[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"technologies":3,"\u002Fblog\u002Fssl-certificate-pinning-flutter":167,"team-members":2146,"blog-topics":2488,"mdc--8floov-key":2529,"glossary":2648},[4,10,15,21,26,32,38,43,48,53,58,63,68,73,77,82,87,92,97,103,108,113,118,123,128,133,138,143,147,152,157,162],{"title":5,"description":6,"slug":7,"category":8,"icon":9},"Android","Каждое наше приложение выходит и на Android — платформенные API, фоновое выполнение, разрешения и требования магазина вместе с ними.","android","framework","logos:android-icon",{"title":11,"description":12,"slug":13,"category":8,"icon":14},"Angular","Фронтенд-фреймворк, в котором мы работаем, когда продукт уже на Angular, — строгая структура, подходящая большим долгоживущим приложениям.","angular","logos:angular-icon",{"title":16,"description":17,"slug":18,"category":19,"icon":20},"Dart","Язык, на котором написано каждое наше Flutter-приложение, — строгая null safety, полноценный pattern matching и компиляция в нативный код и веб.","dart","language","logos:dart",{"title":22,"description":23,"slug":24,"category":8,"icon":25},"Django","Python-фреймворк, который мы берём, когда продукту нужны админка, аутентификация и модель данных в первый же день, а не самописный сервис.","django","logos:django-icon",{"title":27,"description":28,"slug":29,"category":30,"icon":31},"Docker","Каждый наш сервис поставляется в виде контейнера, поэтому на ноутбуке, в CI и в продакшене работает один и тот же артефакт, а не три разных.","docker","infrastructure","logos:docker-icon",{"title":33,"description":34,"slug":35,"category":36,"icon":37},"Fastlane","Автоматизация релизов в нашей мобильной разработке — подпись, сборки и загрузка в сторы идут из CI, а не с ноутбука одного инженера в день релиза.","fastlane","tools","logos:fastlane",{"title":39,"description":40,"slug":41,"category":8,"icon":42},"Flutter","Наш основной мобильный стек с 2018 года — одна кодовая база на Dart для iOS, Android, веба и десктопа без отдельной команды под каждую платформу.","flutter","logos:flutter",{"title":44,"description":45,"slug":46,"category":36,"icon":47},"Git","Все проекты, к которым мы прикасаемся, живут в Git — ревью пул-реквестов, CI на каждой ветке и история, понятная и спустя месяцы.","git","logos:git-icon",{"title":49,"description":50,"slug":51,"category":19,"icon":52},"Go","Наш бэкенд-язык для real-time API и сервисов под нагрузкой — маленькие бинарники, быстрая сборка и конкурентность, которая остаётся читаемой.","go","logos:gopher",{"title":54,"description":55,"slug":56,"category":30,"icon":57},"Google Cloud","Облако, в котором работают наши продакшен-нагрузки, — управляемый Kubernetes, хранилище и сеть без серверов, которые надо обслуживать руками.","gcp","logos:google-cloud",{"title":59,"description":60,"slug":61,"category":36,"icon":62},"Gradle","Система сборки, через которую проходит каждый Android-релиз, — флейворы, конфигурации подписи и вся обвязка зависимостей под Flutter-приложением.","gradle","logos:gradle",{"title":64,"description":65,"slug":66,"category":30,"icon":67},"Helm","Так мы упаковываем деплой в Kubernetes — сервис, конфигурация, секреты и ingress как одна версионируемая единица, которую можно выкатить и откатить.","helm","logos:helm",{"title":69,"description":70,"slug":71,"category":19,"icon":72},"Kotlin","То, что мы берём, когда Flutter-приложению нужен настоящий Android под ним, — platform channels, фоновые задачи и интеграции с нативными SDK.","kotlin","logos:kotlin-icon",{"title":74,"description":75,"slug":76,"category":8,"icon":72},"Kotlin Multiplatform","Общая бизнес-логика для iOS и Android, а нативный интерфейс у каждой платформы свой, — альтернатива, когда Flutter не подходит.","kmp",{"title":78,"description":79,"slug":80,"category":30,"icon":81},"Kubernetes","Так мы запускаем сервисы в продакшене — деплой в Helm-чартах, откатываемые выкатки и масштабирование, для которого не нужен человек в три ночи.","kubernetes","logos:kubernetes",{"title":83,"description":84,"slug":85,"category":30,"icon":86},"NATS","Лёгкий обмен сообщениями между сервисами — publish\u002Fsubscribe и request\u002Freply без эксплуатационного веса полноценного кластера брокера.","nats","logos:nats-icon",{"title":88,"description":89,"slug":90,"category":8,"icon":91},"Nuxt","Vue с серверным рендерингом, роутингом и SEO из коробки — так мы делаем сайты и веб-приложения, которые должны быстро грузиться и индексироваться.","nuxt","logos:nuxt-icon",{"title":93,"description":94,"slug":95,"category":19,"icon":96},"PHP","Там, где PHP-бэкенд уже есть: дорабатываем его, интегрируемся с ним и делаем мобильные и веб-клиенты, которые он обслуживает.","php","logos:php",{"title":98,"description":99,"slug":100,"category":101,"icon":102},"PostgreSQL","Наша база данных по умолчанию — от проектирования схемы до настройки индексов мы берём её, если у продукта нет конкретной причины взять другую.","postgres","database","logos:postgresql",{"title":104,"description":105,"slug":106,"category":19,"icon":107},"Python","Наш язык для бэкендов, работы с данными и AI-интеграций — включая Python-биндинги, которые мы выпускаем к собственным инструментам на Rust.","python","logos:python",{"title":109,"description":110,"slug":111,"category":8,"icon":112},"React","Фронтенд-библиотека, в которой мы работаем, когда продукт уже на React, — компоненты, хуки и выросшая вокруг них экосистема.","react","logos:react",{"title":114,"description":115,"slug":116,"category":101,"icon":117},"Redis","Место для данных, которые должны быть быстрыми и которые не жалко пересчитать, — кэши, сессии, лимиты и очереди фоновых задач.","redis","logos:redis",{"title":119,"description":120,"slug":121,"category":19,"icon":122},"Ruby","Язык, на котором написана автоматизация наших мобильных релизов, — лейны Fastlane, кастомные действия и связка с CI, доставляющая сборки в сторы.","ruby","logos:ruby",{"title":124,"description":125,"slug":126,"category":19,"icon":127},"Rust","Куда мы идём, когда важны и скорость, и корректность, — рендеринг документов, CLI-инструменты и сервисы, которые обязаны оставаться быстрыми и предсказуемыми.","rust","simple-icons:rust",{"title":129,"description":130,"slug":131,"category":101,"icon":132},"SQLite","База данных, которая поставляется внутри приложения, — локальные кэши, offline-first хранилище и всё, что должно работать без сети.","sqlite","logos:sqlite",{"title":134,"description":135,"slug":136,"category":8,"icon":137},"Strapi","Headless CMS, к которой