// Android - Stockage NON sécurisé (à éviter) : SharedPreferences en clair
val prefs = getSharedPreferences("app_prefs", Context.MODE_PRIVATE)
prefs.edit().putString("auth_token", token).apply()   // lisible en clair par tout accès root/backup non chiffré

// Stockage sécurisé : EncryptedSharedPreferences (Android Jetpack Security)
val masterKey = MasterKey.Builder(context)
    .setKeyScheme(MasterKey.KeyScheme.AES256_GCM)
    .build()

val securePrefs = EncryptedSharedPreferences.create(
    context,
    "secure_prefs",
    masterKey,
    EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV,
    EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM
)
securePrefs.edit().putString("auth_token", token).apply()   // chiffré, clé stockée dans l'Android Keystore (matériel)

// iOS - Ne JAMAIS stocker un secret dans UserDefaults (non chiffré, extractible via backup)
UserDefaults.standard.set(token, forKey: "auth_token")   // MAUVAIS

// Stockage sécurisé : Keychain, avec une classe d'accessibilité restrictive
import Security

func saveToKeychain(token: String, account: String) {
    let query: [String: Any] = [
        kSecClass as String: kSecClassGenericPassword,
        kSecAttrAccount as String: account,
        kSecValueData as String: token.data(using: .utf8)!,
        // n'est déverrouillable que si l'appareil est déverrouillé, ET ne migre jamais vers un autre appareil
        kSecAttrAccessible as String: kSecAttrAccessibleWhenUnlockedThisDeviceOnly
    ]
    SecItemDelete(query as CFDictionary)
    SecItemAdd(query as CFDictionary, nil)
}

// Certificate pinning : empêcher un proxy MITM (même avec un certificat "de confiance" installé sur l'appareil)
// via OkHttp
val certificatePinner = CertificatePinner.Builder()
    .add("api.technologik.fr", "sha256/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA=")
    .build()

val client = OkHttpClient.Builder()
    .certificatePinner(certificatePinner)   // rejette la connexion si le certificat serveur ne matche pas le pin
    .build()

// Attention : prévoir un pin de secours (clé de rotation) sous peine de "casser" l'app au renouvellement du certificat

# Checklist reverse-engineering / anti-tampering niveau expert
1. Obfuscation du code (R8/ProGuard sur Android, SwiftShield sur iOS) : ralentit, ne bloque pas un attaquant motivé
2. Détection root/jailbreak : signal d'alerte, jamais une garantie de sécurité à elle seule
3. Ne jamais faire confiance à une validation faite côté client (prix, quantité, permissions) : tout revalider serveur
4. Chiffrer les communications réseau en TLS 1.2+ uniquement, désactiver le cleartext traffic (usesCleartextTraffic=false)
5. Ne jamais embarquer de clé API secrète "en dur" dans l'APK/IPA : elle est extractible en quelques minutes (apktool, class-dump)