Autenticación segura en mobile: tokens, sesiones y superficie de ataque

Diseña autenticación móvil robusta con OAuth/JWT, almacenamiento seguro de credenciales y manejo de sesión resiliente.

¿Cuánto sabes de Desarrollo de Apps?

📘 Teoría

Modelo de sesión en cliente móvil

El cliente debe tratar tokens como material sensible y de vida limitada.

Diferencia access token (corto plazo) y refresh token (renovación controlada) para reducir impacto ante filtraciones.

Evita lógica de autenticación dispersa: centraliza renovación de sesión en un módulo único para toda la app.

Implementa cierre de sesión determinista que invalide estado local y cachés asociadas al usuario.

Access token corto, refresh token protegido.
Módulo de sesión único y testeable.
Logout que limpia estado y secretos locales.

Almacenamiento seguro y anti-patrones

Dónde guardas secretos importa tanto como el proveedor de auth que uses.

No guardes tokens en texto plano en almacenamiento general; usa mecanismos seguros del SO (Keychain/Keystore vía librerías confiables).

Nunca expongas secretos de backend (API keys privilegiadas) dentro del binario cliente.

Si usas logs o analítica, redacta tokens y PII para evitar fugas por observabilidad mal configurada.

Guard de sesión para peticiones autenticadas

type Session = { accessToken: string; expiresAt: number };

async function withAuth<T>(session: Session, call: (token: string) => Promise<T>): Promise<T> {
  const now = Date.now();
  let active = session;

  if (active.expiresAt <= now) {
    active = await refreshToken();
  }

  return call(active.accessToken);
}

async function refreshToken(): Promise<Session> {
  // Renovación centralizada (token endpoint)
  return { accessToken: 'new-token', expiresAt: Date.now() + 15 * 60_000 };
}

Errores de autenticación y UX de recuperación

Errores genéricos de login multiplican abandonos y tickets de soporte.

Mapea respuestas 401/403/429 en acciones claras: renovar sesión, reautenticar o esperar ventana de rate limit.

Añade contexto a mensajes sin filtrar detalles sensibles: explica qué debe hacer el usuario en el siguiente paso.

Instrumenta métricas de fallo por etapa (login, refresh, MFA) para priorizar mejoras de producto y seguridad.

1 Modelo de sesión en cliente móvil 2 Almacenamiento seguro y anti-patrones 3 Errores de autenticación y UX de recuperación

🧪 Aprende probando

Ejemplo Ejemplo guiado Define un tipo de sesión con expiración y una función que fuerce refresh antes de llamar a la API protegida.

⌄

🏁 Retos

Reto Reto práctico Implementa un flujo de login+refresh que diferencie 401 y errores de red sin perder consistencia de estado.

⌄

🧰 Recursos

Enlaces útiles

Firebase Authentication OWASP Mobile Top 10 React Native Security Android Security Best Practices Apple Security Documentation

Test

Comprueba tus conocimientos con un test sobre Desarrollo de Apps.

Test de Desarrollo de Apps

Recursos del curso 20

📘 Glosario 🎧 Audios 📄 PDFs 🖼️ Infografías 🎬 Vídeos 🔗 Enlaces 🧠 Flashcards

‹

Lección 09

Consumo de API REST en mobile: latencia, errores y robustez

Lección 11

Almacenamiento local con SQLite: persistencia offline y sincronización segura

›