мы обращаемся, когда контент должны вести сами редакторы, — готовая админка и чистый API вместо самописных.","strapi","logos:strapi-icon",{"title":139,"description":140,"slug":141,"category":19,"icon":142},"Swift","То, что мы берём, когда Flutter-приложению нужен настоящий iOS под ним, — platform channels, интеграции нативных SDK, виджеты и App Clips.","swift","logos:swift",{"title":144,"description":145,"slug":146,"category":8,"icon":142},"SwiftUI","UI-фреймворк Apple, на котором мы делаем нативные поверхности, недоступные Flutter-приложению, — виджеты, App Clips и расширения.","swiftui",{"title":148,"description":149,"slug":150,"category":8,"icon":151},"Tailwind CSS","Так мы стилизуем весь фронтенд — утилитарные классы и дизайн-токены вместо таблицы стилей, которая только растёт и никогда не чистится.","tailwind","logos:tailwindcss-icon",{"title":153,"description":154,"slug":155,"category":19,"icon":156},"TypeScript","Стандарт для всего, что мы пишем для браузера и для Node-сервисов, — типы ловят ошибки интеграции раньше, чем код доходит до ревью.","typescript","logos:typescript-icon",{"title":158,"description":159,"slug":160,"category":8,"icon":161},"Vue","Наш фронтенд-фреймворк для админок, дашбордов мерчантов и веб-приложений, которые должны оставаться поддерживаемыми годами, а не спринтами.","vue","logos:vue",{"title":163,"description":164,"slug":165,"category":36,"icon":166},"Whisper","Открытая модель распознавания речи от OpenAI — движок транскрипции для голосового ввода, который работает и как бэкенд-сервис, и прямо на устройстве в приложении.","whisper","simple-icons:openai",{"id":168,"title":169,"author":170,"body":171,"description":2127,"extension":2128,"hero":2129,"meta":2132,"metaDescription":2133,"metaTitle":2134,"navigation":2135,"ogDescription":2136,"path":2137,"seo":2138,"slug":2139,"stem":2140,"summary":2141,"timestamp":2142,"topic":2143,"updated":2144,"__hash__":2145},"blog_ru\u002Fblog\u002Fssl-certificate-pinning-flutter.md","Ваш SSL pinning, скорее всего, не работает","nixan",{"type":172,"value":173,"toc":2105},"minimark",[174,183,189,196,199,204,259,263,269,281,284,290,296,299,304,314,317,320,323,327,338,406,412,416,423,430,438,442,448,465,468,472,475,540,547,558,561,567,570,573,579,583,587,590,597,600,723,726,776,783,787,794,797,993,996,1244,1251,1255,1266,1350,1353,1360,1364,1376,1391,1398,1402,1409,1424,1434,1437,1449,1453,1456,1461,1483,1494,1505,1516,1519,1540,1546,1751,1769,1783,1800,1820,1839,1854,1857,1881,1885,1888,1891,1898,1904,1908,1911,1914,1917,1920,1924,1927,2061,2065,2082,2085,2101],[175,176,177,178,182],"p",{},"Собственная документация Google по Android говорит, что certificate pinning ",[179,180,181],"strong",{},"«не рекомендуется для Android-приложений»",".",[175,184,185,186,182],{},"Apple говорит: ",[179,187,188],{},"«в большинстве случаев pinning не нужен, и его следует избегать»",[175,190,191,192,195],{},"А вот инженер Chromium отвечает на вопрос о том, как правильно настроить pinning. Начинает он так: ",[179,193,194],{},"«Хотя pinning в целом никогда не следует поощрять, поскольку он активно вредит безопасности и стабильности интернета в целом, если вы пиннитесь к приватному CA, Network Security Config в Android будет предпочтительным подходом»",". Человек буквально объясняет, как это сделать, и всё равно не может удержаться.",[175,197,198],{},"При этом pinning есть примерно в половине мобильных приложений, которые мы смотрим, включая те, что попадают к нам на аудит. Хорошая новость: если вы на Flutter, он, скорее всего, не работает. Плохая новость — та же самая фраза.",[200,201,203],"h2",{"id":202},"коротко","Коротко",[205,206,207,214,220,226,232,238,253],"ul",{},[208,209,210,213],"li",{},[179,211,212],{},"Pinning — узкий механизм против угрозы, которая сильно сжалась",", и при этом радиус поражения у него — вся ваша пользовательская база. Certificate Transparency, CAA-записи и изменение модели доверия в Android 7 забрали у него большую часть исходной работы.",[208,215,216,219],{},[179,217,218],{},"Он действительно нужен финтеху, медицине и госуслугам"," — то есть приложениям, которые обязаны проходить проверку по MAS-L2, профилю OWASP для софта с чувствительными данными. Всем остальным Google, Apple, Cloudflare и половина OWASP говорят «не надо».",[208,221,222,225],{},[179,223,224],{},"Сроки жизни сертификатов схлопываются",": 200 дней с марта 2026-го, 100 — в 2027-м, 47 — в 2029-м. Если вы пиннитесь на лист и не можете ротировать пины без релиза, это восемь принудительных релизов в год.",[208,227,228,231],{},[179,229,230],{},"Пиннить нужно ключ (SPKI), а не сертификат",", и всегда с резервным пином на офлайновый ключ, который принадлежит вам.",[208,233,234,237],{},[179,235,236],{},"Никогда не выкатывайте сразу в hard-fail"," — и телеметрию отказов придётся написать самим, потому что ни на одной платформе её нет.",[208,239,240,252],{},[179,241,242,243,247,248,251],{},"На Flutter ",[244,245,246],"code",{},"\u003Cpin-set>"," в ",[244,249,250],{},"network_security_config.xml"," ничего не делает с трафиком Dart."," У Dart свой TLS-стек. Баг открыт с января 2022 года.",[208,254,255,258],{},[179,256,257],{},"Тест на полчаса"," в конце статьи показывает, какой из этих вариантов — про ваше приложение. Наивная версия этого теста вам врёт.",[200,260,262],{"id":261},"от-чего-pinning-защищает-на-самом-деле","От чего pinning защищает на самом деле",[175,264,265,266],{},"Коротко о базе, чтобы говорить на одном языке. Обычно приложение доверяет любому сертификату, подписанному любым удостоверяющим центром из системного хранилища, а корневых сертификатов там около полутора сотен. Pinning сужает этот список до одного: ",[179,267,268],{},"вот этот ключ и больше никакой.",[175,270,271,272,275,276,280],{},"Сначала про название. Все говорят «SSL pinning», мы в том числе — в заголовке этой статьи. ",[179,273,274],{},"SSL мёртв больше десяти лет",", везде ",[277,278],"term",{"slug":279},"tls",". Но ищут люди именно это, поэтому название остаётся. Просто держите в голове: если кто-то в 2026 году говорит «SSL» и имеет это в виду буквально, это кое-что говорит о свежести его источников.",[175,282,283],{},"Теперь честная модель угроз. От двух вещей pinning защищает по-настоящему:",[175,285,286,289],{},[179,287,288],{},"Скомпрометированный или недобросовестный удостоверяющий центр."," Это его настоящая работа. Учебный пример — DigiNotar, 2011 год: атакующие взломали нидерландский CA, выпустили поддельные сертификаты на домены Google и перехватывали