Marc Leonardi

O projeto Mobile Application Security da OWASP abrange áreas técnicas como armazenamento, criptografia, autenticação, comunicação de rede e resistência à engenharia inversa. Os proprietários de apps trabalham normalmente noutro nível: acesso, funcionalidades ativas, serviços ligados e gestão de alterações.Segurança, privacidade e conformidade sobrepõem-se, mas respondem a perguntas diferentes:ÁreaPergunta principalSegurançaComo são protegidas as contas, os dados, os serviços e os acessos contra utilização indevida?PrivacidadeQue dados pessoais são utilizados, porquê e que escolhas têm as pessoas?ConformidadeQue regras legais, contratuais e das lojas se aplicam a esta app?Uma app pode descrever corretamente as suas práticas de dados e continuar a conceder acessos demasiado amplos. A aprovação das lojas não é um certificado de segurança. Este guia fornece uma base operacional; dados sensíveis, processos regulamentados ou muito código personalizado podem exigir uma avaliação qualificada.

Um professor procura documentos para o pessoal, um pai consulta o calendário e um aluno guarda um guia para um trabalho. Enviar todos os avisos aos três seria fácil, mas cada vez menos útil. A questão relevante não é quantos dados pode recolher. É saber que parte da experiência deve realmente mudar:algumas secções são partilhadas, enquanto outras dependem do papel do utilizador;as notificações chegam apenas ao público em causa;cada mensagem chega no momento adequado e abre um destino útil;os utilizadores escolhem as atualizações recorrentes e os conteúdos que pretendem guardar.Isto é personalização prática de uma app móvel. Não é necessário qualquer modelo de pontuação opaco.

“Você está perto da nossa loja. Venha nos visitar!”Essa mensagem sabe onde uma pessoa está, mas não por que a interrupção seria relevante. Ela não oferece um valor específico nem um próximo passo. Na melhor das hipóteses, o marketing baseado em localização usa a proximidade como contexto, não como toda a estratégia.Agora compare com esta mensagem:“Seu pedido está pronto. Você está perto do ponto de retirada — mostre esta mensagem no balcão.”A segunda mensagem conecta uma pessoa conhecida, um lugar relevante, o momento certo e uma ação imediata. A mesma lógica pode orientar uma visita a um museu, um alerta em um evento ou um serviço local — não apenas uma promoção.

O número de downloads costuma se tornar o principal indicador após o lançamento. Mas ele registra aquisição, não toda a relação entre um usuário e seu aplicativo.Uma pessoa pode instalar o app e nunca mais abri-lo. Outra pode voltar todas as manhãs, ler vários artigos e responder às notificações. Contar ambas como um download esconde a diferença que realmente importa.O mesmo cuidado vale para qualquer métrica isolada. Mais visualizações de página podem indicar uma exploração útil ou uma navegação confusa. Uma sessão mais longa pode representar uma escuta atenta ou atrito em uma tarefa que deveria levar poucos segundos. Pergunte qual comportamento produziu o número e qual decisão ele pode orientar.

Não é possível comprovar que um app é acessível por meio de uma prévia ou de uma pontuação de contraste. No entanto, é possível remover uma quantidade surpreendente de barreiras antes do início dos testes formais.A acessibilidade móvel vai muito além do contraste de cores. Tipografia, espaçamento, navegação, áreas de toque, rótulos, movimento, mídia e comportamento com tecnologias assistivas também determinam se uma pessoa consegue concluir uma tarefa.As WCAG foram escritas para conteúdo web. As orientações WCAG2Mobile do W3C explicam como aplicar os critérios de nível A e AA das WCAG 2.2 a apps móveis nativos, web e híbridos. O documento é informativo, não uma norma móvel separada, e sozinho não basta para estabelecer que um app seja acessível.Esta checklist separa o que pode ser configurado de forma centralizada do que ainda precisa ser verificado no produto publicado:Área de acessibilidadePrimeira verificaçãoO que configurar ou testarContraste de coresTextos, fundos, controles e estadosDefinir as cores globais e verificar cada combinação de contrasteTipografia e espaçamentoPadrões legíveis, quebra de linha e ampliaçãoConfigurar a hierarquia tipográfica e as margens globaisNavegaçãoDestinos e rótulos clarosConfigurar a estrutura, os rótulos e a navegação do appÁreas de toqueControles fáceis de operarVerificar o app gerado em dispositivosLeitores de telaNomes, funções, estados e ordem de focoTestar os apps iOS e Android geradosMovimentoEfeitos úteis e opcionaisConfigurar animações e resposta tátil e testar as preferências do sistemaMídiaLegendas, transcrições e alternativas em textoAdicionar alternativas durante a criação e a revisão editorialInteração PWATeclado, zoom, foco e layouts responsivosTestar a PWA publicada em navegadores

Imagine o app de um personal trainer com contas de membros, localização opcional, um formulário de e-mail e analytics. Já são quatro fluxos de dados diferentes. Basta alterar um recurso para que o cenário de privacidade também mude.A parte mais difícil não é criar uma página jurídica. É fazer com que três elementos descrevam o mesmo app:ElementoO que deve refletirO próprio appOs dados, as permissões e os serviços de terceiros realmente utilizadosA política de privacidadeO que é coletado, por quê, por quem, por quanto tempo e o que os usuários podem fazer a respeitoAs declarações nas lojasAs respostas de Privacidade do App da Apple e Segurança dos dados do Google Play com base na versão atual do appSe um desses elementos disser “nenhum dado de localização” enquanto o app enviado solicitar acesso à localização, existe uma inconsistência.Grande parte da preparação de privacidade consiste em verificar a coerência: o app, a política e a página da loja precisam contar a mesma história. Essa coerência é necessária, mas não substitui o cumprimento das regras de privacidade e dados do usuário das lojas.Este artigo ajuda você a preparar essa história. Ele não oferece aconselhamento jurídico: os requisitos aplicáveis variam conforme o país, o público e o tipo de dado.

Está a planear aquilo a que muitos chamam membership app? Escolha entre subscrições pagas e comunidade privada e estruture conteúdos, acessos e push.