Onde guardar tokens no celular: Keychain, Keystore e SecureStore

Apps precisam guardar informações entre uma sessão e outra: token de login, preferências, dados em cache. Nem tudo pode ir para o mesmo lugar. O armazenamento comum do React Native não é criptografado.

Onde guardar o quê

• Tokens, credenciais e chaves: no armazenamento seguro do sistema — Keychain no iOS e Keystore no Android. Em Expo, expo-secure-store faz essa ponte.
• Preferências e dados não sensíveis: armazenamento comum.
• Grandes volumes de dados: banco local, com criptografia se houver informação pessoal (Offline-first: apps que continuam funcionando sem internet).

O que nunca guardar no aparelho

• Chaves de APIs de serviços pagos ou administrativos (Chave de API no frontend: o vazamento mais comum que encontramos).
• Senhas em texto.
• Dados que o usuário não precisa ter offline.

Outros cuidados

1. 1.Limpe tudo no logout.
2. 2.Tokens de curta duração com renovação (Sessões e expiração: o equilíbrio entre segurança e conveniência).
3. 3.Proteção por biometria para abrir funções sensíveis.
4. 4.Não exponha dados em logs do aparelho (Logs sem dados sensíveis: o vazamento que ninguém percebe).
5. 5.Ocultar conteúdo na tela de apps recentes, para apps financeiros e de saúde.

Na web é diferente

Navegadores não têm um cofre equivalente; por isso cookies HttpOnly costumam ser mais seguros que localStorage (JWT: as armadilhas que deixam sua API aberta).

A We Codex desenvolve apps com segurança desde o projeto. Veja aplicativos nativos e segurança ou fale com a gente.