Expo
Como proteger um app Expo
A Moatgator trabalha sobre o artefato compilado, então a forma como você compila com o Expo não importa. Analise hoje; a proteção de um app Expo ainda não está disponível.
Motor de proteçãoAinda não disponível
O motor de proteção está em prévia: os builds são registrados e analisados, mas nenhum pacote protegido é produzido ainda. Esta página diz exatamente o que funciona hoje.
O que atacantes fazem com um app Expo
A visão defensiva das técnicas que uma proteção precisa tornar mais caras.
01
Ler o bundle JavaScript
Um app Expo leva um bundle JavaScript dentro do pacote. Tudo o que está nele, inclusive chaves colocadas na configuração do app, pode ser extraído.
02
Variáveis de ambiente públicas
Variáveis pensadas para o cliente entram no app por desenho. Um segredo colocado ali deixa de ser segredo.
03
Reempacotamento
O AAB, APK ou IPA compilado pode ser desempacotado, alterado e reassinado como qualquer app nativo.
04
Aparelhos com root e jailbreak
Em um aparelho com root ou jailbreak, ferramentas como o Frida conseguem fazer hook do app enquanto ele roda.
O que a Moatgator planeja para o Expo
O artefato compilado é o que será protegido, então o plano não depende de como você o produziu.
Trabalha sobre o artefato
Localmente com prebuild e Gradle, ou com o EAS Build: gere o AAB, APK ou IPA e depois registre.
Uma política na raiz do projeto
O moatgator.yml lê o android.package e o ios.bundleIdentifier do app.json. Mantenha-o fora das pastas android e ios, que são regeneradas.
Detecções na camada nativa
Root ou jailbreak, debugger, hooking e adulteração são avaliados no lado nativo. Ainda não estão disponíveis.
A assinatura continua com o EAS
O EAS gerencia as suas credenciais de assinatura. A Moatgator nunca precisa delas.
O que funciona hoje
Sem prometer um suporte que ainda não existe.
Scan gratuito dos pacotes
Analise o AAB, APK ou IPA do seu build Expo e receba uma nota para as lacunas de proteção, com leitura estática.
DisponívelArquivo de política e registro no CI
O moatgator.yml detecta o Expo, e o CLI registra e analisa o artefato, compilado localmente ou baixado do EAS. Construído e testado; os pacotes ainda não foram publicados.
DisponívelProteção para Expo
As detecções em runtime e o endurecimento do bundle para Expo ainda não estão disponíveis. Nenhum pacote protegido é produzido.
Ainda não disponível
Analise um build Expo localmente
O fluxo real da documentação.
$ npx moatgator init$ npx expo prebuild --platform android$ cd android && ./gradlew bundleRelease && cd ..$ npx moatgator scan android/app/build/outputs/bundle/release/app-release.aab --min-grade CO CLI ainda não foi publicado no npm. Até lá, use o Scan gratuito no navegador.
Quickstart completo de ExpoO que está coberto
| Item | Hoje |
|---|---|
| Formatos de pacote (Scan) | AAB, APK e IPA |
| Como você compila | Localmente (prebuild e Gradle) ou com o EAS Build |
| Política e registro no CI | Qualquer CI que rode Node 20 ou mais novo |
| Proteção para Expo | Ainda não disponível |
Avise-me quando a proteção para Expo estiver pronta
Deixe o seu e-mail e escreveremos uma vez, quando ela estiver disponível. Nada além disso.
Perguntas
Posso colocar um segredo de API em uma variável de ambiente do Expo?
Não, se ele precisa continuar secreto. Variáveis pensadas para o cliente acabam dentro do app. Mantenha os segredos de verdade em um servidor e dê ao app tokens de vida curta.
Preciso fazer eject ou mudar a configuração do Expo?
Não. A Moatgator trabalha sobre o artefato compilado, então tanto faz usar prebuild ou o EAS Build.
O EAS Build precisa de acesso às chaves da Moatgator?
Só se você registrar o build por lá. Use uma credencial de vida curta ou uma chave de API guardada como secret, nunca commitada no repositório.
O prebuild vai sobrescrever o meu arquivo de política?
Não, desde que o moatgator.yml fique na raiz do projeto. O prebuild regenera as pastas android e ios, não a raiz.
Pronto para proteger seu app?
Comece grátis ou conte o que você precisa.