DeviceCheck від Apple пам'ятає телефон зловмисника, який зловживає поверненнями, навіть після реєстрації з новим акаунтом

Блокування акаунта не зупиняє зловмисника, який знову реєструється на тому самому телефоні. DeviceCheck від Apple і пригадування пристрою (device recall) у Google Play існують саме для цієї прогалини. Кожен із них дозволяє вашому серверу прив'язати до фізичного пристрою кілька бітів зі значенням, яке визначаєте ви. Біти зберігаються на серверах магазину, тож позначка лишається на місці, коли та сама людина повертається з новою адресою електронної пошти. Жоден інструмент не дає вам ідентифікатора пристрою, і жоден не може зупинити повернення коштів. Вони лише повідомляють вам під час реєстрації або на екрані оплати, що цей пристрій уже завдавав вам збитків.

Нижче описано, що насправді зберігає кожен магазин, пастку з часом, яка вирішує, чи зможете ви взагалі встановити позначку, і скільки коштує повторний зловмисник, доки ви його не виявите.

Чому новий акаунт обходить будь-який захист на рівні акаунта

Більшість засобів захисту від повернень прив'язані до акаунта. appAccountToken від Apple пов'язує транзакцію з користувачем у вашій базі даних. obfuscated account ID у Google Play робить те саме на Android. Обидва варто встановлювати для кожної покупки, і обидва описують акаунт людини, а не пристрій у її руках. Видаліть акаунт, зареєструйтеся з новою поштою, і ваша історія про цю людину починається з нуля.

Магазини не закривають цю прогалину за вас. Сповіщення App Store про повернення коштів повідомляє, яку транзакцію повернуто. Скасована покупка Google Play дає токен покупки, ідентифікатор замовлення і voidedReason. Жодне з них не містить ідентифікатора пристрою. Розробник застосунку для знайомств описав наслідок у темі на Apple Developer Forums: шахрайські профілі раз у раз купували преміум-підписку, яку згодом повертали, а блокування їхніх пристроїв власним методом розробника не допомогло.

Чи скидає новий акаунт пробний період самого магазину?

Не в межах того самого Apple Account. Документація Apple каже, що вступні пропозиції, зокрема безкоштовні пробні періоди, надаються клієнтам, які ще не отримували такої пропозиції для цього продукту чи будь-якого продукту з тієї самої групи підписок. Тож новий вхід у вашому застосунку не дає другого пробного періоду Apple. Новий Apple Account дає, як і все, що ви роздаєте самі: кредити за реєстрацію, пробний період за рахунок сервера, реферальний бонус. Саме ці подарунки захищає позначка пристрою.

Що насправді зберігає DeviceCheck від Apple

DeviceCheck складається з двох частин. У застосунку клас DCDevice генерує тимчасовий токен, який ідентифікує пристрій. На вашому сервері ви надсилаєте цей токен в Apple разом із веб-токеном JSON, підписаним ключем з вашого акаунта розробника, і Apple дозволяє запитати або оновити два біти для цього пристрою. Відповідь на запит повертає bit0, bit1 і last_update_time у вигляді року та місяця. Власні приклади Apple: пристрій, який уже скористався промопропозицією, і пристрій, який ви визнали шахрайським.

Біти зберігає Apple, але значення визначаєте ви. Документація каже, що саме ви відповідаєте за облік того, що означають біти, і за рішення, коли їх скидати, а як приклад наводить проданий пристрій. Два біти дають чотири стани, тож проста схема така: один біт для повернення після інтенсивного використання, другий для пристрою, який уже отримав безкоштовні кредити.

• Токен одноразовий. Apple каже, що він дійсний достатньо довго, щоб повторити запит, але для кожного виклику слід генерувати новий.
• Збірки для розробки звертаються до api.development.devicecheck.apple.com. Продакшн має використовувати api.devicecheck.apple.com, інакше ваші позначки потраплять не туди.
• Apple описує DeviceCheck як один із вхідних даних для загальної оцінки ризику, а не як вирок. Вважайте встановлений біт приводом придивитися уважніше.

Що додає пригадування пристрою від Google на Android

Версія Google входить до Play Integrity API і досі перебуває в бета-версії, доступ надається через форму заявки. Після схвалення та ввімкнення в Play Console кожен вердикт цілісності містить три власні біти пристрою. Ви записуєте їх серверним викликом до кінцевої точки deviceRecall:write, використовуючи токен цілісності, який уже перевірили. Google каже, що дані зберігаються після перевстановлення застосунку і скидання пристрою, бо вони лежать на серверах Google.

Документація Google незвично пряма щодо сценаріїв використання. Вона називає пристрої з доказами серйозних зловживань, пристрої, які вже отримали цінну річ на кшталт безкоштовного пробного періоду, і пристрої, які раз у раз використовують для створення нових акаунтів зі зловмисною метою. Так само прямо вона говорить про межі: пригадування пристрою можна використовувати лише для захисту безпеки застосунку та боротьби зі зловживаннями, шахрайством і несанкціонованим доступом. Ніколи для створення відбитків чи відстеження окремих користувачів і ніколи для зберігання чутливих ознак, як-от вік, стать чи місцезнаходження.

Проблема часу: повернення приходять, коли токена вже немає

Обидва інструменти потребують чогось від самого пристрою, перш ніж ви зможете його позначити. Apple потрібен новий токен DCDevice. Google потрібен токен цілісності з цього пристрою, не старший за 14 днів. Тим часом повернення коштів приходить на ваш сервер через сповіщення магазину, яке нічого не знає про пристрій. Тож питання не в тому, чи позначати пристрій. Питання в тому, чи матимете ви ще спосіб дістатися до нього, коли надійде повернення.

