תוכנית לשיפור אבטחת אפליקציות
קל לארגן דפים בעזרת אוספים
אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.
התוכנית לשיפור אבטחת אפליקציות היא שירות שניתן למפתחי אפליקציות ב-Google Play
כדי לשפר את האבטחה של האפליקציות שלהם. התוכנית מספקת טיפים והמלצות ליצירת אפליקציות מאובטחות יותר, ומזהה שיפורים פוטנציאליים באבטחה כשמעלים את האפליקציות ל-Google Play. עד היום, התוכנית סייעה למפתחים לתקן יותר ממיליון אפליקציות ב-Google Play.
איך זה עובד
לפני שאנחנו מאשרים אפליקציה ב-Google Play, אנחנו סורקים אותה כדי לוודא שהיא בטוחה ומאובטחת, כולל בדיקה של בעיות אבטחה פוטנציאליות. בנוסף, אנחנו סורקים מחדש באופן קבוע את יותר ממיליון האפליקציות ב-Google Play כדי לאתר איומים נוספים.
אם האפליקציה שלך מסומנת בגלל בעיית אבטחה פוטנציאלית, נודיע לך על כך באופן מיידי כדי לעזור לך לטפל בבעיה במהירות ולשמור על בטיחות המשתמשים. נשלח לכם התראות באימייל וב-Google Play Console, עם קישורים לדף תמיכה שבו מוסבר איך לשפר את האפליקציה.
בדרך כלל, ההתראות האלה יכללו ציר זמן להטמעת השיפור אצל המשתמשים במהירות האפשרית. במקרים מסוימים, יכול להיות שנבקש ממך לשפר את האבטחה באפליקציה לפני שתוכל לפרסם בה עדכונים נוספים.
כדי לוודא שפתרת את הבעיה באופן מלא, צריך להעלות את הגרסה החדשה של האפליקציה אל Google Play Console. חשוב להגדיל את מספר הגרסה של האפליקציה המתוקנת. לאחר כמה שעות, בודקים ב-Play Console אם התראת האבטחה עדיין מוצגת. אם היא לא מוצגת יותר, סימן שהבעיה נפתרה.
דוגמה להתראה על שיפור אבטחה באפליקציה ב-Play Console.
הצטרפו לפעילות
ההצלחה של התוכנית הזו תלויה בשותפות שלנו עם קהילת האבטחה ועם המפתחים של אפליקציות ב-Google Play. כולנו אחראים לספק למשתמשים אפליקציות בטוחות ומאובטחות. למשוב או לשאלות, אפשר לפנות אלינו דרך מרכז העזרה למפתחים של Google Play. כדי לדווח על בעיות אבטחה פוטנציאליות באפליקציות, אפשר לפנות אלינו בכתובת security+asi@android.com.
קמפיינים ותיקונים
בהמשך מפורטות בעיות האבטחה האחרונות שדווחו למפתחים ב-Google Play. פרטים על פגיעות ועל תיקונים זמינים בקישור לדף התמיכה של כל קמפיין.
טבלה 1: קמפיינים עם אזהרה ומועד אחרון לפתרון הבעיה.
|
קמפיין
|
ספרים שהתחלת
|
דף תמיכה
|
|
מפתחות חשופים של שרת העברת הודעות בענן ב-Firebase
|
12/10/2021
|
דף התמיכה
|
|
הפניה אוטומטית של Intent
|
16.5.2019
|
דף התמיכה
|
|
החדרה לממשק ב-JavaScript
|
4.12.2018
|
דף התמיכה
|
|
פריצה באמצעות אובייקט Scheme
|
15.11.2018
|
דף התמיכה
|
|
סקריפטים חוצי-אפליקציות
|
30.10.2018
|
דף התמיכה
|
|
יצירת סקריפטים מבוססי קבצים חוצי-אתרים
|
5.6.2018
|
דף התמיכה
|
|
הזרקת SQL
|
4.6.2018
|
דף התמיכה
|
|
פרצת אבטחה מסוג Path Traversal
|
22/09/2017
|
דף התמיכה
|
|
אימות לא מאובטח של שם המארח
|
29/11/2016
|
דף התמיכה
|
|
החדרת מקטע (fragment)
|
29/11/2016
|
דף התמיכה
|
|
Supersonic Ad SDK
|
28/09/2016
|
דף התמיכה
|
|
Libpng
|
16/06/2016
|
דף התמיכה
|
|
Libjpeg-turbo
|
16/06/2016
|
דף התמיכה
|
|
Vpon Ad SDK
|
16/06/2016
|
דף התמיכה
|
|
Airpush Ad SDK
|
31/03/2016
|
דף התמיכה
|
|
MoPub Ad SDK
|
31/03/2016
|
דף התמיכה
|
|
OpenSSL (logjam ו-CVE-2015-3194, CVE-2014-0224)
|
31/03/2016
|
דף התמיכה
|
|
TrustManager
|
17/02/2016
|
דף התמיכה
|
|
AdMarvel
|
08/02/2016
|
דף התמיכה
|
|
Libupup (CVE-2015-8540)
|
08/02/2016
|
דף התמיכה
|
|
Apache Cordova (CVE-2015-5256, CVE-2015-1835)
|
14/12/2015
|
דף התמיכה
|
|
Vitamio Ad SDK
|
14/12/2015
|
דף התמיכה
|
|
GnuTLS
|
13/10/2015
|
דף התמיכה
|
|
Webview SSLErrorHandler
|
17/07/2015
|
דף התמיכה
|
|
Vungle Ad SDK
|
29/06/2015
|
דף התמיכה
|
|
Apache Cordova (CVE-2014-3500, CVE-2014-3501, CVE-2014-3502)
|
29/06/2015
|
דף התמיכה
|
טבלה 2: קמפיינים עם אזהרה בלבד (ללא מועד אחרון לתיקון).
