API anahtarınızın güvenliğini sağlamak için Uygulama Kontrolü'nü kullanma
Firebase Uygulama Kontrolü, meşru uygulamalar dışındaki kaynaklardan gelen trafiği engelleyerek uygulamanızdan Google Haritalar Platformu'na yapılan çağrıları korur. Bu işlem, Play Integrity gibi bir onay sağlayıcıdan alınan jetonun varlığını kontrol ederek yapılır. Uygulamalarınızı Uygulama Kontrolü ile entegre etmek, kötü amaçlı isteklere karşı korunmanıza yardımcı olur. Böylece, yetkisiz API çağrıları için sizden ücret alınmaz.
Uygulama Kontrolü benim için uygun mu?
Çoğu durumda Uygulama Kontrolü önerilir. Ancak aşağıdaki durumlarda Uygulama Kontrolü gerekli değildir veya desteklenmez:
Orijinal Places SDK'yı kullanıyorsunuz. App Check yalnızca Yerler SDK'sı (Yeni) için desteklenir.
Özel veya deneysel uygulamalar. Uygulamanıza herkesin erişimi yoksa Uygulama Denetimi gerekli değildir.
Uygulamanız yalnızca sunucudan sunucuya kullanılıyorsa App Check'e gerek yoktur. Ancak GMP ile iletişim kuran sunucu herkese açık istemciler (ör. mobil uygulamalar) tarafından kullanılıyorsa GMP yerine bu sunucuyu korumak için App Check'i kullanmayı düşünebilirsiniz.
App Check'in önerdiği onay sağlayıcılar, onay sağlayıcınız tarafından güvenliği ihlal edilmiş veya güvenilmez olarak kabul edilen cihazlarda çalışmaz. Bu tür cihazları desteklemeniz gerekiyorsa özel bir onay hizmeti dağıtabilirsiniz. Daha fazla bilgi için talimatları inceleyin.
Uygulama adımlarına genel bakış
Uygulamanızı App Check ile entegre etmek için genel olarak şu adımları uygulayacaksınız:
Firebase'i uygulamanıza ekleyin.
App Check kitaplığını ekleyin ve başlatın.
Jeton sağlayıcıyı ekleyin.
Hata ayıklamayı etkinleştirin.
Uygulama isteklerinizi izleyin ve yaptırım konusunda karar verin.
App Check ile entegrasyonu tamamladıktan sonra Firebase konsolunda arka uç trafiği metriklerini görebilirsiniz. Bu metrikler, isteklerin geçerli bir Uygulama Kontrolü jetonuyla birlikte gönderilip gönderilmediğine göre dökümünü sağlar. Daha fazla bilgi için Firebase Uygulama Kontrolü dokümanlarını inceleyin.
Çoğu isteğin meşru kaynaklardan geldiğinden ve kullanıcıların, App Check uygulamanızı içeren uygulamanızın en son sürümüne güncellediğinden emin olduğunuzda zorlamayı etkinleştirebilirsiniz. Zorunlu kılma etkinleştirildikten sonra Uygulama Kontrolü, geçerli bir Uygulama Kontrolü jetonu içermeyen tüm trafiği reddeder.
Uygulama Denetimi entegrasyonu planlarken dikkat edilmesi gerekenler
Entegrasyonunuzu planlarken göz önünde bulundurmanız gereken bazı noktalar:
Önerdiğimiz onay sağlayıcı Play Integrity'nin Standart API kullanım katmanı için günlük çağrı sınırı vardır.
Arama sınırları hakkında daha fazla bilgi için Google Play Bütünlüğü geliştirici belgelerindeki Kurulum sayfasını inceleyin.
Gelişmiş bir kullanım alanı olsa da özel bir onay sağlayıcıyı da kullanabilirsiniz. Daha fazla bilgi için Özel bir App Check sağlayıcısı uygulama başlıklı makaleyi inceleyin.
Uygulamanızın kullanıcıları, başlatma sırasında bir miktar gecikme yaşayacaktır. Ancak daha sonra, düzenli olarak yeniden onaylama işlemleri arka planda gerçekleşir ve kullanıcılar artık herhangi bir gecikme yaşamaz. Başlangıçtaki tam gecikme miktarı, seçtiğiniz onay sağlayıcıya bağlıdır.
