Что делать при критической уязвимости мобильного приложения, из-за которой данные и токены передаются незашифрованно?

Нужно зарегистрировать инцидент, ограничить утечку, восстановить защищённый транспорт и оценить компрометацию токенов. Простого скрытия предупреждения или отключения проверки сертификатов недостаточно.

Проверьте собственное приложение в разрешённом окружении, не копируя реальные секреты в отчёт. Исправьте адреса HTTP на HTTPS и проверку доверия сертификату, уберите небезопасные исключения. По результатам оценки отзовите затронутые токены и выпустите исправление. Проверьте все сетевые пути и редиректы, а не только вход. Масштаб и коммуникации согласуйте с ответственными за безопасность.

Источник: mas.owasp.org.