¿Podemos hacer nosotros mismos la prueba de seguridad de la app móvil gratis sin pagar a una agencia?

Lo primero es buscar en el código fuente de la app si se ha olvidado alguna contraseña, clave secreta o cadena de conexión a la base de datos. Los escáneres de código gratuitos lo encuentran en segundos.

La mayoría de las vulnerabilidades reales en una app móvil no están en el cliente sino en los servicios de backend. Intenta cambiar la identidad de usuario y extraer las citas de otro salón; ninguna herramienta automática gratuita puede detectar por sí sola estos errores de lógica.

En nuestra primera versión hicimos test con una herramienta estática de código abierto y encontramos un token de prueba olvidado en una de las librerías. Sin gastar nada evitamos una filtración muy crítica antes del lanzamiento.

No subas el archivo de tu app directamente a esas webs de internet de supuesto 'test de seguridad online gratuito'. Dejar tu código propietario en sitios web de terceros genera otro riesgo de seguridad.

¿Y estas herramientas gratuitas también revisan las vulnerabilidades del propio sistema operativo del teléfono o solo miran el código que escribimos nosotros?

Corrección: recordaba mal la cifra, era un poco más baja.

Solo miran tu paquete de app y su comunicación con el servidor. Los parches del sistema operativo del teléfono son responsabilidad del fabricante el test móvil mide la seguridad de tu app.

En la app de un conocido el número de reserva iba secuencial un usuario fue incrementando de uno en uno el número en la URL y se descargó la lista de clientes de todo el salón. Este tipo de fallos de lógica no los detectan las herramientas sino una persona atenta.

revisa tb tu historial de github a veces aunque borres del código las api keys siguen ahí bien visibles en commits antiguos.

Hay que ir paso a paso. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Si la verificación en dos pasos está activa una contraseña robada no sirve de nada por sí sola. Lo dejo como nota, por si sirve.

¿Creen que esto funciona a cualquier escala? Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Por supuesto, cambia si tu situación es diferente.

Me pasó lo mismo. o sea la gente no defiende el proceso, defiende la costumbre... La resistencia viene de ahí.

Corrijanme si me equivoco.

a mí me pasó justo al revés por eso escribo... las decisionnes apresuradas son las que hay que corregir seis meses después.

Creo que es difícil hablar con tanta claridad sobre prueba de seguridad de app móvil. La respuesta varía mucho según el sector no hay una regla general.

Eso es todo disculpa si me he extendido demasiado.

buen trabajo.

Voy a resumir el tema porque se han dado varias respuestas diferentes. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Empezad con una pequeña prueba, no lo integréis todo de golpe.

Si no me equivoco, quieres decir esto: Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

También me gustaría saber si alguien lo hace de otra manera.

este hilo es para archivar.

Gracias por escribir.