Почему API-ключ в приложении не секрет и как работать с секретами?

Middle PRO

Суть

Всё, что лежит в пакете приложения, доступно любому, кто его скачал. .ipa — это архив: бинарник можно разобрать (strings, дизассемблер), Info.plist и ресурсы прочитать как есть, а на взломанном устройстве — перехватить значения прямо в памяти во время работы (Frida и подобные инструменты). Поэтому ключ в приложении — это не секрет, а идентификатор, и проектировать нужно исходя из того, что его знает атакующий.