|
קמפיין
|
ספרים שהתחלת
|
דף תמיכה
|
|
Implicit PendingIntent
|
22.02.2022
|
דף התמיכה
|
|
Implicit Internal Intent
|
22/6/2021
|
דף התמיכה
|
|
מצב הצפנה לא בטוח
|
13/10/2020
|
דף התמיכה
|
|
הצפנה לא בטוחה
|
17.9.2019
|
דף התמיכה
|
|
פרצת אבטחה מסוג Path Traversal בקובץ ZIP
|
21/05/2019
|
דף התמיכה
|
|
טוקן OAuth מוטמע של Foursquare
|
28/09/2016
|
דף התמיכה
|
|
טוקן מוטמע מסוג Facebook OAuth
|
28/09/2016
|
דף התמיכה
|
|
יירוט של חיוב ב-Google Play
|
28/07/2016
|
דף התמיכה
|
|
טוקן רענון מוטמע של Google OAuth
|
28/07/2016
|
דף התמיכה
|
|
פרטי כניסה של מפתח נחשפו
|
16/06/2016
|
דף התמיכה
|
|
קבצים מוטמעים של מאגר מפתחות
|
10/2/2014
|
|
|
פרטי כניסה מוטמעים של Amazon Web Services
|
12/06/2014
|
|
דוגמאות התוכן והקוד שבדף הזה כפופות לרישיונות המפורטים בקטע רישיון לתוכן. Java ו-OpenJDK הם סימנים מסחריים או סימנים מסחריים רשומים של חברת Oracle ו/או של השותפים העצמאיים שלה.
עדכון אחרון: 2025-07-27 (שעון UTC).
[[["התוכן קל להבנה","easyToUnderstand","thumb-up"],["התוכן עזר לי לפתור בעיה","solvedMyProblem","thumb-up"],["סיבה אחרת","otherUp","thumb-up"]],[["חסרים לי מידע או פרטים","missingTheInformationINeed","thumb-down"],["התוכן מורכב מדי או עם יותר מדי שלבים","tooComplicatedTooManySteps","thumb-down"],["התוכן לא עדכני","outOfDate","thumb-down"],["בעיה בתרגום","translationIssue","thumb-down"],["בעיה בדוגמאות/בקוד","samplesCodeIssue","thumb-down"],["סיבה אחרת","otherDown","thumb-down"]],["עדכון אחרון: 2025-07-27 (שעון UTC)."],[],[],null,["# App security improvement program\n\nThe App Security Improvement program is a service provided to Google Play\napp developers to improve the security of their apps. The program provides\ntips and recommendations for building more secure apps and identifies\npotential security enhancements when your apps are uploaded to Google\nPlay. To date, the program has facilitated developers to fix over\n1,000,000 apps on Google Play.\n\nHow it works\n------------\n\n\nBefore any app is accepted into Google Play, we scan it for safety and\nsecurity, including potential security issues. We also continuously re-scan\nthe over one million apps on Google Play for additional threats.\n\n\nIf your app is flagged for a potential security issue, we'll notify you\nimmediately to help you quickly address the issue and help keep your users\nsafe. We'll deliver alerts to you using both email and the Google Play\nConsole, with links to a support page with details about how to\nimprove the app.\n\n\nTypically, these notifications will include a timeline for delivering the\nimprovement to users as quickly as possible. For some kinds of issues, we\nmay require you to make security improvements in the app before you can\npublish any more updates to it.\n\n\nYou can confirm that you've fully addressed the issue by uploading the new\nversion of your app to the Google Play Console. Be sure to [increment the version number](/studio/publish/versioning) of the\nfixed app. After a few hours, check the Play Console for the security\nalert; if it's no longer there, you're all set. \n\nExample of a security improvement alert for\nan app in the Play Console.\n\nGet involved\n------------\n\n\nThe success of this program rests on our partnership with you---the developers\nof apps on Google Play---and the security community. We're all responsible for\nproviding safe, secure apps to our users. For feedback or questions, please\nreach out to us through the [Google\nPlay Developer Help Center](https://support.google.com/googleplay/android-developer/contact/publishing). To report potential security issues in apps,\nplease reach out to us at `security+asi@android.com`.\n\nCampaigns and remediations\n--------------------------\n\n\nBelow are the most recent security issues flagged to developers on\nGoogle Play. Vulnerability and remediation details are available\nin each campaign's support page link.\n\n\n**Table 1**: Warning campaigns with associated deadline for remediation.