иранских пользователей. Поймал это именно pinning — в Chrome был предзагруженный пин для google.com.",[175,291,292,295],{},[179,293,294],{},"Корпоративный перехват."," DLP-прокси; антивирусы, которые инспектируют TLS; MDM, который ставит корневой сертификат на уровне системы. Pinning ломает их все. В этом и смысл — но это же означает, что вы сломаете легальный прокси корпоративного заказчика вместе с прокси атакующего.",[175,297,298],{},"А теперь то, чего нет в статьях 2015 года, потому что тогда этого просто не существовало.",[300,301,303],"h3",{"id":302},"угроза-плохой-ca-сильно-сжалась","Угроза «плохой CA» сильно сжалась",[175,305,306,309,310,313],{},[179,307,308],{},"Certificate Transparency"," публикует каждый публично доверенный сертификат в открытые логи, в которые можно только дописывать. Механизм появился в 2013 году, но обязательным на практике стал в 2018-м: Chrome начал требовать его в версии 68, а Apple проверяет CT ",[179,311,312],{},"на уровне ОС"," — то есть внутри приложений, а не только в Safari.",[175,315,316],{},"Это не теория. В сентябре 2015 года CT впервые поймал ошибочно выпущенный сертификат в реальном мире — неавторизованный сертификат на google.com, который Symantec выпустил при внутреннем тестировании. Без злого умысла, срок жизни — один день. Этот же случай стал первой трещиной в истории, которая закончилась в 2018 году полной потерей доверия к Symantec во всех браузерах.",[175,318,319],{},"Свежий случай всплыл в сентябре 2025 года: хорватский CA Fina выпустил двенадцать неавторизованных сертификатов на 1.1.1.1 Cloudflare — с февраля 2024-го по август 2025-го. Полтора года этого никто не замечал; показали их в итоге логи CT. И обратите внимание: Fina вообще нет в мобильных хранилищах доверия, так что на телефоне эти сертификаты и так бы не прошли проверку. Лог поймал их независимо от того, кто доверяет этому CA. Вот в этом и ценность.",[175,321,322],{},"К этому добавились CAA-записи, то есть DNS-записи, которые перечисляют, какие CA вправе выпускать сертификаты для вашего домена, и обязательная валидация домена из нескольких точек сети.",[300,324,326],{"id":325},"часть-работы-платформа-уже-сделала-за-вас","Часть работы платформа уже сделала за вас",[175,328,329,330,333,334,337],{},"Начиная с Android 7 — точнее, с ",[244,331,332],{},"targetSdk"," 24 — приложения ",[179,335,336],{},"по умолчанию не доверяют сертификатам, установленным пользователем",". Так по умолчанию с 2016 года. То есть сценарий «жертва поставила себе вредоносный корневой сертификат» — уже не то, от чего вас спасает pinning. Операционная система сделала это раньше.",[339,340,341,361],"table",{},[342,343,344],"thead",{},[345,346,347,352,355,358],"tr",{},[348,349,350],"th",{},[244,351,332],{},[348,353,354],{},"Системные CA",[348,356,357],{},"Пользовательские CA",[348,359,360],{},"Открытый HTTP",[362,363,364,380,392],"tbody",{},[345,365,366,370,373,377],{},[367,368,369],"td",{},"≤ 23",[367,371,372],{},"доверие",[367,374,375],{},[179,376,372],{},[367,378,379],{},"разрешён",[345,381,382,385,387,390],{},[367,383,384],{},"24–27",[367,386,372],{},[367,388,389],{},"нет доверия",[367,391,379],{},[345,393,394,397,399,401],{},[367,395,396],{},"≥ 28",[367,398,372],{},[367,400,389],{},[367,402,403],{},[179,404,405],{},"запрещён по умолчанию",[175,407,408,409,411],{},"Таблица привязана к ",[244,410,332],{},", а не к версии Android на устройстве. Поэтому старое приложение на новом телефоне по-прежнему доверяет всему, что пользователь себе поставил.",[300,413,415],{"id":414},"от-чего-pinning-не-защищает-вообще","От чего pinning не защищает вообще",[175,417,418,419,422],{},"Формулировка OWASP прямая: если атакующий контролирует устройство, он просто отключает вашу логику pinning. На рутованном Android или на iPhone с джейлбрейком это одна команда в ",[244,420,421],{},"objection"," — а для Flutter есть отдельный инструментарий, до которого мы дойдём, потому что он интересный.",[175,424,425,426,429],{},"Итого: ",[179,427,428],{},"pinning защищает реальных пользователей от перехвата во враждебной сети. Он не защищает ваш API от владельца устройства."," Если вы используете pinning, чтобы спрятать ключи или помешать реверс-инжинирингу, вы уже проиграли. Для этого существует серверная аттестация — Play Integrity, App Attest, — а не клиентские фокусы.",[431,432,435],"info-box",{":leading-icon":433,":title":434},"lucide:scale","OWASP сам себе противоречит, и это важно, когда вам приносят отчёт",[175,436,437],{},"MASVS действительно требует pinning — но только для приложения, которое обязано проходить проверку по MAS-L2, профилю OWASP «защита в глубину» для софта с чувствительными данными. Это не базовое требование. А руководство по тестированию говорит прямым текстом: если приложение не реализует pinning, это не следует сообщать как уязвимость. При этом OWASP Pinning Cheat Sheet пишет: «Первый вопрос должен быть — а нужно ли мне пиннить? Ответ на него — вероятно, никогда». Эта формулировка появилась в марте 2023 года, раньше её там не было. Так что когда в отчёте пентеста «отсутствие SSL pinning» стоит как находка, это обычно автоматический чек-лист, а не вывод о вашей модели угроз.",[200,439,441],{"id":440},"нужен-ли-вам-certificate-pinning","Нужен ли вам certificate pinning?",[175,443,444,445],{},"Короткий чек-лист. Если хотя бы один пункт — про вас, ",[179,446,447],{},"не пиннитесь.",[205,449,450,453,456,459,462],{},[208,451,452],{},"Вы не контролируете оба конца: и сервер, и приложение",[208,454,455],{},"Вы не можете обновить набор пинов безопасно и быстро",[208,457,458],{},"Обновление пинов требует релиза приложения",[208,460,461],{},"Вы не можете узнать пару ключей до того, как она уйдёт в прод",[208,463,464],{},"Это не нативное мобильное приложение",[175,466,467],{},"Кому он правда нужен: финансы, медицина, госуслуги — всё, где данные чувствительные, а модель угроз предполагает враждебную сеть. Это и есть случай MAS-L2. Всем остальным — скорее нет.",[300,469,471],{"id":470},"почему-это-стало-срочным-именно-в-2026-м","Почему это стало срочным именно в 2026-м",[175,473,474],{},"В апреле 2025 года CA\u002FBrowser Forum проголосовал за поэтапное сокращение срока жизни TLS-сертификатов. Бюллетень внесла Apple. График такой:",[339,476,477,490],{},[342,478,479],{},[345,480,481,484,487],{},[348,482,483],{},"С какого момента",[348,485,486],{},"Максимальный срок",[348,488,489],{},"Ротаций в год",[362,491,492,503,518,529],{},[345,493,494,497,500],{},[367,495,496],{},"до марта 2026",[367,498,499],{},"398 