SDK Signature
Adjust SDK Signature est une solution de lutte contre l'usurpation. La bibliothèque renforce la connexion du SDK Adjust vers les serveurs Adjust à l'aide d'un algorithme d'altération propriétaire, ainsi qu'un brouillage et des vérifications de sécurité, pour garantir sa propre intégrité.
La bibliothèque de SDK Signature est conçue pour s'intégrer facilement et fonctionner parfaitement avec le SDK Adjust, sans besoin d'ajouter une seule ligne de code.
Fonctionnement
La bibliothèque de SDK Signature n'est pas un moteur contre la fraude. Elle ne peut pas protéger de la fraude au niveau utilisateur, par exemple contre l'exploitation de bugs dans l'application, contre les modifications apportées aux ressources situées hors de l'application d'origine ou contre les erreurs logiques de l'application.
Lorsque le SDK Adjust envoie des informations aux serveurs Adjust, les informations sont chiffrées à l'aide de TLS (Transport Layer Security), un protocole de chiffrement du trafic web standard dans le secteur. Si TLS évite que vos informations ne soient lues par des personnes inappropriées, ces dernières peuvent tout de même envoyer des données frauduleuses d'installations ou d'événements au endpoint de votre application.
La bibliothèque de SDK Signature protège les connexions du SDK aux serveurs Adjust à l'aide d'algorithmes d'altération propriétaires, associés au brouillage et à des vérifications de sécurité, afin de garantir que les serveurs Adjust rejettent toutes les informations envoyées par des tierces parties. Le serveur vérifie que toutes les requêtes comportent une signature valide. Toute information non signée ou signée avec une signature non valide est rejetée, garantissant ainsi que vous recevez uniquement des informations valides.
La vidéo vous propose une présentation utile, mais ne se substitue pas à la documentation complète ci-dessous. Nous vous invitons à consulter les instructions écrites au complet pour vous assurer de ne manquer aucun détail important.
Vous trouverez ici l'enregistrement complet de la formation Comprendre les données et le reporting (Understanding Data & Reporting).
Pour bien commencer
La bibliothèque de SDK Signature est généralement fournie par défaut dans SDK v5 Ne réalisez une intégration distincte que si vous y êtes invité par le SDK ou si une version spécifique de la bibliothèque SDK Signature est requise.
La bibliothèque de SDK Signature est disponible pour Android, iOS et Unity. Pour intégrer la bibliothèque, suivez le guide d'intégration correspondant à votre plateforme.
Les autres frameworks multiplateformes ne sont pas pris en charge officiellement, sauf s'ils sont intégrés au SDK v5. Pour mettre à jour la bibliothèque de SDK Signature pour les frameworks multiplateformes, suivez les instructions pour iOS et Android. Les tests sont indépendants du framework de développement.
N'oubliez pas de tester votre configuration et de vérifier le fonctionnement de votre intégration.
Gérer vos empreintes digitales de certificat
Les empreintes digitales de certificat sont uniquement requis pour les applications qui ciblent Android .
Lorsque vous intégrez la bibliothèque de SDK Signature dans votre application, toutes les demandes envoyées à Adjust par le SDK Adjust sont signées. Le SDK Adjust transmettra également les informations pertinentes aux serveurs Adjust, y compris l'empreinte digitale de votre certificat de signature.
Pour obtenir vos empreintes digitales de certificat, suivez la documentation de votre plateforme.
Vous devez ajouter les empreintes de vos certificats de signature à la liste d'inclusion. Si aucune empreinte n'a été ajoutée à la liste d'inclusion, le trafic de votre application peut être usurpée.
Ajouter des signatures à Adjust Suite
Lorsque vous avez obtenu vos empreintes digitales de certificat, procédez comme suit pour les ajouter à votre liste d'inclusion :
- Sélectionnez votre application dans AppView pour ouvrir l'écran des détails de l'application.
- Sélectionnez l'onglet Protection .
- Sélectionnez le bouton Modifier (
) dans le widget SDK Signature . - Sous la section Empreintes digitales Android , sélectionnez Nouvelle empreinte digitale .
- Collez l'empreinte digitale dans la zone de texte qui apparaît.
- Sélectionnez Add .
