¿Cómo se puede proteger una API web para una aplicación móvil del acceso no autorizado?

Cualquier secreto que pueda tener en una aplicación móvil se pierde para el usuario. No se puede asegurar nada de lo que se le da al cliente. Por otro lado, una solicitud a su API es la misma desde cualquier fuente. El cliente puede enviar cualquier cosa.

Teniendo en cuenta estas suposiciones, es imposible que su API solo funcione con su cliente. Cualquiera puede extraer cualquier identificador de su cliente y crear otra aplicación con los mismos identificadores o secretos para consultar su API, y no tiene forma de saber quién (qué pieza de software) es la persona que llama.

Y a partir de aquí, creo que probablemente sea una pregunta legal, puede crear los Términos de servicio adecuados para evitarlo y hablar con los abogados sobre lo que se puede hacer para obtener protección legal.

Técnicamente, lo mejor que puedes hacer es usar las claves de la API, por lo que incluso si no quieres identificar usuarios individuales, puedes hacer que creen claves de la API para que se conecten a tu API. De esta manera, al menos podría controlar y posiblemente prohibir las claves de API que cree que están en contra de su ToS, y también podría negar la emisión de una nueva clave de API a los usuarios ofensivos. Pero para esto, también necesitarías instalaciones para intentar averiguar quiénes son esos usuarios (qué claves de API, técnicamente), y eso no será una ciencia exacta.

Lo que necesitaría para almacenar algunos secretos en el cliente de manera que el cliente no pueda hacer mal uso ni copiar estos. Luego, estos secretos se utilizan para firmar los mensajes para que sepa que provienen de un cliente de confianza.

Hay formas de hacer esto con hardware protegido contra manipulación indebida, como tarjetas inteligentes o dongles. No hay forma de hacer esto en el software solo mientras el usuario tenga al menos tanto control sobre el sistema como la aplicación que es el caso de los teléfonos con jail rota, etc. Porque, independientemente de la aplicación, el usuario también podría hacerlo dentro de su propia aplicación al replicar el comportamiento.

Esto significa que, a menos que envíe un hardware especial a cada usuario, su única opción será probar la protección limitada mediante la ofuscación del código y protegerlo un poco contra la ingeniería inversa.

No hay manera de identificar una aplicación, ya que requeriría un secreto que solo la aplicación conoce. Pero una vez que está en el código o en un archivo de datos de la aplicación, es vulnerable a la ingeniería inversa. La única protección que tiene es únicamente la ofuscación, y todos sabemos que la seguridad mediante la ofuscación no es ... segura.

Si realmente desea proteger su API sin molestar demasiado a sus usuarios con contraseñas, asigne un ID único a cada usuario legítimo de su aplicación y autentíquelos a través de una clave asimétrica. Esto es lo mejor que puede hacer, y todos los navegadores en cualquier plataforma tienen disposiciones para administrar certificados de clientes de manera transparente para el usuario.