この記事について
この記事は、生成AIを活用した自動生成フローで作成しています。
Firebase App Checkは、Firebaseなどのbackendへ来たrequestが「登録した正規アプリらしいか」をattestation（アプリや実行環境の正当性を確かめる仕組み）で検証し、不正clientからの濫用を減らすための保護機能です。
情報確認基準日：2026-09-19
まず結論
Authenticationが「利用者は誰か」を確認するのに対し、App Checkは「requestを送っているアプリは正規か」を確認する別レイヤーです。両方を組み合わせても、Security RulesやIAMが不要になるわけではありません。
| 層 | 確認するもの | 代表例 |
|---|---|---|
| Authentication | ユーザー本人 | Firebase Authentication |
| App attestation | 正規アプリ/実行環境 | Firebase App Check |
| Authorization | 何を読める・書けるか | Security Rules / IAM |
| Backend validation | request内容 | アプリ独自の検証 |
flowchart LR User[利用者] --> App[正規アプリ] App --> Provider[Attestation Provider] Provider --> Token[App Check token] Token --> Backend[Firebase / Backend] Auth[User Authentication] --> Backend Rules[Rules / IAM] --> Backend
Google全体での位置づけ
Firebaseのsecurity layerです。Cloud Firestore、Realtime Database、Cloud Storage、Authentication、Cloud Functionsなど対応serviceへのrequestを保護でき、Maps JavaScript APIやPlaces API (New)など対応範囲も公式情報で確認できます。独自backendでもApp Check tokenを検証できます。
誰に関係する？
一般利用者・事務職: 通常は意識しませんが、不正clientによるservice濫用を減らす仕組みとして関係します。
IT管理者: enforcement対象、metrics、provider、IAM、障害時の切戻し方を確認します。
開発者: SDK、attestation provider、token、debug provider、custom backend検証を実装します。
導入時の重要ポイント
いきなりenforcementを有効にすると正規利用者を遮断する可能性があります。公式手順でも、まずSDKを配布し、App Check metricsで影響を確認してからenforcementを有効化する流れが案内されています。Apple App Attestではtoken TTLを30分〜7日の範囲で設定でき、短いTTLはsecurityを高める一方、attestation回数・latency・quota/costとのtrade-offがあります。
Microsoft / Azureと比べると？
Microsoft Entra IDのユーザー認証そのものと同一ではありません。App CheckはユーザーIDより「正規アプリから来たrequestか」というapp attestation層に近い機能です。Microsoft側のApp Attestation系機能などを比較するときも、user authenticationとapp attestationを別物として整理します。
安全に試す
検証Projectで対象アプリをApp Checkへ登録し、debug/開発用providerを公式手順どおり使ってmetricsを確認します。成功条件は正規テストアプリのrequestがvalidとして観測できることです。最初から本番enforcementをONにしません。
App Check debug tokenやcredentialを公開GitHubへ保存しません。custom backendでtokenを検証する場合も、署名・issuer・expiry・audience等を公式手順に沿って確認します。
Google公式情報
次に何をすればよい？
保護対象serviceとplatformを決め、検証環境でApp Checkを登録します。metricsで正規requestが通ることを確認し、利用者影響を把握してから段階的にenforcementを検討します。
個別一次情報の深掘り
Firebase App Checkは、Firebaseや独自backendへ来るrequestが正規のアプリ/端末由来かを検証する追加防御です。Authenticationがユーザーを認証するのに対し、App Checkはアプリの正当性を確認する役割で、代替関係ではありません。
Google公式一次情報
Papanda TRY：App Checkの「認証とは別」を図で見る
User AuthenticationとApp Checkを別レーンにし、「誰が使うか」と「正規アプリから来たか」を左右表示するHTML教材を作ります。実attestation tokenは使わず、両者を混同しないことを成功条件にします。
結局どういうサービス？
Firebase App Checkは、「そのrequestは登録した正規アプリから来た可能性が高いか」を確認し、backend濫用を減らすsecurity layerです。AuthenticationやSecurity Rulesの代替ではなく、それらに追加する防御として理解するのが重要です。