дней",[367,501,502],{},"~1",[345,504,505,510,515],{},[367,506,507],{},[179,508,509],{},"15 марта 2026",[367,511,512],{},[179,513,514],{},"200 дней",[367,516,517],{},"~2",[345,519,520,523,526],{},[367,521,522],{},"15 марта 2027",[367,524,525],{},"100 дней",[367,527,528],{},"~4",[345,530,531,534,537],{},[367,532,533],{},"15 марта 2029",[367,535,536],{},"47 дней",[367,538,539],{},"~8",[175,541,542,543,546],{},"Ступень в 200 дней действует прямо сейчас. Сорок семь дней — это примерно ",[179,544,545],{},"восемь ротаций сертификата в год",". Если вы пиннитесь на лист и не можете обновлять пины без релиза, это восемь принудительных обновлений приложения в год: с ревью в сторе и с пользователями, которые не обновляются.",[175,548,549,550,553,554,557],{},"И экосистема борется с pinning намеренно. Ещё в 2024 году Let's Encrypt начал ",[179,551,552],{},"выбирать выпускающий промежуточный сертификат случайно"," — специально, чтобы сломать привычку пиннить промежуточные. В ноябре 2025 года эта же политика перешла в новую иерархию из шести промежуточных, и в анонсе написано прямо: ",[179,555,556],{},"«как и раньше, при каждом выпуске промежуточный сертификат будет выбираться случайно, чтобы не поощрять pinning промежуточных ключей»",". Крупнейший публичный CA в интернете два года целенаправленно ломает такой pinning.",[175,559,560],{},"Это не злой умысел, а выстраданный опыт. Мир браузеров прошёл через это первым.",[175,562,563,566],{},[179,564,565],{},"HPKP"," — pinning через HTTP-заголовок, спецификация 2015 года, написанная инженерами Google, — провалился полностью. Chrome объявил его устаревшим в версии 67 и убрал в версии 72, в январе 2019-го. Google назвал причины: очень низкое внедрение, риск отказа в обслуживании и враждебный pinning.",[175,568,569],{},"Знаменитая жертва — Smashing Magazine, октябрь 2016 года: четыре дня недоступности для большей части читателей. Они перешли на сертификат с новым ключом, отдали заголовок только с новым пином, и все, у кого в кеше лежал старый набор, просто перестали попадать на сайт. Откатиться было нельзя: срок старого сертификата уже истёк.",[175,571,572],{},"Из мобильных случаев — Barclays, ноябрь 2016 года. По сообщениям, приложение пиннило устаревший промежуточный сертификат, цепочка изменилась, и платежи встали — накануне «чёрной пятницы». Чтобы починить это в срок, Symantec выпустил сертификат под старым промежуточным и вынужден был нарушить требование CA\u002FBrowser Forum к серийным номерам.",[175,574,575,576],{},"Мораль в обоих случаях одна: ",[179,577,578],{},"pinning ломается не тогда, когда вас атакуют. Он ломается в обычный вторник, когда кто-то продлил сертификат.",[200,580,582],{"id":581},"пять-правил-если-вы-всё-таки-пиннитесь","Пять правил, если вы всё-таки пиннитесь",[300,584,586],{"id":585},"правило-1-пиннить-ключ-а-не-сертификат","Правило 1. Пиннить ключ, а не сертификат",[175,588,589],{},"Технически это SPKI — SubjectPublicKeyInfo, структура внутри сертификата, в которой лежит открытый ключ. Пиннится его SHA-256-хеш в base64.",[175,591,592,593,596],{},"Почему это ключевой момент: ",[179,594,595],{},"сертификат меняется при каждом продлении, ключ — нет."," Пиннится ключ — и продление с тем же ключом вообще не касается вашего пина. Пиннится отпечаток всего сертификата — и он ломается каждый раз: дважды в год при 200 днях и восемь раз при 47.",[175,598,599],{},"Однострочник для рабочего хоста:",[601,602,607],"pre",{"className":603,"code":604,"language":605,"meta":606,"style":606},"language-bash shiki shiki-themes material-theme-lighter github-light github-dark","openssl s_client -connect api.example.com:443 -servername api.example.com \u003C\u002Fdev\u002Fnull 2>\u002Fdev\u002Fnull \\\n  | openssl x509 -pubkey -noout \\\n  | openssl pkey -pubin -outform der \\\n  | openssl dgst -sha256 -binary \\\n  | openssl enc -base64\n","bash","",[244,608,609,651,671,692,710],{"__ignoreMap":606},[610,611,614,618,622,626,629,632,635,639,642,645,647],"span",{"class":612,"line":613},"line",1,[610,615,617],{"class":616},"sbgvK","openssl",[610,619,621],{"class":620},"s_sjI"," s_client",[610,623,625],{"class":624},"stzsN"," -connect",[610,627,628],{"class":620}," api.example.com:443",[610,630,631],{"class":624}," -servername",[610,633,634],{"class":620}," api.example.com",[610,636,638],{"class":637},"smGrS"," \u003C",[610,640,641],{"class":620},"\u002Fdev\u002Fnull",[610,643,644],{"class":637}," 2>",[610,646,641],{"class":620},[610,648,650],{"class":649},"s_hVV"," \\\n",[610,652,654,657,660,663,666,669],{"class":612,"line":653},2,[610,655,656],{"class":637},"  |",[610,658,659],{"class":616}," openssl",[610,661,662],{"class":620}," x509",[610,664,665],{"class":624}," -pubkey",[610,667,668],{"class":624}," -noout",[610,670,650],{"class":649},[610,672,674,676,678,681,684,687,690],{"class":612,"line":673},3,[610,675,656],{"class":637},[610,677,659],{"class":616},[610,679,680],{"class":620}," pkey",[610,682,683],{"class":624}," -pubin",[610,685,686],{"class":624}," -outform",[610,688,689],{"class":620}," der",[610,691,650],{"class":649},[610,693,695,697,699,702,705,708],{"class":612,"line":694},4,[610,696,656],{"class":637},[610,698,659],{"class":616},[610,700,701],{"class":620}," dgst",[610,703,704],{"class":624}," -sha256",[610,706,707],{"class":624}," -binary",[610,709,650],{"class":649},[610,711,713,715,717,720],{"class":612,"line":712},5,[610,714,656],{"class":637},[610,716,659],{"class":616},[610,718,719],{"class":620}," enc",[610,721,722],{"class":624}," -base64\n",[175,724,725],{},"И тот же хеш из приватного ключа, который вы уже сгенерировали, но ещё не сертифицировали, — так считается резервный пин:",[601,727,729],{"className":603,"code":728,"language":605,"meta":606,"style":606},"openssl pkey -in backup.key -pubout -outform der \\\n  | openssl dgst -sha256 -binary \\\n  | openssl enc -base64\n",[244,730,731,752,766],{"__ignoreMap":606},[610,732,733,735,737,740,743,746,748,750],{"class":612,"line":613},[610,734,617],{"class":616},[610,736,680],{"class":620},[610,738,739],{"class":624}," -in",[610,741,742],{"class":620}," backup.key",[610,744,745],{"class":624}," -pubout",[610,747,686],{"class":624},[610,749,689],{"class":620},[610,751,650],{"class":649},[610,753,754,756,758,760,762,764],{"class":612,"line":653},[610,755,656],{"class":637},[610,757,659],{"class":616},[610,759,701],{"class":620},[610,761,704],{"class":624},[610,763,707],{"class":624},[610,765,650],{"class":649},[610,767,768,770,772,774],{"class":612,"line":673},[610,769,656],{"class":637},[610,771,659],{"class":616},[610,773,719],{"class":620},[610,775,722],{"class":624},[175,777,778,779,782],{},"Хорошая