Uygulama Kontrolü jetonunun geçerli olduğu süre (geçerlilik süresi veya TTL), yeniden onaylama sıklığını belirler. Bu süre Firebase konsolunda yapılandırılabilir. Yeniden onaylama, TTL'nin yaklaşık yarısı geçtiğinde gerçekleşir. Daha fazla bilgi için onay sağlayıcınızın Firebase dokümanlarına bakın.
Uygulamanızı App Check ile entegre etme
Ön koşullar ve gereksinimler
4.1 veya sonraki sürümlerde Places SDK'sı entegre edilmiş bir uygulama
Uygulamanızın SHA-256 parmak izi.
Uygulamanızın paket adı.
Cloud Console'da uygulamanın sahibi olmanız gerekir.
Cloud Console'dan uygulamanın proje kimliğini almanız gerekir.
4. adım: Hata ayıklamayı etkinleştirin (isteğe bağlı)
Uygulamanızı yerel olarak geliştirip test etmek veya sürekli entegrasyon (CI) ortamında çalıştırmak istiyorsanız geçerli App Check jetonları almak için hata ayıklama gizlisi kullanan bir hata ayıklama derlemesi oluşturabilirsiniz. Bu sayede, hata ayıklama derlemenizde gerçek onay sağlayıcıları kullanmaktan kaçınabilirsiniz.
Uygulamanızı bir emülatörde veya test cihazında çalıştırmak için:
5. adım: Uygulama isteklerinizi izleyin ve yaptırım konusunda karar verin
Yaptırım uygulamaya başlamadan önce uygulamanızın meşru kullanıcılarının hizmetten yararlanmasını engellemeyeceğinizden emin olmanız gerekir. Bunu yapmak için uygulama trafiğinizin hangi yüzdesinin doğrulandığını, güncel olmadığını veya yasa dışı olduğunu görmek üzere Uygulama Kontrolü metrikleri ekranını ziyaret edin. Trafiğinizin çoğunun doğrulandığını gördüğünüzde zorunlu kılmayı etkinleştirebilirsiniz.
[[["Anlaması kolay","easyToUnderstand","thumb-up"],["Sorunumu çözdü","solvedMyProblem","thumb-up"],["Diğer","otherUp","thumb-up"]],[["İhtiyacım olan bilgiler yok","missingTheInformationINeed","thumb-down"],["Çok karmaşık / çok fazla adım var","tooComplicatedTooManySteps","thumb-down"],["Güncel değil","outOfDate","thumb-down"],["Çeviri sorunu","translationIssue","thumb-down"],["Örnek veya kod sorunu","samplesCodeIssue","thumb-down"],["Diğer","otherDown","thumb-down"]],["Son güncelleme tarihi: 2025-08-30 UTC."],[[["\u003cp\u003eFirebase App Check protects your Google Maps Platform API key by verifying requests and blocking unauthorized traffic.\u003c/p\u003e\n"],["\u003cp\u003eApp Check is recommended for most apps using Places SDK (New) but is not needed for server-to-server apps, private apps, or those using the original Places SDK.\u003c/p\u003e\n"],["\u003cp\u003eIntegrating App Check involves adding Firebase, initializing the library and a token provider, enabling debugging (optional), and monitoring requests before enforcing token validation.\u003c/p\u003e\n"],["\u003cp\u003ePlay Integrity is the recommended attestation provider; consider daily call limits and latency during initial token fetch.\u003c/p\u003e\n"],["\u003cp\u003eBefore enforcing App Check, ensure most requests are verified using the Firebase console metrics and ensure web service calls in your cloud project use OAuth.\u003c/p\u003e\n"]]],["App Check protects Google Maps Platform API keys by verifying requests originate from legitimate apps. Implementation involves: adding Firebase and the App Check library, initializing App Check, adding a token provider, optionally enabling debugging for testing, and monitoring app request metrics before enabling enforcement. App Check is not needed for the original Places SDK, private apps, or server-to-server communication. Play Integrity is the recommended attestation provider. Enforcement blocks requests without valid tokens.\n"],null,["Select platform: [Android](/maps/documentation/places/android-sdk/app-check \"View this page for the Android platform docs.\") [iOS](/maps/documentation/places/ios-sdk/app-check \"View this page for the iOS platform docs.\") [JavaScript](/maps/documentation/javascript/maps-app-check \"View this page for the JavaScript platform docs.\")\n\n\u003cbr /\u003e\n\nUse App Check to secure your API key\n====================================\n\n\n[Firebase App Check](https://firebase.google.com/docs/app-check) provides protection for calls from your app to Google Maps Platform by blocking traffic that comes from sources other than legitimate apps. It does this by checking for a token from an attestation provider like [Play Integrity](https://developer.android.com/google/play/integrity). Integrating your apps with App Check helps to protect against malicious requests, so you're not charged for unauthorized API calls.