Реалізація захисту від скріншотів екрана в мобільному додатку

Критичність захисту від скріншотів для мобільних додатків

Банківські додатки, медичні портали, корпоративні месенджери — будь-який екран з чутливими даними потенційно вразливий. Скріншот може опинитися в галереї, синхронізуватися з хмарою, бути прочитаним іншими додатками через MediaStore на Android або автоматично збереженим у Photos на iOS. У fintech-додатках це пряме порушення вимог безпеки — App Store Review Guidelines Section 4.2/5.1, PCI DSS. Захист від скріншотів — обов'язковий елемент security audit, і його відсутність часто веде до блокування публікації в сторах.

Наша експертиза охоплює мобільну безпеку, захист даних у fintech, запобігання скріншотам та приватність у додатку. Ми впроваджуємо захист на обох платформах більше 5 років, виконали 30+ проєктів для фінтеху та MedTech, досягнувши 100% відповідності сторам. Наш підхід гарантує відповідність вимогам App Store і Google Play за рахунок комбінації системних API та кастомних рішень. Типовий аудит займає один день, а середній час впровадження — 2 дні з тестуванням на 20+ пристроях. Вартість аудиту безпеки починається від 500 доларів США, повний цикл впровадження — від 1500 доларів.

Реалізація захисту від скріншотів на Android та iOS

Реалізація блокування скріншотів на Android

Перевірений спосіб — FLAG_SECURE, один прапор в onCreate Activity:

window.setFlags(WindowManager.LayoutParams.FLAG_SECURE, WindowManager.LayoutParams.FLAG_SECURE) 

Цей прапор забороняє системним інструментам робити скріншот вікна та блокує захоплення через MediaProjection. FLAG_SECURE у сотні разів простіше реалізувати, ніж overlay на iOS. Важно: FLAG_SECURE застосовується до всієї Activity, тому для Fragment-based додатків на одній Activity захищається весь додаток. Нюанс: фізична камера, що знімає екран, не блокується — це оверхед, який не вирішується програмно. За статистикою наших проєктів, у 80% випадків достатньо одного FLAG_SECURE для всіх екранів.

Обмеження iOS у прямому блокуванні скріншотів

iOS не надає прямого аналога FLAG_SECURE. Стандартний підхід — реакція на подію скріншота, а не його блокування.

Виявлення скріншота

NotificationCenter.default.addObserver( forName: UIApplication.userDidTakeScreenshotNotification, object: nil, queue: .main ) { _ in // логувати, показати попередження, інвалідувати сесію } 

Але це постфактум: скріншот уже зроблено. Альтернатива — UIScreen.capturedDidChangeNotification, який спрацьовує при захопленні екрана (включаючи AirPlay і QuickTime). Тоді можна приховувати контент превентивно:

NotificationCenter.default.addObserver( forName: UIScreen.capturedDidChangeNotification, object: nil, queue: .main ) { [weak self] _ in self?.sensitiveView.isHidden = UIScreen.main.isCaptured } 

Overlay при переході у фон

Для захисту прев'ю в перемикачі завдань показуємо заглушку при sceneWillResignActive:

func sceneWillResignActive(_ scene: UIScene) { privacyWindow?.isHidden = false } func sceneDidBecomeActive(_ scene: UIScene) { privacyWindow?.isHidden = true } 

Це стандарт для фінтех-додатків на iOS. У 95% кейсів overlay вирішує проблему перегляду вмісту через перемикач завдань.

Secure Text Field

Для чутливих текстових полів використовуйте isSecureTextEntry = true. iOS автоматично розмиває вміст такого поля на скріншотах і в перемикачі завдань.

Практичне застосування overlay та capturedDidChange

Розглянемо кейс: fintech-додаток з відображенням балансу та історії транзакцій. На Android достатньо додати FLAG_SECURE в MainActivity. На iOS підписуємося на capturedDidChangeNotification і приховуємо UILabel з балансом при захопленні екрана. Додатково при переході у фон показуємо заглушку з логотипом. У результаті ні скріншот, ні запис екрана не розкривають дані користувача. Це рішення пройшло аудит безпеки та було прийняте в сторі з першого разу.

Кроссплатформенні фреймворки: React Native і Flutter

У React Native використовуйте react-native-flag-secure-android для Android; для iOS — обгортаємо overlay і сповіщення в нативний модуль. У Flutter на Android застосовуйте flutter_windowmanager, на iOS — platform channel для overlay.

Процес роботи: від аудиту до деплою

Що входить у нашу послугу?

• Аудит поточної архітектури на вразливості захоплення екрана.
• Налаштування FLAG_SECURE для Android з регіон-специфічними прапорами.
• Реалізація overlay-заглушки для iOS та підписка на capturedDidChange.
• Інтеграція з вашим CI/CD (TestFlight, Firebase App Distribution).
• Документація з підтримки та оновлення захисту.
• Гарантія коректної роботи на пристроях з iOS 15+ та Android 10+.

Порівняння підходів

Отримайте консультацію

Замовте аудит вашего додатку — ми проаналізуємо вразливі екрани та запропонуємо оптимальне рішення. Зв'яжіться з нами, щоб обговорити деталі та терміни. Оцінка проєкту безкоштовна та займає один день.