Guia de segurança para integradores

Como empresa certificada PCI DSS Level 1 Service Provider, estamos constantemente revisando nossos controles e políticas de segurança para trazer o máximo de segurança para nossos clientes. Por conta disso, estabelecemos um guia de requisitos de segurança que devem ser seguidos pelos integradores para que possam ter seus respectivos aplicativos aprovados e disponíveis em nossa loja de aplicativos:

Requisitos de Segurança

1. O tamanho máximo do artefato final (APK) de produção não deve exceder 200MB. Aplicativos próximos ao limite podem comprometer o plano de dados mensal dos clientes em cenários onde o acesso à internet é restrito a GPRS.
2. Os campos minSdkVersion e targetSdkVersion devem ser preenchidos no arquivo AndroidManifest.xml para definir, respectivamente, a versão mínima do Android API que o aplicativo poderá executar e a versão da API para a qual foi projetado.
3. Toda nova release deve ter o versionCode incrementado e ser único para cada versão.
4. Boas práticas de desenvolvimento são incentivadas para manter a performance do sistema e economia de bateria. Implemente timeout em requisições e rotinas que possam travar o fluxo de execução da aplicação.
5. Ofuscação de código com ferramentas como o Proguard é fortemente recomendada.
6. Todos os aplicativos submetidos para análise devem ter uma descrição clara sobre a empresa, funcionalidades do aplicativo e prints de tela, sem expor dados reais e sensíveis.
7. O nome do aplicativo deve ser o mesmo do AndroidManifest.xml, e o ícone deve carregar a identidade da empresa ou do próprio aplicativo.
8. Reserve uma Activity para conter informações sobre a empresa e contato.
9. Utilize apenas as funcionalidades exportadas pelo WrapperPPS. O uso de SDKs de fornecedores como SUNMI e PAX é desencorajado e será proibido futuramente.
10. Apenas requisite dados estritamente necessários e informe explicitamente o motivo da coleta. Realize mascaramento de dados em tela e recibos, seguindo as normas da LGPD.
11. Utilize o Android Keystore para armazenamento de dados sensíveis (usuários, tokens de sessão, API keys). Não use SQLite ou SharedPreferences para armazenar dados críticos.
12. Utilize HTTPS com protocolo TLS 1.2 ou superior e os ciphers habilitados. Não utilize cleartextTrafficPermitted=true.
13. Todos os serviços externos que a aplicação se comunica devem ser informados com justificativa. Acesso a recursos de concorrentes não será permitido.
14. Acesso via ADB ao terminal não é permitido em produção.
15. O aplicativo não pode utilizar WebApps e WebViews.
16. O acesso a recursos do Google Play Services é restrito, algumas funcionalidades não estarão disponíveis em produção.
17. Durante a geração do artefato de produção, remova todas as configurações de debug (allowBackup=true, testOnly=true, debuggable=true).
18. Não é permitido criar serviços de acessibilidade.
19. O uso de armazenamento externo (SDCARD) não é permitido.
20. O aplicativo não pode modificar configurações do sistema como data, hora e idioma.
21. Recomendamos fortemente a adoção de um ciclo de desenvolvimento seguro, incluindo ferramentas como SAST, SCA, DAST e IAST e a realização periódica de modelagem de ameaças, revisão de código e pentests.

Permissões

As permissões do Android servem para que o aplicativo possa consumir determinadas funcionalidades do Android API. É necessário se atentar e requisitar o mínimo de permissões suficientes para que o aplicativo execute corretamente.

Permissões permitidas

Permissões proibidas

Qualquer permissão não mencionada acima será analisada pontualmente.