Mobil uygulama güvenliği nasıl sağlanır ve lansman öncesi hangi kontrolleri mutlaka tamamlamalıyız?

JWT kullanıyorsanız token'ların geçerlilik süresini çok kısa tutun; örneğin 15 dakika access token, 7 gün refresh token gibi. Ayrıca uygulamanın derleme çıktısı içinde `.env` dosyası unutulmadığından emin olun. Geliştiriciler bazen test ortamının veritabanı şifrelerini veya üçüncü taraf servislerin API anahtarlarını istemci koduna gömüyor.

Yayın öncesi acil yapılacaklar: 1) Kök dizin ve yetki aşımı (root/jailbreak) tespiti koyarak uygulamanın modifiye cihazlarda uyarılmasını sağlayın. 2) Ekran görüntüsü alma ve arka plana atıldığında ekranı karartma özelliğini açın. 3) Hata mesajlarında sunucu yolu ve veritabanı loglarının dönmesini engelleyin.

Kendiniz hemen şu testi yapın: Bilgisayarınıza bi ağ trafiği izleme aracı kurun, telefonu aynı kablosuz ağa bağlayıp trafiği bilgisayardan geçirin... yani eğer telefon üzerinden giden gelen fiyatları ve fatura dökümlerini bilgisayar ekranında düz yazı olarak okuyabiliyorsanız, SSL Pinning yapılmamış demektir.

Mobil tarafı korumaya o kdr odaklanılıyor ki asıl kapı olan API unutuluyor. Mobil uygulamanızı tamamen zırhlasanız bile saldırgan mobil uygulamayı kullanmaz; doğrudan API adresinize istek atar. Mobil uygulamayı asla güvenilir bi ortam olarak kabul etmeyin bütün mantık sunucuda doğrulanmalı.

Geçen sene benzer bir B2B toptan uygulamasında başımıza geldi. Bir bayimiz sipariş oluştururken araya girip ürün birim fiyatını 150 TL yerine 15 TL olarak API'ye yollamış. Bizim mobil ekranda fiyat alanı kilitliydi ama backend gelen fiyata göre siparişi onaylamış. İki hafta sonra depodaki sayımda fark ettik. Sunucudaki fiyat doğrulamalarını iki kez kontrol edin.

uygulama içinde debug loglarını kapatmayı unutmayın bazen logcat üzerinde btüün kullanıcı verileri ve tokenlar açık açık akıyor markete atmadan önce console logları temizleyin.

Uygulamanız tüzel kişilere ve şahıs şirketlerine ait ticari sır niteliğindeki finansal verileri barındırdığından, oluşabilecek bir sızıntı Kişisel Verileri Koruma Kurumu nezdinde veri ihlal bildirimi yükümlülüğü doğuracaktır. Bu nedenle veri güvenliği tedbirlerinin dokümante edilerek saklanması hukuki açıdan zorunludur.

teersie mühendislik dedikleri şeyle bayilerimiz ya da başkaları uygulamamızı indirip kaynak kodlarımızı tamamen kenddi bilgisayarlarında açıp görebiliyorlar mı yani? ya bu market onaylarından geçerken engellenmiyor mu?

Doğru.

teşekür ederim, çok işime yaradı.

Bir şeyi atlamayın: Her şeyi aynı anda değiştirmeye çalışınca hiçbiri oturmuyor.

Not olarak bırakayım, lazım olur.

Benim başımdan geçeni yazayım, belki işinize yarar. Acele karar, altı ay sonra düzeltilen karar oluyor.

bunu bilmiyordum.

Bizde şöyle oldu. Bunu tek başına yapmaya çalışmak en pahalı yol.

Umarım işinize yarar.

bunu yaparken bakialcak uc sey var. guvenli olmak mutlak dgl; saldiriyi ugrasmaya degmez hâle getirmek demek.

sormaktan çekimneyin sormayyan hep daha pahaıya ödüyor. yani ben olsam bu yoldan giderdim

Ben bu yoldan geçtim, anlatayım. Güvenli olmak mutlak değil; saldırıyı uğraşmaya değmez hâle getirmek demek.

Yanlışım varsa düzeltin.

Bir şeyi atlamayın: Herkesin yaptığı şey, doğru olduğu anlamına gelmiyor.

Unutulmuş test ortamları, canlı sistemden daha sık kapı oluyor.

Yukarıdaki cevap işin özünü söylemiş. neyse küçük ölçekte işe yarayan çözüm büyüyünce çöküyor bunu geç öğrendim.

İnsanlar süreci dgl, alışkanlığı savunur. Direnç oradan gelir. Bu kdr, uzattıysam kusura bakmayın.