Autenticación segura en mobile: tokens, sesiones y superficie de ataque

Diseña autenticación móvil robusta con OAuth/JWT, almacenamiento seguro de credenciales y manejo de sesión resiliente.

📘 Teoría

El cliente debe tratar tokens como material sensible y de vida limitada.

Diferencia access token (corto plazo) y refresh token (renovación controlada) para reducir impacto ante filtraciones.

Evita lógica de autenticación dispersa: centraliza renovación de sesión en un módulo único para toda la app.

Implementa cierre de sesión determinista que invalide estado local y cachés asociadas al usuario.

Dónde guardas secretos importa tanto como el proveedor de auth que uses.

No guardes tokens en texto plano en almacenamiento general; usa mecanismos seguros del SO (Keychain/Keystore vía librerías confiables).

Nunca expongas secretos de backend (API keys privilegiadas) dentro del binario cliente.

Si usas logs o analítica, redacta tokens y PII para evitar fugas por observabilidad mal configurada.

Errores genéricos de login multiplican abandonos y tickets de soporte.

Mapea respuestas 401/403/429 en acciones claras: renovar sesión, reautenticar o esperar ventana de rate limit.

Añade contexto a mensajes sin filtrar detalles sensibles: explica qué debe hacer el usuario en el siguiente paso.

Instrumenta métricas de fallo por etapa (login, refresh, MFA) para priorizar mejoras de producto y seguridad.

Ejemplo Ejemplo guiado Define un tipo de sesión con expiración y una función que fuerce refresh antes de llamar a la API protegida.

⌄

Reto Reto práctico Implementa un flujo de login+refresh que diferencie 401 y errores de red sin perder consistencia de estado.

⌄

Test

Comprueba tus conocimientos con un test sobre Desarrollo de Apps.

Recursos del curso 20