48-годинні повернення Google вміщаються в 14-денне вікно

Самостійні повернення в Google Play доступні лише протягом 48 годин після покупки, що значно менше за 14 днів, протягом яких токен цілісності придатний для запису. Запускайте перевірку цілісності в момент покупки, зберігайте перевірений токен поруч з ідентифікатором замовлення, і коли для цього замовлення надійде скасована покупка, ви одразу зможете записати біт. Чарджбеки складніші, бо банківський спір може надійти значно пізніше 14-го дня.

Повернення Apple вимагають, щоб пристрій повернувся

Повернення від Apple може надійти через тижні після покупки, а збережений токен DeviceCheck не призначений для повторного використання. Практичне рішення: спершу позначити акаунт, а потім пристрій. Коли надходить сповіщення про повернення, позначте акаунт у своїй базі даних. Наступного разу, коли цей акаунт відкриє застосунок, запросіть токен DeviceCheck і встановіть біт. Зловмисники, які залишають собі контент після повернення, зазвичай повертаються, бо саме користування ним і було метою.

• Під час покупки зареєструйте транзакцію на власний акаунт через appAccountToken або obfuscated account ID.
• Під час повернення або скасування позначте цей акаунт на своєму сервері.
• Під час наступного сеансу позначеного акаунта отримайте токен пристрою і встановіть свій біт.
• Під час кожної реєстрації запитуйте біти, перш ніж надати будь-що, що коштує вам грошей.

Скільки коштує повторний зловмисник, який зловживає поверненнями

Повернена ціна лише видима частина. Решта це все, що покупка вже запустила. Якщо ваш застосунок витрачає гроші на надання того, що продає, кожен цикл покупки, використання і повернення залишає ці гроші витраченими: час GPU на згенеровані зображення, платні виклики моделі чи API даних, сховище для експортів, які клієнт залишає собі, і виплати авторам, розраховані з продажу. Новий акаунт знову відкриває цикл, а ваш облік записує його як зовсім нового клієнта.

Безкоштовні подарунки витікають так само, навіть без жодного повернення. Пристрій, який збирає кредити за реєстрацію на десяти акаунтах, споживає вдесятеро більше обчислень, ніж ви закладали на один пробний період. У Google Play чарджбеки за замовленнями після 3 серпня 2026 року також коштують вам ціни покупки за вирахуванням сервісного збору Google, плюс банківські комісії. Тож людина, яка щоразу оскаржує платіж з нового акаунта, щоразу коштує вам повного спору знову.

Що робити з позначеним пристроєм

Позначка відповідає на одне питання: чи має цей пристрій знову отримати щось безкоштовно? Реагуйте пропорційно, бо встановлений біт це ознака, а не доказ. Телефони перепродають, родини ділять iPad, і Google саме з цієї причини прямо радить подумати про ігнорування або скидання старих даних.

• Не надавайте позначеному пристрою кредитів за реєстрацію, пробного періоду за рахунок сервера чи реферального бонусу, натомість запропонуйте платний план.
• Не підписуйте промопропозицію для позначеного пристрою. В App Store підпис, який відкриває промопропозицію, генерує ваш сервер, тож рішення за вами.
• Вимагайте завершення оплати перед наданням дорогих витратних покупок на позначеному пристрої.
• Використовуйте мітку часу. Позначка, встановлена минулого місяця, важить більше, ніж встановлена два роки тому.
• Дайте людям спосіб звернутися до підтримки. Покупець вживаного телефону, позначеного помилково, має отримати відповідь, а ви можете скинути біти.

Чи можна просто заблокувати пристрій?

Ви можете відмовити у власних безкоштовних бонусах, і саме тут позначки пристроїв окуповуються. Повне блокування ризикованіше. Людина, яка тримає телефон сьогодні, може бути не тією, хто ним зловживав, а власні умови Google обмежують пригадування пристрою запобіганням зловживанням, а не відстеженням людей. Обмежуйте те, що коштує вам грошей, і залишайте платний шлях відкритим.

А як щодо Keychain (Зв'язка ключів) або ідентифікатора пристрою?

Розробники часто питають, чи може позначка в Keychain або апаратний ідентифікатор виконати ту саму роботу. Позначка, яку ваш застосунок зберігає на телефоні, зникає після скидання пристрою, а Apple не дає застосункам стабільного апаратного ідентифікатора для цього. DeviceCheck і пригадування пристрою це відповіді, схвалені магазинами, саме тому, що біти зберігаються на серверах Apple і Google, а не на телефоні.

Де рішення досі ухвалює магазин

Позначки пристроїв змінюють те, що ваш застосунок роздає далі. Вони не впливають на повернення, яке перед вами. Лише два процеси повернення дозволяють надати докази до рішення магазину. Apple надсилає CONSUMPTION_REQUEST і просить дані про використання протягом 12 годин. Google Play відкриває перевірку чарджбеку, на яку ви відповідаєте протягом 24 годин через orders.reviewrefund. Усе інше, від 48-годинних повернень Google Play до повернень через підтримку та автоматичних повернень непідтверджених покупок, вирішується без вас. Чарджбеки остаточні, щойно банк ухвалить рішення.

RefundHalt відповідає на кожен CONSUMPTION_REQUEST і кожну перевірку чарджбеку в Google Play у межах їхнього вікна, використовуючи ваші реальні дані про використання, і пов'язує кожне повернення з акаунтом, який його зробив. Тож ваш сервер знає, який пристрій позначити, коли той наступного разу вийде на зв'язок.