اپلیکیشن روی دستگاه کاربر اجرا می‌شود و هر کسی می‌تواند آن را بررسی کند. پس فرض کنید هیچ چیز داخل اپ مخفی نیست.
- ذخیرهٔ امن: توکن و داده‌های حساس را در Keychain (iOS) یا Keystore (اندروید) نگه دارید، نه در SharedPreferences ساده یا فایل متنی.
- ارتباط: فقط HTTPS؛ برای برنامه‌های حساس Certificate Pinning را بررسی کنید.
- رازها: کلید API حساس یا رمز سرور را داخل اپ نگذارید؛ از سرور واسط استفاده کنید.
- اعتبارسنجی: همیشه ورودی را در سرور هم بررسی کنید.
- مجوزها: فقط دسترسی‌هایی را بخواهید که واقعاً لازم‌اند.
- لاگ: اطلاعات شخصی را در لاگ ثبت نکنید.
چک‌لیست OWASP Mobile Application Security (MASVS) مرجع خوبی برای بررسی کامل‌تر است.