- Suivrez ces mêmes étapes pour chaque empreinte digitale que vous souhaitez ajouter à la liste d'inclusion.
) dans le widget SDK Signature .Et voilà ! Votre empreinte digitale est maintenant dans la liste d'inclusion de votre application.
Si vous mettez à jour vos empreintes digitales de certificat, vous devez également les mettre à jour dans Adjust.
Vous pouvez désactiver une empreinte digitale si vous ne l'utilisez plus.
- Sélectionnez votre application dans AppView pour ouvrir l'écran des détails de l'application.
- Sélectionnez l'onglet Protection .
- Sélectionnez le bouton Modifier () dans le widget SDK Signature .
- Sous la section Empreintes digitales Android , trouvez l'empreinte digitale que vous souhaitez désactiver.
- Sélectionnez Désactiver .
Le trafic contenant l'empreinte digitale désactivée est rejetée.
Ajouter des signatures à l'aide de l'API Automate
Si vous utilisez l'API Automate pour gérer vos applications, vous pouvez configurer vos signatures Android à l'aide du endpoint /app. Suivez les instructions de l'API Automate pour configurer des signatures Android afin d'ajouter vos signatures à votre application à l'aide de l'API Automate. Les signatures ajoutées à l'aide de cette méthode sont automatiquement insérées dans la liste d'inclusion.
Appliquer la validation par signature
Lorsque la validation de la signature est appliquée :
- Le trafic catégorisé sous Secret invalide est rejeté.
- Le trafic signé avec un ID de secret défini sur Aucun (désactivé) est rejeté (pour les activités d'installation et de post-installation).
- Les installations signées avec un ID de secret défini sur Post-installation uniquement sont refusées.
Installations
Lorsque vous avez intégré la bibliothèque de SDK Signature dans votre application, vous devez mettre en place l'utilisation des signatures dans Adjust. Si la signature n'est pas mise en place, toutes les demandes du SDK sont acceptées sans aucune validation.
Adjust n'applique pas automatiquement la validation par signature. Cela vous laisse le temps d'attendre que vos utilisateurs téléchargent et ouvrent la version mise à jour de votre application avec la signature intégrée pour enregistrer des installations.
Adjust vous conseille d'attendre environ 2 fenêtres d'attribution après la publication d'une version d'application avec une nouvelle version de SDK Signature avant d'appliquer la validation de la signature.
Par exemple : Avec la fenêtre par défaut Adjust de 7 jours, vous devez attendre 14 jours après la publication d'une nouvelle version d'application avant d'appliquer la validation de la signature. Avec ce délai, un utilisateur qui a téléchargé votre application il y a quelque temps mais qui vient de l'ouvrir sera tout de même crédité d'une installation, même si elle ne comporte pas la signature.
Le comportement de validation des installations dépend du périmètre Actif pour configuré pour chaque ID de secret. Pour plus d'informations, consultez Gérer vos ID de secret.
Suivez les étapes suivantes pour appliquer la validation par signature.
- Sélectionnez votre application dans AppView pour ouvrir l'écran des détails de l'application.
- Sélectionnez l'onglet Protection .
- Sélectionnez le bouton Modifier () dans le widget SDK Signature .
- Activez Rejeter les installations suspicieuses pour appliquer la validation par signature.
Appliquer la signature stricte
Lorsque vous avez intégré la bibliothèque SDK Signature et activé la validation des signatures pour les installations, vous pouvez appliquer la signature stricte pour protéger vos campagnes du trafic usurpé en rejetant les sessions, les événements et les revenus publicitaires suspects. Vous pouvez contrôler le trafic validé en ajustant le périmètre Actif pour de chaque ID de secret. Pour plus d'informations, consultez Gérer vos ID de secret.
Avant d'activer la signature stricte, assurez-vous qu'un mécanisme de mise à jour forcée est en place afin de migrer les utilisateurs vers une version prise en charge de votre application. Les activités de post-installation provenant de versions obsolètes de votre application et qui ne sont pas signées ou qui présentent une signature non valide seront rejetés définitivement.
Suivez les étapes suivantes pour appliquer la validation par signature stricte :
- Sélectionnez votre application dans AppView pour ouvrir l'écran des détails de l'application.
