Sentomaru e Appdome: onde o app é validado

A Appdome insere código de proteção no aplicativo e o app verifica a si mesmo. No Sentomaru, quem decide é o seu servidor, com prova gerada pelo hardware do aparelho. A diferença está em quem precisa ser enganado para um app adulterado passar.

Ponto a ponto

• Quem confirma que o app é legítimoSentomaru: O seu servidor, com o atestado assinado pelo chip de segurança do aparelho (Android Key Attestation). O atestado traz o pacote e o certificado de assinatura do app instalado, e o servidor compara com os que você cadastrou.Appdome: O código de proteção inserido no próprio app calcula checksums (SHA-256) do código e dos recursos durante a execução e compara o certificado de assinatura com uma lista autorizada.
• Onde a verificação rodaSentomaru: No servidor. Desligar ou alterar código no aparelho não faz o servidor aceitar um app adulterado.Appdome: Dentro do app, no aparelho que o atacante controla, protegida por ofuscação e anti-tampering. Ao detectar adulteração, o app encerra a sessão.
• Prova entregue à sua APISentomaru: Cada requisição assinada no padrão aberto HTTP Message Signatures (RFC 9421) com uma chave gerada no hardware e presa àquela instalação; cada prova vale uma única vez.Appdome: Cabeçalho proprietário (APPVERIFIED) lido pelo backend ou pelo WAF.
• Prova de como o app foi construídoSentomaru: Proveniência da build (in-toto/SLSA v1) assinada com chave em cofre, SBOM CycloneDX e chave pública publicada: qualquer auditor confere com uma ferramenta pública, sem conta e sem depender de nós.Appdome: Relatório “Certified Secure” emitido pela própria Appdome a cada build, com as proteções aplicadas e o histórico.
• Quem altera o seu binárioSentomaru: Ninguém de fora: a proteção é aplicada no seu pipeline e o app é assinado com chave em cofre, que não pode ser exportada.Appdome: A plataforma da Appdome insere o código de proteção no binário (“fusion”) antes da publicação.

Fontes

Documentação pública da Appdome, consultada em 15/10/2026:

• Checksum validation
• Prevent app modifications with checksum verification
• Block resigning and repackaging Android apps
• Sign secured Android apps with SHA fingerprint
• AppVerified attestation
• Certified Secure build certification

Appdome, Certified Secure e AppVerified são marcas de seus respectivos titulares. Esta página descreve a abordagem publicada por cada produto e não avalia a eficácia de nenhum deles em um caso específico.