Sécurité des apps mobiles : ce que tout fondateur doit savoir

Pas besoin d'être technique pour poser les bonnes questions de sécurité avant le lancement — voici ce qui compte vraiment.

La sécurité des apps mobiles est souvent traitée comme une case à cocher en fin de projet, alors qu'elle devrait être une décision de conception dès le premier jour. Pas besoin de comprendre la cryptographie pour poser les bonnes questions — il suffit de connaître les erreurs courantes et coûteuses à corriger plus tard.

Le problème le plus fréquent que l'on trouve lors d'audits de code : des secrets intégrés directement dans l'app — clés API, URL du backend ou identifiants admin codés en dur dans le bundle mobile. N'importe qui peut décompiler une app et les lire en quelques minutes. La solution est simple : les opérations sensibles doivent se faire côté serveur, l'app ne conservant que des jetons temporaires, jamais d'identifiants permanents.

Le deuxième problème courant est une authentification qui fait trop confiance au client — vérifier les permissions dans l'interface de l'app plutôt que côté serveur. Un utilisateur peut contourner n'importe quelle restriction d'interface en parlant directement à votre API, donc chaque vérification de permission doit être appliquée côté serveur, l'interface se contentant de refléter ce que l'utilisateur est déjà autorisé à faire. Le troisième concerne le stockage local : les données sensibles (jetons, informations personnelles, détails de paiement en cache) doivent se trouver dans le stockage sécurisé de la plateforme (Keychain sur iOS, Keystore sur Android), pas dans des fichiers en clair ou des bases de données non chiffrées sur l'appareil.

Rien de tout cela ne demande un budget sécurité colossal — cela demande de traiter ces décisions comme faisant partie de l'architecture, pas comme une réflexion après coup. Quand nous cadrons une nouvelle app, les exigences de sécurité entrent dans le plan technique aux côtés des fonctionnalités, pour que rien ne soit rajouté à la dernière minute sous pression du planning, ce qui est justement le moment où la plupart des failles passent inaperçues.