\n\nIs App Check right for me?\n--------------------------\n\n\nApp Check is recommended in most cases, however App Check is not needed or is not supported in the following cases:\n\n- You are using the original Places SDK. **App Check is only supported for Places SDK (New)**.\n- Private or experimental apps. If your app is not publicly accessible, App Check is not needed.\n- If your app is only used server-to-server, App Check is not needed. However, if the server that communicates with GMP is used by public clients (such as mobile apps), consider [using App Check to protect that server](https://firebase.google.com/docs/app-check/custom-resource-backend) instead of GMP.\n- App Check's recommended attestation providers won't work on devices deemed compromised or untrustworthy by your attestation provider. If you need to support such devices, you can deploy a custom attestation service. For more information, see the [instructions](https://firebase.google.com/docs/app-check/android/custom-resource).\n\nOverview of implementation steps\n--------------------------------\n\nAt a high level, these are the steps you'll follow to integrate your app with App Check:\n\n1. Add Firebase to your app.\n2. Add and initialize the App Check library.\n3. Add the token provider.\n4. Enable debugging.\n5. Monitor your app requests and decide on enforcement.\n\n\nOnce you've integrated with App Check, you'll be able to see backend traffic metrics on the Firebase console. These metrics provide breakdown of requests by whether they are accompanied by a valid App Check token. See the [Firebase App Check documentation](https://firebase.google.com/docs/app-check/monitor-metrics) for more information.\n\n\nWhen you're sure that most requests are from legitimate sources and that users have updated to the latest version of your app that includes your implementation of App Check, you can turn on enforcement. Once enforcement is on, App Check will reject all traffic without a valid App Check token.\n| **Note:** App check enforcement is not turned on by default.\n\nConsiderations when planning an App Check integration\n-----------------------------------------------------\n\n\nHere are some things to consider as you plan your integration:\n\n- The attestation provider we recommend, [Play Integrity](https://developer.android.com/google/play/integrity), has a daily call limit for its Standard API usage tier.\n For more information about call limits, see the [Setup](https://developer.android.com/google/play/integrity/setup#increase-daily) page in the Google Play Integrity developer documentation.\n\n You can also choose to use a custom attestation provider, though this is an advanced use case. For more information, see [Implement a custom App Check provider](https://firebase.google.com/docs/app-check/custom-provider).\n- Users of your app will experience some latency on startup. However, afterwards, any periodic re-attestation will occur in the background and users should no longer experience any latency. The exact amount of latency at startup depends on the attestation provider you choose.\n\n The amount of time that the App Check token is valid (the *time to live* , or TTL) determines the frequency of re-attestations. This duration can be configured in the Firebase console. Re-attestation occurs when approximately halkf of the TTL has elapsed. For more information, see the [Firebase docs](https://firebase.google.com/docs/app-check#get_started) for your attestation provider.\n\nIntegrate your app with App Check\n---------------------------------\n\n| Note: Get help faster! For support regarding the Firebase-related portions of this process, see [Firebase support](https://firebase.google.com/support). For support regarding the Google Places SDK for Android, see [Google Maps Platform support](/maps/support).\n\n### Prerequisites and requirements\n\n- An app with the version 4.1 or later Places SDK integrated.\n- The SHA-256 fingerprint for your app.\n- Your app's package name.\n- You must be the owner of the app in Cloud Console.