новость: обе платформы нативно поддерживают ",[179,780,781],{},"только"," SPKI, и Android, и iOS. Так что если вы пиннитесь на весь сертификат, вы либо написали это руками, либо выбрали библиотеку, которая делает это за вас, — и почти наверняка без всяких оснований.",[300,784,786],{"id":785},"правило-2-резервные-пины-обязательны","Правило 2. Резервные пины обязательны",[175,788,789,790,793],{},"Как минимум один ключ, ",[179,791,792],{},"полностью находящийся под вашим контролем."," Это формулировка Google, и «полностью под вашим контролем» — несущая часть. Не «второй сертификат от того же CA». Пара ключей, которую вы сгенерировали заранее и держите офлайн; сертификат на неё можно получить в любой момент. Её пин едет в приложение рядом с рабочим и просто лежит там до нужного часа.",[175,795,796],{},"Именно отсутствие резервного пина превратило один плохой день Smashing Magazine в четыре дня простоя. Старый ключ у них на самом деле был — его сохранил хостер. В заголовке они отдали только отпечаток нового.",[601,798,802],{"className":799,"code":800,"language":801,"meta":606,"style":606},"language-xml shiki shiki-themes material-theme-lighter github-light github-dark","\u003C!-- res\u002Fxml\u002Fnetwork_security_config.xml -->\n\u003Cnetwork-security-config>\n  \u003Cdomain-config>\n    \u003Cdomain includeSubdomains=\"true\">api.example.com\u003C\u002Fdomain>\n    \u003Cpin-set expiration=\"2027-03-01\">\n      \u003C!-- рабочий ключ -->\n      \u003Cpin digest=\"SHA-256\">YLh1dUR9y6Kja30RrAn7JKnbQG\u002FuEtLMkBgFF2Fuihg=\u003C\u002Fpin>\n      \u003C!-- офлайновый резервный ключ, ещё ни разу не обслуживавший трафик -->\n      \u003Cpin digest=\"SHA-256\">sRHdihwgkaib1P1gxX8HFszlD+7\u002FgTfNvuAybgLPNis=\u003C\u002Fpin>\n    \u003C\u002Fpin-set>\n  \u003C\u002Fdomain-config>\n\u003C\u002Fnetwork-security-config>\n","xml",[244,803,804,810,823,833,871,892,898,930,936,964,974,984],{"__ignoreMap":606},[610,805,806],{"class":612,"line":613},[610,807,809],{"class":808},"sutJx","\u003C!-- res\u002Fxml\u002Fnetwork_security_config.xml -->\n",[610,811,812,816,820],{"class":612,"line":653},[610,813,815],{"class":814},"sP7_E","\u003C",[610,817,819],{"class":818},"sQzsp","network-security-config",[610,821,822],{"class":814},">\n",[610,824,825,828,831],{"class":612,"line":673},[610,826,827],{"class":814},"  \u003C",[610,829,830],{"class":818},"domain-config",[610,832,822],{"class":814},[610,834,835,838,841,845,848,852,855,857,860,864,867,869],{"class":612,"line":694},[610,836,837],{"class":814},"    \u003C",[610,839,840],{"class":818},"domain",[610,842,844],{"class":843},"s9AJx"," includeSubdomains",[610,846,847],{"class":814},"=",[610,849,851],{"class":850},"sjJ54","\"",[610,853,854],{"class":620},"true",[610,856,851],{"class":850},[610,858,859],{"class":814},">",[610,861,863],{"class":862},"su5hD","api.example.com",[610,865,866],{"class":814},"\u003C\u002F",[610,868,840],{"class":818},[610,870,822],{"class":814},[610,872,873,875,878,881,883,885,888,890],{"class":612,"line":712},[610,874,837],{"class":814},[610,876,877],{"class":818},"pin-set",[610,879,880],{"class":843}," expiration",[610,882,847],{"class":814},[610,884,851],{"class":850},[610,886,887],{"class":620},"2027-03-01",[610,889,851],{"class":850},[610,891,822],{"class":814},[610,893,895],{"class":612,"line":894},6,[610,896,897],{"class":808},"      \u003C!-- рабочий ключ -->\n",[610,899,901,904,907,910,912,914,917,919,921,924,926,928],{"class":612,"line":900},7,[610,902,903],{"class":814},"      \u003C",[610,905,906],{"class":818},"pin",[610,908,909],{"class":843}," digest",[610,911,847],{"class":814},[610,913,851],{"class":850},[610,915,916],{"class":620},"SHA-256",[610,918,851],{"class":850},[610,920,859],{"class":814},[610,922,923],{"class":862},"YLh1dUR9y6Kja30RrAn7JKnbQG\u002FuEtLMkBgFF2Fuihg=",[610,925,866],{"class":814},[610,927,906],{"class":818},[610,929,822],{"class":814},[610,931,933],{"class":612,"line":932},8,[610,934,935],{"class":808},"      \u003C!-- офлайновый резервный ключ, ещё ни разу не обслуживавший трафик -->\n",[610,937,939,941,943,945,947,949,951,953,955,958,960,962],{"class":612,"line":938},9,[610,940,903],{"class":814},[610,942,906],{"class":818},[610,944,909],{"class":843},[610,946,847],{"class":814},[610,948,851],{"class":850},[610,950,916],{"class":620},[610,952,851],{"class":850},[610,954,859],{"class":814},[610,956,957],{"class":862},"sRHdihwgkaib1P1gxX8HFszlD+7\u002FgTfNvuAybgLPNis=",[610,959,866],{"class":814},[610,961,906],{"class":818},[610,963,822],{"class":814},[610,965,967,970,972],{"class":612,"line":966},10,[610,968,969],{"class":814},"    \u003C\u002F",[610,971,877],{"class":818},[610,973,822],{"class":814},[610,975,977,980,982],{"class":612,"line":976},11,[610,978,979],{"class":814},"  \u003C\u002F",[610,981,830],{"class":818},[610,983,822],{"class":814},[610,985,987,989,991],{"class":612,"line":986},12,[610,988,866],{"class":814},[610,990,819],{"class":818},[610,992,822],{"class":814},[175,994,995],{},"Эквивалент для iOS — декларативный и проверяемый самой ОС:",[601,997,999],{"className":799,"code":998,"language":801,"meta":606,"style":606},"\u003C!-- Info.plist -->\n\u003Ckey>NSAppTransportSecurity\u003C\u002Fkey>\n\u003Cdict>\n  \u003Ckey>NSPinnedDomains\u003C\u002Fkey>\n  \u003Cdict>\n    \u003Ckey>api.example.com\u003C\u002Fkey>\n    \u003Cdict>\n      \u003Ckey>NSIncludesSubdomains\u003C\u002Fkey>\u003Ctrue\u002F>\n      \u003Ckey>NSPinnedLeafIdentities\u003C\u002Fkey>\n      \u003Carray>\n        \u003Cdict>\u003Ckey>SPKI-SHA256-BASE64\u003C\u002Fkey>\u003Cstring>YLh1dUR9y6Kja30RrAn7JKnbQG\u002FuEtLMkBgFF2Fuihg=\u003C\u002Fstring>\u003C\u002Fdict>\n        \u003Cdict>\u003Ckey>SPKI-SHA256-BASE64\u003C\u002Fkey>\u003Cstring>sRHdihwgkaib1P1gxX8HFszlD+7\u002FgTfNvuAybgLPNis=\u003C\u002Fstring>\u003C\u002Fdict>\n      \u003C\u002Farray>\n    \u003C\u002Fdict>\n  \u003C\u002Fdict>\n\u003C\u002Fdict>\n",[244,1000,1001,1006,1024,1033,1050,1058,1074,1082,1105,1122,1131,1171,1207,1217,1226,1235],{"__ignoreMap":606},[610,1002,1003],{"class":612,"line":613},[610,1004,1005],{"class":808},"\u003C!