Endurecer: qué sí sirve y qué solo molesta al usuario

El informe de Colibrí reúne los hallazgos de toda la ruta: secreto embebido, token en claro, dato de tarjeta guardado, rol enviado por el cliente, precio manipulable, ruta de administración sin control en el servidor. Al ordenar el plan, el criterio no es la vistosidad de la técnica, sino dónde se cierra cada fallo. La mayoría se cierran en el servidor —validar propiedad, calcular precio, verificar rol— y unos pocos en el cliente —sacar el secreto, proteger el almacenamiento—. Un plan que ordena por «lo que se ve más en la demo» deja abierto lo que de verdad hace daño.

En Colibrí encabezan el plan las remediaciones de servidor, porque cierran los fallos de impacto directo; las de cliente las acompañan donde el cliente es el lugar correcto (el secreto y el dato local).

El equipo propone ofuscar el código de Colibrí para responder al secreto embebido y a los controles saltados. Hay que decir con claridad qué compra eso: ofuscar hace que leer el código cueste más tiempo, nada más. El secreto ofuscado sigue en el cliente y se acaba extrayendo; el control ofuscado se acaba enganchando. La ofuscación tiene un lugar legítimo —elevar el coste frente a análisis masivo y automático— pero no cierra ninguno de los hallazgos de la ruta, y venderla como si lo hiciera deja el fallo abierto con una etiqueta de «resuelto».

En Colibrí la ofuscación se anota como medida complementaria, con su efecto real —encarecer el análisis—, nunca como el arreglo del secreto embebido, que se cierra sacándolo del cliente.

Para Colibrí se plantea bloquear la aplicación en dispositivos con root. Conviene pesar qué protege y a quién estorba. Bloquear por root cierra la puerta a algunos fraudes automáticos, pero no protege los datos del usuario frente a los fallos de servidor de esta ruta —el pedido ajeno, el precio manipulado, la ruta sin control siguen abiertos con o sin root—, y sí molesta a usuarios legítimos que liberaron su dispositivo por motivos propios. Es una decisión de producto con poco retorno de seguridad para los fallos que se encontraron.

En Colibrí se registra que el bloqueo por root no cierra ningún hallazgo del informe; si se adopta, es por política de fraude, con el coste de usabilidad explícito, no presentado como protección de los datos.