Control de seguridad en apps móviles: ¿cómo asegurarnos al momento de la entrega de que el desarrollador protege los datos?

Los datos de salud en Alemania se consideran datos de categoría especial según el artículo 9 del DSGVO. Decir que hay SSL es como decir que la puerta principal del edificio tiene llave, pero que todas las habitaciones de adentro están abiertas. Ni se te ocurra soltar ese último pago sin ver un informe de pruebas independiente.

En una app de salud parecida, el desarrollador decía que estaba todo impecable. Pagamos 2.500 EUR por un test de API de 2 días con gente externa. En el reporte salió que cambiando el parámetro de ID del paciente se podían sacar todos los historiales de citas. Ese test nos salvó de indemnizaciones de cientos de miles de euros.

¿Tienen alguna cláusula de proceso de aceptación (Abnahme) en el contrato con la agencia? En los contratos alemanes suele haber un periodo de revisión de 14 a 30 días tras la entrega. Si la hay, aprovecha ese plazo legal para hacer el test independiente y mandarles la solicitud de corrección de forma oficial.

Pregúntales sí o sí si hicieron certificate pinning en la parte mobile. También pide que auditen especialmente el tiempo de expiración de los JWT tokens generados en el servidor y si los invalidan en el backend al cerrar sesión. Son las fallas que más se pasan por alto.

Aunque no sepas de técnica, puedes subir el instalador de la app a alguna herramienta open source de escaneo de seguridad mobile. En un reporte de 15 minutos vas a ver clarito errores básicos como claves de base de datos o API keys olvidadas en el código.

No te dejes engañar si la agencia te viene con "un reporte de seguridad" de 40 páginas sacado de herramientas automáticas. Los scanners automáticos no detectan fallos de lógica de negocio ni de permisos. El informe tiene que llevar la firma de un experto que haya hecho pruebas manuales.

si no pusieron una clausula de seguridad bien clara en el contrato va a estar dificil presionar ahora pero meteles presion con las exigencias legales del sector salud. deciles q sin auditoria independiente no podes salir a produccoin y no les va a quedar otra q colaborar.

una preocupación hiper válida... los devs suelen fijarse solo en si el botón funciona o si carga la pantalla, dejan el aislamiento de datos del backend para lo último... cubrite bien; postergá el lanzamiento dos semanas pero quedate tranquilo con lo que recibís.

Estoy en la misma situación, por eso pregunto. Una copia de seguridad no probada no es una copia de seguridad.

Aquí tengo una objeción. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Si tenéis dudas escribid, os responderé en la medida de lo posible.

A mí me pasó justo al revés, por eso escribo. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Ha sido una buena idea abrir este hilo.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí... Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Eso es todo disculpa si me he extendido demasiado.

De acuerdo, incluso me gustaría recalcarlo. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Lo dejo como nota, por si sirve.

Tiene razón.

Gracias, esa era la respuesta que buscaba.

tienes razón, yo también pasé por lo mismo pero el tiempo que tardas en detectar un problema determina directamente su coste.

ningún proceso mejora si no se registran datos porque no sabes qué tienes que arreglar.

Yo también estaba pensando en lo mismo. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.