-- Info.plist -->\n",[610,1007,1008,1010,1013,1015,1018,1020,1022],{"class":612,"line":653},[610,1009,815],{"class":814},[610,1011,1012],{"class":818},"key",[610,1014,859],{"class":814},[610,1016,1017],{"class":862},"NSAppTransportSecurity",[610,1019,866],{"class":814},[610,1021,1012],{"class":818},[610,1023,822],{"class":814},[610,1025,1026,1028,1031],{"class":612,"line":673},[610,1027,815],{"class":814},[610,1029,1030],{"class":818},"dict",[610,1032,822],{"class":814},[610,1034,1035,1037,1039,1041,1044,1046,1048],{"class":612,"line":694},[610,1036,827],{"class":814},[610,1038,1012],{"class":818},[610,1040,859],{"class":814},[610,1042,1043],{"class":862},"NSPinnedDomains",[610,1045,866],{"class":814},[610,1047,1012],{"class":818},[610,1049,822],{"class":814},[610,1051,1052,1054,1056],{"class":612,"line":712},[610,1053,827],{"class":814},[610,1055,1030],{"class":818},[610,1057,822],{"class":814},[610,1059,1060,1062,1064,1066,1068,1070,1072],{"class":612,"line":894},[610,1061,837],{"class":814},[610,1063,1012],{"class":818},[610,1065,859],{"class":814},[610,1067,863],{"class":862},[610,1069,866],{"class":814},[610,1071,1012],{"class":818},[610,1073,822],{"class":814},[610,1075,1076,1078,1080],{"class":612,"line":900},[610,1077,837],{"class":814},[610,1079,1030],{"class":818},[610,1081,822],{"class":814},[610,1083,1084,1086,1088,1090,1093,1095,1097,1100,1102],{"class":612,"line":932},[610,1085,903],{"class":814},[610,1087,1012],{"class":818},[610,1089,859],{"class":814},[610,1091,1092],{"class":862},"NSIncludesSubdomains",[610,1094,866],{"class":814},[610,1096,1012],{"class":818},[610,1098,1099],{"class":814},">\u003C",[610,1101,854],{"class":818},[610,1103,1104],{"class":814},"\u002F>\n",[610,1106,1107,1109,1111,1113,1116,1118,1120],{"class":612,"line":938},[610,1108,903],{"class":814},[610,1110,1012],{"class":818},[610,1112,859],{"class":814},[610,1114,1115],{"class":862},"NSPinnedLeafIdentities",[610,1117,866],{"class":814},[610,1119,1012],{"class":818},[610,1121,822],{"class":814},[610,1123,1124,1126,1129],{"class":612,"line":966},[610,1125,903],{"class":814},[610,1127,1128],{"class":818},"array",[610,1130,822],{"class":814},[610,1132,1133,1136,1138,1140,1142,1144,1147,1149,1151,1153,1156,1158,1160,1162,1164,1167,1169],{"class":612,"line":976},[610,1134,1135],{"class":814},"        \u003C",[610,1137,1030],{"class":818},[610,1139,1099],{"class":814},[610,1141,1012],{"class":818},[610,1143,859],{"class":814},[610,1145,1146],{"class":862},"SPKI-SHA256-BASE64",[610,1148,866],{"class":814},[610,1150,1012],{"class":818},[610,1152,1099],{"class":814},[610,1154,1155],{"class":818},"string",[610,1157,859],{"class":814},[610,1159,923],{"class":862},[610,1161,866],{"class":814},[610,1163,1155],{"class":818},[610,1165,1166],{"class":814},">\u003C\u002F",[610,1168,1030],{"class":818},[610,1170,822],{"class":814},[610,1172,1173,1175,1177,1179,1181,1183,1185,1187,1189,1191,1193,1195,1197,1199,1201,1203,1205],{"class":612,"line":986},[610,1174,1135],{"class":814},[610,1176,1030],{"class":818},[610,1178,1099],{"class":814},[610,1180,1012],{"class":818},[610,1182,859],{"class":814},[610,1184,1146],{"class":862},[610,1186,866],{"class":814},[610,1188,1012],{"class":818},[610,1190,1099],{"class":814},[610,1192,1155],{"class":818},[610,1194,859],{"class":814},[610,1196,957],{"class":862},[610,1198,866],{"class":814},[610,1200,1155],{"class":818},[610,1202,1166],{"class":814},[610,1204,1030],{"class":818},[610,1206,822],{"class":814},[610,1208,1210,1213,1215],{"class":612,"line":1209},13,[610,1211,1212],{"class":814},"      \u003C\u002F",[610,1214,1128],{"class":818},[610,1216,822],{"class":814},[610,1218,1220,1222,1224],{"class":612,"line":1219},14,[610,1221,969],{"class":814},[610,1223,1030],{"class":818},[610,1225,822],{"class":814},[610,1227,1229,1231,1233],{"class":612,"line":1228},15,[610,1230,979],{"class":814},[610,1232,1030],{"class":818},[610,1234,822],{"class":814},[610,1236,1238,1240,1242],{"class":612,"line":1237},16,[610,1239,866],{"class":814},[610,1241,1030],{"class":818},[610,1243,822],{"class":814},[175,1245,1246,1247,1250],{},"В этом примере закреплены ключи листа. В документации Apple используется ",[244,1248,1249],{},"NSPinnedCAIdentities"," — та же структура на уровень выше по цепочке, и как раз об этом правило 3.",[300,1252,1254],{"id":1253},"правило-3-выберите-уровень-в-цепочке-и-знайте-чем-за-него-платите","Правило 3. Выберите уровень в цепочке — и знайте, чем за него платите",[175,1256,1257,1258,1261,1262,1265],{},"Консенсуса здесь нет, поэтому вот обе позиции. ",[179,1259,1260],{},"Apple рекомендует пиннить CA, а не сервер"," — тогда серверные сертификаты можно ротировать без релиза приложения. ",[179,1263,1264],{},"OWASP рекомендует обратное",": пиннить лист, но всегда с резервом.",[339,1267,1268,1284],{},[342,1269,1270],{},[345,1271,1272,1275,1278,1281],{},[348,1273,1274],{},"Уровень",[348,1276,1277],{},"Цена ротации",[348,1279,1280],{},"Чему вы доверяете",[348,1282,1283],{},"Вердикт в 2026-м",[362,1285,1286,1303,1320,1334],{},[345,1287,1288,1291,1294,1297],{},[367,1289,1290],{},"Лист",[367,1292,1293],{},"Бесплатно при продлении с тем же ключом, иначе релиз",[367,1295,1296],{},"Ровно одному ключу",[367,1298,1299,1300,1302],{},"Рабочий вариант ",[179,1301,781],{}," с резервными пинами",[345,1304,1305,1308,1311,1314],{},[367,1306,1307],{},"Промежуточный",[367,1309,1310],{},"Непредсказуемая",[367,1312,1313],{},"Всему, что выпустит этот промежуточный",[367,1315,1316,1319],{},[179,1317,1318],{},"Снят с рассмотрения"," на публичных CA",[345,1321,1322,1325,1328,1331],{},[367,1323,1324],{},"Публичный корень",[367,1326,1327],{},"Редкая",[367,1329,1330],{},"Всему, что этот CA когда-либо выпустит",[367,1332,1333],{},"Настолько широко, что почти бессмысленно",[345,1335,1336,1341,1344,1347],{},[367,1337,1338],{},[179,1339,1340],{},"Свой приватный корень",[367,1342,1343],{},"Как решите сами",[367,1345,1346],{},"Своей собственной PKI",[367,1348,1349],{},"Единственный однозначно хороший случай",[175,1351,1352],{},"Pinning промежуточного для публично доверенных сертификатов, по сути, снят с рассмотрения с 2024 года: у крупнейшего публичного CA теперь шесть промежуточных, и предсказать, какой достанется вашему сертификату, нельзя. Если вы на публичном CA, остаётся лист с резервными пинами или корень.",[175,1354,1355,1356,1359],{},"Конфигурация, в которой pinning по-прежнему однозначно хорошая идея, — ",[179,1357,1358],{},"свой приватный CA",", который вы контролируете от начала до конца. Пиннить свой корень разумно, предсказуемо, и он не сломается потому, что кто-то другой передумал. Собственно, ровно об этом и говорил инженер Chromium в цитате из начала статьи.",[300,1361,1363],{"id":1362},"правило-4-никогда-не-выкатывайте-сразу-в-hard-fail","Правило 