セキュリティとプライバシー

スマホには位置情報・写真・連絡先・カメラなど個人の情報が集まっているので、OS もストアもプライバシーに厳しいルールを設けています。権限は必要になった場面で、理由を見せてから求めるのが基本です。起動直後にまとめて求めると断られやすく、一度断られると OS の設定画面からしか変えてもらえません。

iOS には、権限のほかにも、プライバシーのために用意するものがいくつかあります。

ATT（App Tracking Transparency）は、他社のアプリや Web サイトをまたいで利用者を追跡する（広告の ID の IDFA を使う、他社とデータを結びつけるなど）前に、許可を求めなければならない仕組みです。ATTrackingManager.requestTrackingAuthorization で確認画面を出し、Info.plist に理由（NSUserTrackingUsageDescription）を書きます。断られたら IDFA は使えず、別の方法で追跡してもいけません。

iOS ではほかに、ストアのページのプライバシーの表示（集めるデータの申告）と、アプリや SDK が使う特定の API の理由を書くプライバシーマニフェスト（PrivacyInfo.xcprivacy）が必要です。

Google Play のストアのページで、アプリが集めるデータを利用者に見せる欄です。

Google Play では、ストアのページにデータの安全性の欄があり、集めるデータの種類・目的・他社への共有・暗号化して送っているか・削除を頼めるかを申告します。自分のコードだけでなく、入れている SDK（分析・広告など）が集めるデータも含めます。申告と実際が違うと、更新が止められることがあります。

入れる SDK を選ぶときは、何のデータを集めるかを必ず確かめます。申告の更新を忘れやすいので、SDK を足したらチェックする手順をリリースの作業に入れておきます。

配ったアプリ（iOS の IPA・Android の APK や AAB）は、利用者の手元にあるので、中身を解析される前提で考えます。Android はツールでほぼ元のコードに近い形に戻せ、iOS も文字列やクラス名は読めます。

難読化の限界

Android の R8 はクラスや関数の名前を短い記号に変え、使っていないコードを消します。読みにくくはなりますが、処理の流れや文字列（URL・API キー）は残り、時間をかければ読めます。難読化は「手間を増やす」ものであって、秘密を守る仕組みではありません。

改造したアプリや端末からの不正な通信をどう見分けるか、という話です。

脱獄・root 化した端末や、改造したアプリを見つける方法もあります。ただし、アプリの中だけで判定する仕組みは、Frida などのツールで判定の結果を書き換えられてしまいます。より確かなのは、OS の仕組みでアプリと端末が本物かを証明してもらい、サーバー側で検証する方法です。iOS は App Attest（DeviceCheck）、Android は Play Integrity API を使います。不正なリクエストを判断するのはサーバーで、アプリは「証明を付けて送る」だけにします。

アプリに入れた文字列は、難読化しても取り出せます。なので、漏れたら困るキーはアプリに入れないのが原則です。

キーをビルドの設定やリポジトリに書いていないかも確かめます。リポジトリに入ったキーは、消しても履歴に残るので、作り直して古いものを無効にします。