Tengo contraseñas, tokens y API keys en mi app móvil — ¿se puede hacer reverse engineering de la app?

no hard-codees la api key. mantenla en el servidor, pide un token desde la app. usa certificate pinning (para prevenir MITM). usa keystore/keychain para los datos sensibles. ofusca el apk con proguard. agrega check de root/jailbreak...

Implementación de seguridad móvil: 1) AndroidKeyStore: KeyStore.getInstance('AndroidKeyStore'), generar clave con cifrado, 2) iOS Keychain: SecItemAdd() para almacenamiento seguro, 3) Autenticación de API: renovación de token OAuth (expira en 1h, emitido por el servidor), 4) Certificate pinning (TrustKit en iOS, Network Security Configuration en Android), 5) Ofuscación (reglas de ProGuard: mantener clases de API, ofuscar las demás), 6) Comprobaciones en tiempo de ejecución (RootBeer en Android, DTTJailbreakDetection en iOS), 7) Endurecimiento contra Frida (detección anti-hook: validación de firma de funciones de API). Jerarquía de almacenamiento: Público (ninguno), Local (cifrado), Keychain/Keystore (respaldado por hardware si está disponible). Herramientas de pentesting: proxy móvil de Burp Suite, instrumentación interactiva con Frida, descompilador de APK (apktool, dex2jar), depurador (gdb en Android, lldb en iOS).

no hardcodees la API key guárdala en el servidor. que la app haga login → el servidor envía el token → el cliente lo cachea. el token expira en 1-4 horas. usa Keystore/Keychain para guardar datos. ofusca con ProGuard... añade check de jailbreak/root, si se detecta cierra la app...

Capas de seguridad en apps móviles: Red (TLS 1.2+, certificate pinning), API (autenticación por token OAuth caducidad corta), Almacenamiento (keystore cifrado), Código (ofuscación, anti-tampering), Tiempo de ejecución (detección de jailbreak/root). Modelo de amenazas: acceso físico (dispositivo rooteado, depurador), acceso a red (intercepción por proxy — evitado con cert pinning) análisis de código (ingeniería inversa — mitigado con ofuscación). OWASP Mobile Top 10: transporte inseguro (evitar bypass de TLS), almacenamiento inseguro (cifrado keystore), autenticación insegura (mejores prácticas OAuth), criptografía insuficiente (AES-256), inyección en cliente (validación de entrada).

Voy a detallar un poco el aspecto técnico. bueno si decidimos sin medir siempre acabamos en el mismo punto.

También me gustaría saber si alguien lo hace de otra manera.

A nosotros también nos pasa.

Yo no me apresuraría. pues si decidimos sin medir, siempre acabamos en el mismo punto.

Eso es todo, disculpa si me he extendido demasiado.

Me han quedado claras las dudas gracias.

Aquí hay una trampa, no puedo dejar de mencionarla. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

No confíes en una sola medida; ve capa por capa.

Quisiera hacer una pregunta. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Espero que le sea útil.

Estoy en la misma situación, por eso pregunto. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Muchas gracias, lo probaré hoy. El error cometido por seguridad de apps móviles suele ser reversible, pero caro.

Guardado. Cuanto más difícil sea revertir una decisión más despacio debéis tomarla.

El error cometido por seguridad de apps móviles suele ser reversible, pero caro.

No sabía eso.

Yo también tengo curiosidad. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Lo que voy a preguntar sonará un poco novato, perdonadme. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan. Yo seguiría por ese camino.

Tomo nota, gracias. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Corrijanme si me equivoco.

Este hilo es para archivar. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Corrijanme si me equivoco.