Enlaces profundos: esquemas propios, App Links y lo que llega por la dirección

Un esquema propio es una palabra inventada por la app antes de los dos puntos de una dirección. Cualquier aplicación del teléfono puede declarar el mismo esquema, y el sistema no tiene cómo saber a quién pertenece: si hay varias, el usuario elige o gana la que el sistema prefiera. Por eso un esquema propio no sirve para transportar nada que deba llegar solo a la app legítima.

Un App Link usa una dirección web normal con esquema seguro. Para que el sistema lo trate como suyo, el filtro exige la acción de ver, las categorías por omisión y navegable, un esquema web y la marca de verificación automática; el sistema comprueba entonces un archivo de enlaces de activos alojado en la ruta bien conocida del dominio. Si el archivo no existe o no corresponde a la app, el dominio no queda verificado.

La marca de verificación automática en un filtro es una declaración, no una prueba. La prueba es la respuesta del dominio: el archivo de enlaces de activos tiene que existir, ser válido y nombrar a la app. Si un dominio declarado responde con un error, el enlace funciona como un enlace web cualquiera: abre el navegador o pide al usuario que elija, y la app no recibe el trato de dueña del enlace.

La salida de verificación del analizador es la lectura que cierra la duda. Un filtro con varios dominios queda solo tan sólido como el más débil de ellos, y por eso se revisa dominio por dominio.

El filtro de un esquema propio se reconoce porque no es web: la palabra antes de los dos puntos no es el esquema seguro habitual, no lleva marca de verificación y la dirección no tiene un dominio que probar. En la revisión importa porque lo que viaja por ahí, un identificador, una dirección de destino, a veces una credencial, queda al alcance de cualquier otra app que declare el mismo esquema.

Un informe lista los esquemas propios de la aplicación, qué pantalla abre cada uno y qué datos esperan. Si la app tiene un solo esquema, basta una línea con su nombre; si hay varios, una tabla.

El hallazgo más serio de la lectura es el parámetro que el enlace entrega a una vista web. Si la aplicación carga lo que llegue sin comprobar el dominio de destino, quien construya el enlace decide qué página ve el usuario dentro de la propia app, con su apariencia y sus permisos. Ese patrón suele llamarse redirección abierta hacia una vista web, y el analizador lo marca con severidad alta.

La corrección es validar contra una lista cerrada de dominios permitidos, rechazar lo demás y no pasar al navegador interno direcciones que no sean web. Se redacta con el nombre de la actividad, porque es donde se corrige.

Tres hallazgos de enlaces con severidades distintas: la carga de un parámetro en una vista web, el identificador que llega sin validar a una consulta y el dominio de pagos sin verificar. La prioridad sale de lo que cada uno permite a un tercero. Los dos primeros dejan a quien construya un enlace influir en lo que la app hace o muestra, y por eso son altos. El tercero degrada la garantía del enlace, pero la pantalla de pago sigue sujeta a sus propias comprobaciones, así que es medio.

La medida común es no confiar en nada que llegue por la dirección: validar formato y dominio en la app, y verificar de verdad los dominios declarados.