\n- You will need the app's project ID from the Cloud Console\n\n### Step 1: Add Firebase to your app\n\n\nFollow [the instructions in the Firebase developer documentation](https://firebase.google.com/docs/android/setup) to add Firebase to your app.\n\n### Step 2: Add the App Check library and initialize App Check\n\nFor information on using Play Integrity, the default attestation provider, see [Get started using App Check with Play Integrity on Android](https://firebase.google.com/docs/app-check/android/play-integrity-provider).\n\n1. If you haven't already, [integrate the Places SDK into your app](/maps/documentation/places/android-sdk/config#places-sdk-for-android).\n2. Next, initialize [App Check](https://firebase.google.com/docs/app-check/android/play-integrity-provider#initialize) and the [Places client](/maps/documentation/places/android-sdk/config#connect-client).\n\n ```java\n // Initialize App Check\n FirebaseApp.initializeApp(/* context= */ this);\n FirebaseAppCheck firebaseAppCheck = FirebaseAppCheck.getInstance();\n firebaseAppCheck.installAppCheckProviderFactory(\n PlayIntegrityAppCheckProviderFactory.getInstance());\n \n // Initialize Places SDK\n Places.initializeWithNewPlacesApiEnabled(context, API_KEY);\n PlacesClient client = Places.createClient(context);.\n ```\n\n### Step 3: Add the token provider\n\n\nAfter initializing the Places API, call `setPlacesAppCheckTokenProvider()` to set the `PlacesAppCheckTokenProvider`. \n\n```java\nPlaces.initializeWithNewPlacesApiEnabled(context, API_KEY);\nPlaces.setPlacesAppCheckTokenProvider(new TokenProvider());\nPlacesClient client = Places.createClient(context);.\n```\n\n\nHere is a sample implementation of the token fetcher interface: \n\n```java\n /** Sample client implementation of App Check token fetcher interface. */\n static class TokenProvider implements PlacesAppCheckTokenProvider {\n @Override\n public ListenableFuture\u003cString\u003e fetchAppCheckToken() {\n SettableFuture\u003cString\u003e future = SettableFuture.create();\n FirebaseAppCheck.getInstance()\n .getAppCheckToken(false)\n .addOnSuccessListener(\n appCheckToken -\u003e {\n future.set(appCheckToken.getToken());\n })\n .addOnFailureListener(\n ex -\u003e {\n future.setException(ex);\n });\n\n return future;\n }\n }\n```\n\n### Step 4: Enable debugging (optional)\n\nIf you'd like to develop and test your app locally, or run it in a continuous integration (CI) environment, you can create a debug build of your app that uses a debug secret to obtain valid App Check tokens. This lets you avoid using real attestation providers in your debug build.\n\nTo run your app in an emulator or on a test device:\n\n- Add the App Check library to your `build.gradle` file.\n- Configure App Check to use the debug provider factory in your debug build.\n- Launch the app, which will create a local debug token. Add this token to the Firebase console.\n- For more information and instructions, see the [App Check documentation](https://firebase.google.com/docs/app-check/android/debug-provider#emulator).\n\n\nTo run your app in a CI environment:\n\n- Create a debug token in the Firebase console and add it to your CI system's secure key store.\n- Add the App Check library to your `build.gradle` file.\n- Configure your CI build variant to use the debug token.\n- Wrap code in your test classes that needs an App Check toke with `DebugAppCheckTestHelper`.\n- For more information and instructions, see the [App Check documentation](https://firebase.google.com/docs/app-check/android/debug-provider#ci).\n\n### Step 5: Monitor your app requests and decide on enforcement\n\n\nBefore you begin enforcement, you'll want to make sure that you won't disrupt legitimate users of your app. To do this, visit the App Check metrics screen to see what percentage of your app's traffic is verified, outdated, or illegitimate. Once you see that the majority of your traffic is verified, you can enable enforcement.\n\n\nSee the [Firebase App Check documentation](https://firebase.google.com/docs/app-check/monitor-metrics) for more information and instructions.\n| Before you enforce App Check, make sure any Web Service calls in your Cloud project use [OAuth](/maps/documentation/places/web-service/oauth-token)."]]