- Sélectionnez l'onglet Protection .
- Sélectionnez le bouton Modifier () dans le widget SDK Signature .
- Activez l'option Rejeter les activités suspectes de post-installation pour appliquer la signature stricte .
Gérer vos ID de secret
Un ID de secret identifie de manière unique une application utilisation une version spécifique de la bibliothèque de SDK Signature sur une plateforme spécifique. Les ID de secret sont générés par Adjust lorsque des demandes signées sont envoyées par le SDK Adjust.
Vous pouvez contrôler la façon dont chaque ID de secret est appliqué à l'aide du périmètre Actif pour . Par défaut, un ID de secret est défini sur Tout le trafic . Si vous définissez un ID de secret sur Aucun (désactivé) lorsque la validation par signature est mise en place, toutes les demandes envoyées depuis votre application avec la version et la plateforme correspondantes de la bibliothèque de SDK Signature sont rejetées.
Adjust conseille de définir un ID de secret sur Aucun (désactivé) si :
- Il ne contribue plus au reporting de votre installation.
- Vous avez entièrement publié une nouvelle version de votre application (sur toutes les plateformes et les stores).
Vous pouvez permettre aux utilisateurs existants de continuer à utiliser les versions de l'application avec une ancienne version de SDK Signature, tout en empêchant les nouvelles installations de ces versions en modifiant le périmètre de l'ID de secret correspondant sur Post-installation uniquement .
La modification du périmètre d'un ID de secret prend effet immédiatement.
- Lorsque la validation de la signature est appliquée pour rejeter les installations suspectes, les installations reportées avec un ID de secret défini sur Aucun (désactivé) ou Post-installation (uniquement) sont rejetées et catégorisées sous Appareils non approuvés . Adjust continuera de suivre les sessions et les événements de ces appareils, mais les informations ne seront visibles dans les rapports du dashboard que si vous utilisez la Suite de prévention de la fraude.
- Lorsque la validation de la signature est appliquée pour rejeter les activités de post-installation, les activités de post-installation reportées avec un ID de secret défini sur Aucun (désactivé) sont rejetées. Toutefois, si l'installation avait déjà été rejetée et attribuée à Appareils non approuvés , ses activités de post-installation sont traitées sous la logique Appareils non approuvés et ne sont pas rejetés à nouveau.
Pour gérer vos ID de secret :
- Sélectionnez votre application dans AppView pour ouvrir l'écran des détails de l'application.
- Sélectionnez l'onglet Protection .
- Sélectionnez le bouton Modifier () dans le widget SDK Signature .
- Sous la section Secrets , appliquez l'action Modifier :
- Vous pouvez modifier le nom de l'ID de secret sélectionné.
- Vous pouvez modifier le périmètre Actif pour d'un ID de secret sélectionné :
- Tout le trafic – Statut : Actif.
- Post-installation uniquement – Statut : Actif.
- Aucun (désactivé) – Statut : désactivé.
Vous pouvez voir vos ID désactivés en faisant permuter l'option Afficher les ID de secret désactivés .
Mettre à jour la bibliothèque
La bibliothèque de SDK Signature est généralement fournie par défaut dans SDK v5 La mise à jour du SDK v5 met également à jour la bibliothèque SDK Signature. Continuez uniquement si aucun gestionnaire de dépendances n'est utilisé ou si une version spécifique de la bibliothèque SDK Signature est requise.
Si vous souhaitez revenir à une version antérieure inutilisée de la bibliothèque SDK Signature, contactez d'abord votre représentant Adjust ou envoyez un message à support@adjust.com.
Vous n'avez pas besoin de modifier l'application en dehors de l'échange de la bibliothèque. Pour mettre à jour la bibliothèque SDK Signature :
Suivez le guide d'intégration de votre plateforme.
Testez votre configuration et vérifiez le fonctionnement de votre mise à jour à l'aide du guide de test de votre plateforme.
Les autres frameworks multiplateformes ne sont pas pris en charge officiellement, sauf s'ils sont intégrés au SDK v5. Pour mettre à jour la bibliothèque de SDK Signature pour les frameworks multiplateformes, suivez les instructions pour iOS et Android. Les tests sont indépendants du framework de développement.