4. Никогда не выкатывайте сразу в hard-fail",[175,1365,1366,1367,1370,1371,1375],{},"Порядок такой: сначала ",[179,1368,1369],{},"режим только отчётов"," — пин проверяется, соединение не блокируется, промахи уходят в телеметрию. Неделю смотрим. Потом hard-fail для одного процента пользователей. Потом ",[277,1372,1374],{"slug":1373},"staged-rollout","поэтапная раскатка"," на всех.",[175,1377,1378,1379,1382,1383,1386,1387,1390],{},"И вот неприятная часть: ",[179,1380,1381],{},"встроенной отчётности об отказах нет ни на одной платформе."," Ни в Network Security Config на Android, ни в App Transport Security на iOS. Единственный механизм, который это когда-либо умел, — ",[244,1384,1385],{},"report-uri"," из HPKP, и он мёртв. Так что телеметрию вы пишете сами: ловите исключение, собираете событие — домен, какой ключ получили, какие ожидали, версия приложения — и отправляете ",[179,1388,1389],{},"по каналу, который не пиннится",", иначе отчёт о вашей же аварии наружу не уйдёт.",[175,1392,1393,1394,1397],{},"И ещё одно: научитесь отличать аварию от атаки. ",[179,1395,1396],{},"Если падают все сразу — вы сломали свою собственную ротацию."," Разрозненные отказы — это корпоративный прокси, антивирус или настоящая попытка перехвата.",[300,1399,1401],{"id":1400},"правило-5-сделайте-выключатель-до-того-как-он-понадобится","Правило 5. Сделайте выключатель до того, как он понадобится",[175,1403,1404,1405,1408],{},"На Android он встроенный — атрибут ",[244,1406,1407],{},"expiration"," у набора пинов. После этой даты pinning просто прекращается: пины не проверяются, трафик идёт как будто ничего и не было. Выключатель по таймеру.",[175,1410,1411,1412,1415,1416,1419,1420,1423],{},"Но у него есть цена, и Google сам об этом пишет: ",[179,1413,1414],{},"«установка срока истечения для пинов может позволить атакующим обойти ваши закреплённые сертификаты»",". То есть это одновременно и ваша страховка от «окирпичивания» приложения, ",[179,1417,1418],{},"и"," способ обойти ваш pinning, просто подождав. А на другой странице той же документации Google рекомендует ",[179,1421,1422],{},"«достаточно короткий срок истечения»",". Оба утверждения официальные и оба актуальные.",[175,1425,1426,1427,1433],{},"И вот наша любимая деталь во всей этой истории. ",[179,1428,1429,1430,182],{},"В каноническом примере документации Google до сих пор стоит ",[244,1431,1432],{},"expiration=\"2018-01-01\""," Если вы его скопировали — а его копируют все, — ваш pinning полностью выключен уже восемь лет. Страницу обновляли в июне 2026-го. Дата осталась.",[175,1435,1436],{},"На iOS аналогичного механизма нет вообще. Выключить pinning там — значит выпустить релиз.",[175,1438,1439,1440,1444,1445,1448],{},"Если вы делаете выключатель через remote config или ",[277,1441,1443],{"slug":1442},"feature-flags","фиче-флаги",", помните про проблему курицы и яйца: канал доставки нельзя защищать теми же пинами, иначе вы никогда не восстановитесь. Правильный ответ — ",[179,1446,1447],{},"подписывать набор пинов ключом, публичная половина которого зашита в приложение."," Тогда неважно, по какому каналу он пришёл. И добавьте монотонный счётчик версий, чтобы никто не подсунул повторно старый, но корректно подписанный набор.",[200,1450,1452],{"id":1451},"flutter-где-certificate-pinning-рассыпается","Flutter: где certificate pinning рассыпается",[175,1454,1455],{},"Всё сказанное выше касается всех. Дальше — то, ради чего статья и написана: мы делаем приложения на Flutter, и всё это мы проверяли руками.",[175,1457,1458],{},[179,1459,1460],{},"Главное, и это противоречит интуиции большинства: Dart не использует сетевой стек платформы.",[175,1462,1463,1466,1467,1470,1471,1474,1475,1478,1479,1482],{},[244,1464,1465],{},"HttpClient"," из ",[244,1468,1469],{},"dart:io"," не ходит ни через ",[244,1472,1473],{},"OkHttp"," и ",[244,1476,1477],{},"HttpURLConnection"," на Android, ни через ",[244,1480,1481],{},"NSURLSession"," на iOS. Он открывает сокет и сам проводит TLS-хендшейк — через копию BoringSSL, встроенную в движок Flutter.",[175,1484,1485,1486,1493],{},"Практическое следствие: ",[179,1487,1488,1489,247,1491,251],{},"ваш ",[244,1490,246],{},[244,1492,250],{}," Молча. Ни ошибки, ни предупреждения — запрос просто уходит.",[175,1495,1496,1497,1504],{},"Это не наше открытие. Это ",[1498,1499,1503],"a",{"href":1500,"rel":1501},"https:\u002F\u002Fgithub.com\u002Fflutter\u002Fflutter\u002Fissues\u002F96722",[1502],"nofollow","issue #96722 во Flutter",", заведённый в январе 2022 года и до сих пор открытый. Участник команды Flutter воспроизвёл проблему и зафиксировал вывод: на iOS запрос корректно отменяется, на Android проходит, а в контрольном нативном приложении для Android с тем же конфигом падает, как и должен.",[175,1506,1507,1508,1511,1512,1515],{},"На iOS поведение другое: по сообщениям, там работает, потому что Dart на платформах Apple передаёт решение о доверии системному ",[244,1509,1510],{},"SecTrust",". Нигде это не задокументировано. И, честно говоря, это худший из исходов. ",[179,1513,1514],{},"Pinning, который работает на одной платформе и молча не делает ничего на другой, опаснее pinning, который не работает нигде"," — потому что вы его проверили. На айфоне.",[175,1517,1518],{},"Дальше три ловушки. Мы наступили на все три в продакшене.",[175,1520,1521,1524,1525,1528,1529,1532,1533,1532,1536,1539],{},[179,1522,1523],{},"Dart не даёт доступа к SPKI."," Класс ",[244,1526,1527],{},"X509Certificate"," отдаёт ",[244,1530,1531],{},"der",", ",[244,1534,1535],{},"pem",[244,1537,1538],{},"sha1",", subject, issuer и даты действия. Открытого ключа среди них нет. Поэтому практически каждый туториал пиннит SHA-256 всего сертификата — что, по правилу 1, ломается при каждом продлении. Сделать правильно — значит разбирать ASN.1 руками.",[175,1541,1542,1545],{},[179,1543,1544],{},"В README самого dio показаны два способа сделать это неправильно."," Вот первый, в сокращении:",[601,1547,1550],{"className":1548,"code":1549,"language":18,"meta":606,"style":606},"language-dart shiki shiki-themes material-theme-lighter github-light github-dark","\u002F\u002F Пример из README dio. Три проблемы в девяти строках.\ndio.httpClientAdapter = IOHttpClientAdapter(\n  createHttpClient: () {\n    final client = HttpClient(context: SecurityContext(withTrustedRoots: false));\n    client.badCertificateCallback = (cert, host, port) => true;\n    return client;\n  },\n  validateCertificate: (cert, host, port) =>\n      cert != null && fingerprint == sha256.convert(cert.der).toString(),\n);\n",[244,1551,1552,1557,1576,1587,1624,1658,1669,1677,1697,1744],{"__ignoreMap":606},[610,1553,1554],{"class":612,"line":613},[610,1555,1556],{"class":808},"\u002F\u002F Пример из README dio. Три проблемы в девяти строках.