\n\n| Campaign | Started | Support Page |\n|--------------------------------------------------------------|------------|----------------------------------------------------------------|\n| Exposed Firebase Cloud Messaging Sever Keys | 10/12/2021 | [Support page](https://support.google.com/faqs/topic/11015404) |\n| Intent Redirection | 5/16/2019 | [Support page](https://support.google.com/faqs/answer/9267555) |\n| JavaScript Interface Injection | 12/4/2018 | [Support page](https://support.google.com/faqs/answer/9095419) |\n| Scheme Hijacking | 11/15/2018 | [Support page](https://support.google.com/faqs/answer/9101196) |\n| Cross App Scripting | 10/30/2018 | [Support page](https://support.google.com/faqs/answer/9084685) |\n| File-based Cross-Site Scripting | 6/5/2018 | [Support page](https://support.google.com/faqs/answer/7668153) |\n| SQL Injection | 6/4/2018 | [Support page](https://support.google.com/faqs/answer/7668308) |\n| Path Traversal | 9/22/2017 | [Support page](https://support.google.com/faqs/answer/7496913) |\n| Insecure Hostname Verification | 11/29/2016 | [Support page](https://support.google.com/faqs/answer/7188426) |\n| Fragment Injection | 11/29/2016 | [Support page](https://support.google.com/faqs/answer/7188427) |\n| Supersonic Ad SDK | 9/28/2016 | [Support page](https://support.google.com/faqs/answer/7126517) |\n| Libpng | 6/16/2016 | [Support page](https://support.google.com/faqs/answer/7011127) |\n| Libjpeg-turbo | 6/16/2016 | [Support page](https://support.google.com/faqs/answer/7008337) |\n| Vpon Ad SDK | 6/16/2016 | [Support page](https://support.google.com/faqs/answer/7012047) |\n| Airpush Ad SDK | 3/31/2016 | [Support page](https://support.google.com/faqs/answer/6376737) |\n| MoPub Ad SDK | 3/31/2016 | [Support page](https://support.google.com/faqs/answer/6345928) |\n| OpenSSL (\"logjam\" and CVE-2015-3194, CVE-2014-0224) | 3/31/2016 | [Support page](https://support.google.com/faqs/answer/6376725) |\n| TrustManager | 2/17/2016 | [Support page](https://support.google.com/faqs/answer/6346016) |\n| AdMarvel | 2/8/2016 | [Support page](https://support.google.com/faqs/answer/6345881) |\n| Libupup (CVE-2015-8540) | 2/8/2016 | [Support page](https://support.google.com/faqs/answer/6346109) |\n| Apache Cordova (CVE-2015-5256, CVE-2015-1835) | 12/14/2015 | [Support page](https://support.google.com/faqs/answer/6325474) |\n| Vitamio Ad SDK | 12/14/2015 | [Support page](https://support.google.com/faqs/answer/6365106) |\n| GnuTLS | 10/13/2015 | [Support page](https://support.google.com/faqs/answer/6344084) |\n| Webview SSLErrorHandler | 7/17/2015 | [Support page](https://support.google.com/faqs/answer/7071387) |\n| Vungle Ad SDK | 6/29/2015 | [Support page](https://support.google.com/faqs/answer/6313713) |\n| Apache Cordova (CVE-2014-3500, CVE-2014-3501, CVE-2014-3502) | 6/29/2015 | [Support page](https://support.google.com/faqs/answer/6325474) |\n\n\n**Table 2**: Warning-only campaigns (no remediation deadline).\n\n| Campaign | Started | Support Page |\n|------------------------------------------|------------|-----------------------------------------------------------------|\n| Implicit PendingIntent | 2/22/2022 | [Support page](https://support.google.com/faqs/answer/10437428) |\n| Implicit Internal Intent | 6/22/2021 | [Support page](https://support.google.com/faqs/answer/10399926) |\n| Unsafe Encryption Mode | 10/13/2020 | [Support page](https://support.google.com/faqs/answer/10046138) |\n| Unsafe Encryption | 9/17/2019 | [Support page](https://support.google.com/faqs/answer/9450925) |\n| Zipfile Path Traversal | 5/21/2019 | [Support page](https://support.google.com/faqs/answer/9294009) |\n| Embedded Foursquare OAuth Token | 9/28/2016 | [Support page](https://support.google.com/faqs/answer/7050471) |\n| Embedded Facebook OAuth Token | 9/28/2016 | [Support page](https://support.google.com/faqs/answer/7126515) |\n| Google Play Billing interception | 7/28/2016 | [Support page](https://support.google.com/faqs/answer/7054270) |\n| Embedded Google Refresh Token OAuth | 7/28/2016 | [Support page](https://support.google.com/faqs/answer/7052200) |\n| Developer URL Leaked Credentials | 6/16/2016 | [Support page](https://support.google.com/faqs/answer/7026406) |\n| Embedded Keystore files | 10/2/2014 | |\n| Amazon Web Services embedded credentials | 6/12/2014 | |"]]
