![[Arquitetura/Segurança] Peguei um emulador fazendo scraping na API do meu app android em beta](https://preview.redd.it/tju6rnhntush1.jpeg?auto=webp&s=5608daffbeb4dc604c0245adc7f7b995db67629d)
[Arquitetura/Segurança] Peguei um emulador fazendo scraping na API do meu app android em beta
E aí, salve sub
Subi a versão beta fechada de um app Android recente e, analisando os logs do backend essa semana, notei um comportamento clássico de automação: chamadas em rajada, espaçadas milimetricamente, headers genéricos e fingerprints apontando para emulador x86.
Minha primeira reação foi pensar numa regra rápida de contenção: throttling/bloqueio temporário se o IP tomar 3 erros em menos de 1 minuto.
Custos de infra: O tráfego bate no servidor da mesma forma, consumindo computação e I/O antes de tomar drop.
(Nota: Já descartei o Pre-launch Report da Google Play / Firebase Robo Test pois os payloads e os ASNs não batem com a infra de testes da Google).
Queria abrir uma discussão técnica com quem já tomou na cabeça com isso em produção.
Penso nessa estratégia: Play Integrity API / Firebase App Check: Quem usa em produção, o overhead de validação e custo de integração compensam para um app em estágio inicial? Já viram cenários em que o Play Integrity quebrou em devices chineses legítimos (ex: Xiaomi sem certificação Google completa)?
Qual tem sido a abordagem com melhor custo-benefício de vocês para equilibrar segurança real x tempo de entrega de dev solo/time enxuto?