Mon app mobile contient des mots de passe, tokens, clés API — est-ce qu'on peut la rétro-concevoir ?

pas de hardcode des clés api. les garder sur le serveur, demander un token depuis l'app. utiliser certificate pinning (pour prévenir MITM). utiliser keystore/keychain pour les données sensibles. obfusquer l'apk avec proguard. ajouter une vérif root/jailbreak...

Implémentation de la sécurité mobile : 1) AndroidKeyStore : KeyStore.getInstance('AndroidKeyStore'), génération de clé avec chiffrement, 2) iOS Keychain : SecItemAdd() pour un stockage sécurisé, 3) Authentification API : rafraîchissement du token OAuth (expiration 1h, émis par le serveur), 4) Certificate pinning (TrustKit iOS, Network Security Configuration Android), 5) Obfuscation (règles ProGuard : garder les classes API, obfusquer les autres), 6) Vérifications runtime (RootBeer Android, DTTJailbreakDetection iOS), 7) Durcissement contre Frida (détection anti-hook : validation de la signature des fonctions API). Hiérarchie de stockage : Public (aucun), Local (chiffré), Keychain/Keystore (support matériel si dispo). Outils de pentest : proxy mobile Burp Suite, instrumentation interactive Frida, décompilateur APK (apktool, dex2jar), débogueur (gdb sur Android, lldb sur iOS).

faut pas hardcoder la clé API garde-la côté serveur puis l'app se connecte → le serveur envoie un token → le client le met en cache. le token expire au bout de 1 à 4h. utilise le Keystore/Keychain pour stocker les données... obfusque avec ProGuard. ajoute une détection jailbreak/root, si détecté, l'app se ferme...

Couche de sécurité des apps mobiles : Réseau (TLS 1.2+, certificate pinning) API (auth par token, OAuth expiration courte), Stockage (keystore chiffré), Code (obfuscation, anti-tampering) Runtime (détection jailbreak/root). Modèle de menace : accès physique (device rooté débogueur), accès réseau (interception proxy — empêchée par le cert pinning) analyse de code (reverse engineering — atténué par l'obfuscation). OWASP Mobile Top 10 : transport non sécurisé (empêcher le bypass TLS) stockage non sécurisé (chiffrement keystore) auth non sécurisée (bonnes pratiques OAuth), cryptographie insuffisante (AES-256) injection côté client (validation des entrées).

Laissez-moi détailler l'aspect technique. Quand on décide sans mesurer, on revient toujours au même point.

Je suis aussi curieux de savoir si d'autres font autrement.

Chez nous aussi.

Je vous conseille de ne pas vous presser. Quand on décide sans mesurer, on revient toujours au même point.

Voilà désolé si je me suis étendu.

Mes doutes sont levés, merci.

Il y a un piège ici, je ne pouvais pas ne pas le mentionner. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

J'aimerais poser une question. Quand on essaie de tout changer en même temps rien ne prend.

J'espère que cela vous sera utile.

Je suis dans la même situation, c'est pourquoi je pose la question. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Merci beaucoup, je teste dès aujourd'hui. L'erreur commise du côté de sécurité app mobile est généralement réversible, mais coûteuse.

Enregistré. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

L'erreur commise du côté de sécurité app mobile est généralement réversible mais coûteuse.

Je ne savais pas ça.

Je me pose aussi la question. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Ma question va paraître un peu novice, désolé d'avance. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine. À votre place, j'irais par cette voie.

C'est noté, merci. Si c'est une première, commencez petit, l'échelle viendra plus tard.

Corrigez-moi si je me trompe.

Ce sujet est archivé. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Corrigez-moi si je me trompe.