Publicar una app no es solo firmar el AAB. En los encargos de Android —y en las APIs PHP que suelen ir detrás— hay una lista corta que evito saltarme, porque luego sale cara.
Primero, permisos. Si la app no necesita ubicación ni el listado de contactos, no los pido. Cada permiso extra es superficie y, en la Play Console, una explicación que tienes que poder defender. Segundo, almacenamiento: nada de datos de sesión en texto plano, y los tokens fuera del almacenamiento compartido. EncryptedSharedPreferences o el Keystore no son adorno.
Tercero, la red. HTTPS en todo, certificados de verdad y timeouts explícitos. Si hay login, el backend (PHP 8.2 y PDO, en mi caso) valida, limita intentos y no se fía del cliente. La app no es un muro: es un cliente. El muro está en el servidor.
Cuarto, lo que se queda en el dispositivo. Logs sin secretos, copias de seguridad sin bases locales sensibles y un cierre de sesión que borre de verdad. Parece básico y es donde más tropezamos cuando se deja «para el final».
Si estás sacando una app o un panel que la alimenta, puedo revisar esa lista contigo antes de pulsar publicar —el servicio de apps Android lo incluye en el alcance cuando toca publicar en Play. Es más barato que un parche de urgencia, y encaja con el mismo criterio que aplico en las webs a medida: menos piezas, más control.
