App de Android para clientes: ¿cómo saber si el desarrollador ha escrito código realmente seguro?

Hacedles esta pregunta sencilla al desarrollador: 'Si un usuario con el móvil rooteado abre la app o si me pongo a escuchar el tráfico de red con un proxy, ¿puedo ver los tokens del cliente?' Si esquivan la respuesta, la capa de seguridad es floja. Además podéis instalar la app en un móvil de prueba y escanear vosotros mismos el archivo APK a nivel básico con escáneres de seguridad gratuitos y de código abierto.

¿Dónde se aloja el servidor backend (API) al que se conecta la app y quién ha auditado su seguridad? Porque en las apps móviles los datos casi nunca se filtran desde el teléfono, sino por fallos de autorización en el servidor del que la app extrae la información. ¿Se ha testeado la seguridad de la API?

Si gestionas datos clínicos y pedidos comerciales en Alemania, por la DSGVO tienes que documentar el principio de 'privacy by design'. Pídele al desarrollador que rellene una lista de verificación de conformidad con los Estándares de Seguridad Móvil de OWASP (MASVS). Que escriban qué medida han tomado para cada punto y firmen abajo. Así sabrás al instante si pueden asumir la responsabilidad oficial o no.

Que los desarrolladores digan 'todo es seguro' no significa nada. La mayoría de los freelancers copian y pegan bloques de código de internet y meten las claves API en texto plano. Nunca confíes en que esa aplicación sea segura a menos que la revise un ojo externo e independiente.

lo primero mira los permisos de la app en los ajustes del tlf. si una app q solo coge pedidos pide acceso a archivos, ubicación o contactos es q el dev ha copiado una plantilla base y ya. los permisos innecesarios son el mayor riesgo.

¿Acaso Google Play Store no pasa las aplicaciones por un control de seguridad al subirlas? bueno si la tienda le da el visto bueno ¿aún así estamos obligados a hacer pruebas de seguridad extra?

El año pasado nos entregaron una app B2B similar. Los devs hablaban muy seguros, pero pagamos 2.500 EUR e hicimos un pentest móvil independiente. En el informe salió que las contraseñas del servidor backend estaban olvidadas en texto plano dentro del APK y que los tokens de sesión eran válidos indefinidamente. Si no hubiéramos pagado eso, habríamos tenido un gran escándalo.

El camino que parece barato suele salir caro a la larga. Una copia de seguridad no probada no es una copia de seguridad.

pienso diferente. si es la primera vez que lo hacéis, empezad poco a poco la escala llegará después.

comprobbado por experiencia.

A mí me pasó justo al revés, por eso escribo. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Si escribís el resultado aquí, también servirá de ayuda a otros.

dejo una advertencia luego en fin no confíes en una sola medida; ve capa por capa.

si escribís el resultado aquí, también servirá de ayuda a otros.

Estoy de acuerdo.

tiens razón, yo también pasé por lo mismo. no tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Me han quedado claras las dudas, gracias. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Lo importante no es la cifra, sino en qué se basa esa cifra.

Tiene razón. El tiempo que tardas en detectar un problema determina directamente su coste.

Hay un punto que me genera dudas. Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

Eso es todo, disculpa si me he extendido demasiado.

No sabía eso. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Permíteme resumir lo que se ha dicho hasta ahora. Si es la primera vez que lo hacéis, empezad poco a poco la escala llegará después.

Ánimo.