Comment assurer la sécurité d'une application mobile et quelles sont les vérifications indispensables avant le lancement ?

Si vous utilisez des JWT, gardez une durée de validité très courte pour les tokens : par exemple 15 minutes pour l'access token et 7 jours pour le refresh token. Vérifiez aussi qu'aucun fichier `.env` ne traîne dans le bundle final de l'application. Les développeurs oublient parfois des mots de passe de bases de test ou des clés d'API de services tiers directement codés en dur dans le client.

Les urgences avant la release : 1) Intégrez la détection de root/jailbreak pour avertir l'utilisateur si l'application tourne sur un appareil modifié. 2) Bloquez les captures d'écran et masquez le contenu de l'écran lors du passage en arrière-plan. 3) Empêchez les messages d'erreur de renvoyer les chemins du serveur ou les logs de la base de données.

Faites ce test tout de suite : installez un outil d'analyse de trafic réseau sur votre ordi, connectez le téléphone au même réseau Wi-Fi et faites passer le flux par le PC. Si vous arrivez à lire en clair sur votre écran les prix et les relevés de factures qui transitent depuis le téléphone c'est que le SSL Pinning n'est pas en place.

On se focalise tellement sur la protection du client mobile qu'on en oublie la véritable porte d'entrée : l'API. Même avec une appli mobile blindée de partout un attaquant ne passera pas par l'interface ; il enverra des requêtes directes à vos endpoints. Ne considérez jamais l'application mobile comme un environnement de confiance, toute la logique doit être validée côté serveur.

On a eu exactement ce cas l'année dernière sur une appli grossiste B2B similaire. Un revendeur a intercepté la requête au moment de valider la commande et a renvoyé un prix unitaire de 15 TL au lieu de 150 TL à l'API. Le champ du prix était verrouillé sur l'écran mobile, mais le backend a validé la commande avec le montant reçu. On s'en est rendu compte deux semaines après lors de l'inventaire. Vérifiez deux fois plutôt qu'une la validation des prix sur le serveur.

n'oubliez pas de virer les logs de debug dans l'appli des fois toutes les données utilisateurs et les tokens défilent en clair sur logcat nettoyez bien vos console.log avant de push sur les stores.

Étant donné que votre application héberge des données financières relevant du secret des affaires pour des personnes morales et des entreprises individuelles, toute fuite éventuelle entraînera l'obligation de notifier une violation de données auprès de la Kişisel Verileri Koruma Kurumu. La documentation et la conservation des mesures de sécurité des données sont donc légalement obligatoires.

attendez avec cette histoire de rétro-ingénierie ça veut dire que nos revendeurs ou n'importe qui d'autre peuvent télécharger notre appli extraire le code source et le lire en clair sur leur ordi ? ce n'est pas bloqué lors de la validation sur les stores ?

Exact.

Merci beaucoup cela m'a été très utile.

Ne manquez rien : Quand on essaie de tout changer en même temps, rien ne prend.

Je le note au cas où.

Je vais raconter ce qui m'est arrivé, ça pourrait vous servir. Les décisions hâtives finissent par être corrigées six mois plus tard.

je ne savais pas ça.

Chez nous, ça s'est passé comme ça. Essayer de faire cela seul est la voie la plus coûteuse.

J'espère que cela vous sera utile.

trois points à vérifier lors de cette opération.. et la sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour vlaoir l'effort.

n'hésitez pas à demander celui qui ne demande pas paie toujours plus cher mais à votre place, j'irais par cette voie.

Je suis passé par là, laissez-moi vous raconter. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

Corrigez-moi si je me trompe.

Ne manquez rien : Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

La réponse ci-dessus va droit au but. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Les gens défendent l'habitude pas le processus. La résistance vient de là. Voilà, désolé si je me suis étendu.