Configuration iOS et vérification backend

Système natif iOS utilisé

Sur iOS, ce plugin utilise le framework Apple App Attest issu de la DeviceCheck .

Prérequis

• iOS 14+
• Appareil physique recommandé pour les flux de validation réels
• Cible Xcode avec la capacité App Attest activée

Configuration Xcode

1. Ouvrez votre cible d’application iOS dans Xcode.
2. Accéder à Signature et capacités.
3. Cliquez + Capacité et ajoutez App Attest.

Aucune permission iOS personnalisée n’est requise dans Info.plist pour App Attest lui-même.

Flux client

import { AppAttest } from '@capgo/capacitor-app-attest';

const { keyId } = await AppAttest.prepare();

const attestation = await AppAttest.createAttestation({
  keyId,
  challenge: 'backend-registration-challenge',
});

const assertion = await AppAttest.createAssertion({
  keyId,
  payload: 'backend-request-payload',
});

Envoyer attestation.token et assertion.token vers votre backend. Ne les validez pas dans l’app.

Workflow backend (iOS)

Enregistrement (createAttestation)

1. Le backend crée un jeton à usage unique challenge.
2. L'app appelle createAttestation({ keyId, challenge }).
3. Le backend vérifie l’attestation App Attest :
   • la chaîne de certificats est valide et ancrée dans Apple App Attest
   • l'identité de l'app correspond à votre app (bundleId, l'équipe)
   • clientDataHash correspond à SHA256(challenge)
4. Stocker l'état de la clé de l'appareil (keyId, la clé publique et les métadonnées du vérificateur).

Protection de la requête (createAssertion)

1. Le backend crée un jeton à usage unique payload (ou l'entrée du hash de requête canonique).
2. L'app appelle createAssertion({ keyId, payload }).
3. Le backend vérifie la signature de l'assertion avec les clés stockées précédemment.
4. Appliquez la protection anti-replay et les contrôles TTL des nonces.

Schéma iOS

sequenceDiagram
  participant App as iOS App
  participant Plugin as AppAttest plugin
  participant Apple as Apple App Attest
  participant BE as Backend

  BE->>App: one-time challenge
  App->>Plugin: prepare()
  Plugin->>Apple: generateKey()
  Apple-->>Plugin: keyId

  App->>Plugin: createAttestation(keyId, challenge)
  Plugin->>Apple: attestKey(keyId, SHA256(challenge))
  Apple-->>Plugin: attestation token
  Plugin-->>App: token + platform + format + keyId
  App->>BE: token + challenge + keyId
  BE->>BE: verify Apple attestation rules

  BE->>App: one-time payload
  App->>Plugin: createAssertion(keyId, payload)
  Plugin->>Apple: generateAssertion(keyId, SHA256(payload))
  Apple-->>Plugin: assertion token
  Plugin-->>App: token + platform + format + keyId
  App->>BE: token + payload + keyId
  BE->>BE: verify signature + replay policy

Contrat minimal de payload backend

Enregistrement :

{
  "platform": "ios",
  "format": "apple-app-attest",
  "keyId": "string",
  "challenge": "string",
  "token": "string"
}

Assertion :

{
  "platform": "ios",
  "format": "apple-app-attest",
  "keyId": "string",
  "payload": "string",
  "token": "string"
}

Continuez à partir de la section Configuration iOS & vérification backend

Si vous utilisez Configuration iOS & vérification côté serveur pour planifier la sécurité et la conformité, connectez-l’à Utiliser @capgo/capacitor-app-attest pour la capacité native dans la page « Utiliser @capgo/capacitor-app-attest », Chiffrement pour les détails d'implémentation du chiffrement, Conformité pour les détails d'implémentation de la conformité, Scanner de sécurité Capgo pour le workflow produit dans Capgo Security Scanner, et Capgo et la sécurité pour le workflow produit dans Capgo Security.