Биометрия не логинит — она открывает ключи.

Отпечаток не доказывает «кто ты». Он лишь разблокирует ключ в Keychain или Keystore, и всё, что вы отправили на сервер «под защитой биометрии», защищено совсем не ей. Это первое, что отличает дырявую реализацию от безопасной.

Дальше — то, на чём ревью ловится чаще всего: UX при отказе биометрии и lockout, re-auth внутри сессии, step-up для переводов, biometry-bound ключи и edge cases вроде «лицо изменилось». И отдельно — как тестировать биометрию, когда в CI нет ни лица, ни пальца.

В курсе «Биометрия и безопасный UX» — 10 модулей от модели безопасности до итогового задания с критериями приёмки. Первый модуль бесплатный.

Смотреть курс: Биометрия и безопасный UX

Подписывайся на канал — разбираем такие ловушки регулярно.