesz odzyskać walutę, która została już przyznana użytkownikowi. Jeśli użytkownik wydał już walutę, rozważ ustawienie ujemnego salda waluty i ograniczenie aktywności w aplikacji oraz przyszłych zakupów do momentu, aż saldo waluty będzie dodatnie.
Wdrożenie systemu ostrzeżeń: w przypadku pierwszych naruszeń rozważ podjęcie mniej drastycznych działań, np. wyświetlanie ostrzeżeń w aplikacji. W przypadku powtarzających się naruszeń rozważ zastosowanie surowszych środków.
Tymczasowe wyłączenie zakupów: podobnie jak w przypadku systemu ostrzeżeń rozważ wyłączenie zakupów dla użytkowników, którzy dokonali unieważnionych zakupów, do czasu dokładnego zbadania przyczyn unieważnienia.
Tymczasowe lub trwałe zablokowanie dostępu do aplikacji: w skrajnych przypadkach powtarzających się złośliwych działań rozważ zablokowanie dostępu do aplikacji, tymczasowo lub na stałe.
Częste wywoływanie interfejsu Voided Purchases API: gdy wykryjesz co najmniej 1 unieważniony zakup, rozważ częstsze wywoływanie interfejsu Voided Purchases API, aby odzyskać środki za zakupy, zanim użytkownik je wykorzysta. Więcej informacji o limitach interfejsu Voided Purchases API znajdziesz w dokumentacji Voided Purchases API.

Pomoc Google w wykrywaniu oszustw, zanim do nich dojdzie

Niektóre rodzaje oszustw są związane ze złośliwymi użytkownikami, którzy tworzą wiele kont Google i kont w aplikacji, aby ukryć swoją aktywność.

Aby pomóc Google w mapowaniu kont Google na konta w aplikacji, użyj metod setObfuscatedAccountId i setObfuscatedProfileId w konstruktorze BillingFlowParams.

Google używa tych danych do wykrywania podejrzanych zachowań i blokowania niektórych rodzajów oszukańczych transakcji, zanim zostaną one sfinalizowane.

Podejmowanie działań w przypadku naruszenia praw autorskich lub znaków towarowych

Jeśli używasz serwera zdalnego do dostarczania treści lub zarządzania nimi, skonfiguruj aplikację tak, aby sprawdzała stan zakupu odblokowanych treści za każdym razem, gdy użytkownik uzyskuje do nich dostęp. Umożliwi Ci to cofnięcie uprawnień w razie potrzeby i zminimalizowanie piractwa. Jeśli zauważysz, że Twoje treści są redystrybuowane w Google Play, podejmij szybkie i zdecydowane działania. Więcej informacji znajdziesz na stronie Najczęstsze pytania dotyczące praw autorskich w Centrum pomocy z zakresu praw autorskich.