Как обеспечить безопасность мобильного приложения и какие проверки обязательно провести перед релизом?

Если используете JWT, делайте время жизни токенов максимально коротким: к примеру, минут 15 на access token и дней 7 на refresh token. И обязательно проверьте, чтобы в релизную сборку случайно не улетел файл `.env`. Разрабы частенько забывают в клиентском коде пароли от тестовых баз или API-ключи сторонних сервисов.

Что срочно сделать перед публикацией: 1) Добавить детект рута и джейлбрейка, чтобы приложение предупреждало юзера на модифицированных девайсах. 2) Запретить скриншоты и включить размытие экрана при сворачивании в фон. 3) Отключить выдачу путей сервера и логов БД в текстах ошибок.

Сделайте простую проверку прямо сейчас: поставьте на комп сниффер трафика, подключите телефон к тому же Wi-Fi и пустите трафик через комп. Если вы видите на экране компа цены и детализацию счетов прямо открытым текстом — поздравляю SSL Pinning у вас отсутствует.

Народ так зацикливается на защите мобилки, что напрочь забывает про главную дверь — API. Вы можете хоть в титан закатать приложение злоумышленник просто не будет его открывать а сразу пойдет долбить запросами ваш API. Никогда не считайте мобильное приложение доверенной средой вся валидация должна быть строго на бэкенде.

В прошлом году в похожем B2B-приложении для оптовиков сами на это напоролись. Один дилер при оформлении заказа перехватил запрос и отправил в API цену 15 TL за штуку вместо 150 TL. В мобилке поле цены изменить было нельзя, а бэк взял и спокойно оформил заказ по пришедшей цене. Заметили только через две недели на инвентаризации склада. Перепроверьте валидацию цен на сервере дважды.

не забудьте отрубить дебаг логи а то через logcat иногда все данные юзеров и токены прям открытым текстом сыпятся почистите console log перед заливкой в стор.

Поскольку ваше приложение обрабатывает финансовые данные юридических лиц и ИП, представляющие коммерческую тайну, любая утечка повлечет за собой обязанность уведомить KVKK об инциденте. В связи с этим документирование принятых мер безопасности критически необходимо с юридической точки зрения.

то есть через этот реверс-инжиниринг дилеры или кто угодно могут прсто скачать нашу приложуху и открыть все исходники у себя на компе? в общем а модерация сторов это разве не блокирует?

Верно.

Спасибо очень помогло.

Не упустите: Когда пытаешься изменить всё сразу, ничего не приживается.

Оставлю как заметку, пригодится.

Расскажу, что было у меня, вдруг пригодится. Спешка в решениях оборачивается исправлениями через полгода.

не знал об этом.

У нас было так. Пытаться сделать это в одиночку — самый дорогой путь.

Надеюсь, это будет полезно.

на что обратить внимание при выполнении этого и безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

не стесняйтесь спрашивать молчание всегда обходится дороже. в общем я бы пошел этим путем.

Я проходил через это, расскажу. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Исправьте, если я ошибаюсь.

Не упустите: То, что делают все, не значит, что это правильно.

Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Ответ выше точно передал суть вопроса. Решения, работающие в малом масштабе рушатся при росте я узнал это слишком поздно.

Люди защищают не процесс, а привычку. Сопротивление идет оттуда. На этом всё, извините, если затянул.