\n",[610,1558,1559,1562,1564,1567,1569,1573],{"class":612,"line":653},[610,1560,1561],{"class":862},"dio",[610,1563,182],{"class":814},[610,1565,1566],{"class":862},"httpClientAdapter ",[610,1568,847],{"class":637},[610,1570,1572],{"class":1571},"sZMiF"," IOHttpClientAdapter",[610,1574,1575],{"class":862},"(\n",[610,1577,1578,1581,1584],{"class":612,"line":673},[610,1579,1580],{"class":862},"  createHttpClient",[610,1582,1583],{"class":637},":",[610,1585,1586],{"class":862}," () {\n",[610,1588,1589,1593,1596,1598,1601,1604,1606,1609,1612,1614,1618,1621],{"class":612,"line":694},[610,1590,1592],{"class":1591},"sbsja","    final",[610,1594,1595],{"class":862}," client ",[610,1597,847],{"class":637},[610,1599,1600],{"class":1571}," HttpClient",[610,1602,1603],{"class":862},"(context",[610,1605,1583],{"class":637},[610,1607,1608],{"class":1571}," SecurityContext",[610,1610,1611],{"class":862},"(withTrustedRoots",[610,1613,1583],{"class":637},[610,1615,1617],{"class":1616},"s39Yj"," false",[610,1619,1620],{"class":862},"))",[610,1622,1623],{"class":814},";\n",[610,1625,1626,1629,1631,1634,1636,1639,1642,1645,1647,1650,1653,1656],{"class":612,"line":712},[610,1627,1628],{"class":862},"    client",[610,1630,182],{"class":814},[610,1632,1633],{"class":862},"badCertificateCallback ",[610,1635,847],{"class":637},[610,1637,1638],{"class":862}," (cert",[610,1640,1641],{"class":814},",",[610,1643,1644],{"class":862}," host",[610,1646,1641],{"class":814},[610,1648,1649],{"class":862}," port) ",[610,1651,1652],{"class":637},"=>",[610,1654,1655],{"class":1616}," true",[610,1657,1623],{"class":814},[610,1659,1660,1664,1667],{"class":612,"line":894},[610,1661,1663],{"class":1662},"sVHd0","    return",[610,1665,1666],{"class":862}," client",[610,1668,1623],{"class":814},[610,1670,1671,1674],{"class":612,"line":900},[610,1672,1673],{"class":862},"  }",[610,1675,1676],{"class":814},",\n",[610,1678,1679,1682,1684,1686,1688,1690,1692,1694],{"class":612,"line":932},[610,1680,1681],{"class":862},"  validateCertificate",[610,1683,1583],{"class":637},[610,1685,1638],{"class":862},[610,1687,1641],{"class":814},[610,1689,1644],{"class":862},[610,1691,1641],{"class":814},[610,1693,1649],{"class":862},[610,1695,1696],{"class":637},"=>\n",[610,1698,1699,1702,1705,1708,1711,1714,1717,1720,1722,1726,1729,1731,1734,1736,1739,1742],{"class":612,"line":938},[610,1700,1701],{"class":862},"      cert ",[610,1703,1704],{"class":637},"!=",[610,1706,1707],{"class":1616}," null",[610,1709,1710],{"class":637}," &&",[610,1712,1713],{"class":862}," fingerprint ",[610,1715,1716],{"class":637},"==",[610,1718,1719],{"class":862}," sha256",[610,1721,182],{"class":814},[610,1723,1725],{"class":1724},"sGLFI","convert",[610,1727,1728],{"class":862},"(cert",[610,1730,182],{"class":814},[610,1732,1733],{"class":862},"der)",[610,1735,182],{"class":814},[610,1737,1738],{"class":1724},"toString",[610,1740,1741],{"class":862},"()",[610,1743,1676],{"class":814},[610,1745,1746,1749],{"class":612,"line":966},[610,1747,1748],{"class":862},")",[610,1750,1623],{"class":814},[175,1752,1753,1756,1757,1760,1761,1764,1765,1768],{},[244,1754,1755],{},"withTrustedRoots: false"," вместе с безусловным ",[244,1758,1759],{},"badCertificateCallback"," отключает построение цепочки, проверку срока действия и проверку имени хоста. Сравнивается хеш от ",[244,1762,1763],{},"cert.der"," — то есть от всего сертификата, а это, по правилу 1, ломается при каждом продлении. И ",[244,1766,1767],{},"validateCertificate"," вызывается позже, чем кажется, — об этом ниже.",[175,1770,1771,1772,1774,1775,1778,1779,1782],{},"Второй вариант из README ещё хуже: там пин проверяется прямо внутри ",[244,1773,1759],{},", сравнением ",[244,1776,1777],{},"cert.pem"," с сохранённым PEM. А этот колбэк по определению срабатывает ",[179,1780,1781],{},"только если валидация уже провалилась."," Если атакующий предъявит сертификат, корректно подписанный любым доверенным CA, колбэк не вызовется вообще и сравнивать будет нечего. Как механизм pinning он не работает в принципе.",[175,1784,1785,1788,1789,1791,1792,1795,1796,1799],{},[179,1786,1787],{},"Правильный хук вызывается слишком поздно."," У dio он есть — ",[244,1790,1767],{},", который срабатывает при успешной валидации. Но выполняется он ",[179,1793,1794],{},"после того, как запрос уже ушёл, а ответ уже пришёл."," В сети оказались не только тело запроса и заголовок ",[244,1797,1798],{},"Authorization",": вы уже приняли статус и заголовки ответа. Единственное, что спасает эта проверка, — тело ответа. Запрос уже утёк.",[431,1801,1804],{":leading-icon":1802,":title":1803},"lucide:git-branch","И теперь про пакеты",[175,1805,1806,1807,1811,1812,1815,1816,1819],{},"Самый популярный пакет для pinning на pub.dev — около ста шестидесяти лайков и почти пятьдесят тысяч загрузок в месяц на момент проверки в августе 2026-го — через ",[277,1808,1810],{"slug":1809},"platform-channels","платформенный канал"," делает ",[179,1813,1814],{},"отдельный нативный запрос"," к вашему хосту, проверяет отпечаток на нём и, если совпало, отправляет настоящий запрос по ",[179,1817,1818],{},"другому соединению",", где pinning не проверяется вообще. Одно соединение проверено, данные идут по другому. Плюс каждый запрос теперь — два запроса. Мы его не называем, потому что дело не в одном мейнтейнере: прочитайте исходники того пакета для pinning, который используете вы, и выясните, какое соединение он на самом деле проверяет.",[175,1821,1822,1825,1826,1829,1830,1832,1833,247,1835,1838],{},[179,1823,1824],{},"Что делать на самом деле."," На платформах Apple есть чистый ответ: перевести HTTP-слой на ",[244,1827,1828],{},"cupertino_http",". Это настоящий ",[244,1831,1481],{},", а значит, pinning становится декларативным — ",[244,1834,1043],{},[244,1836,1837],{},"Info.plist",", ровно как в правиле 2. Проверяется операционной системой, работает по SPKI, сторонний код не нужен.",[175,1840,1841,1842,1845,1846,1849,1850,1853],{},"На Android эквивалента нет. У Cronet есть собственный API для pinning, но пакет ",[244,1843,1844],{},"cronet_http"," ",[179,1847,1848],{},"его не экспортирует",". JNI-биндинг лежит прямо в пакете. Зато пакет экспортирует ",[244,1851,1852],{},"enablePublicKeyPinningBypassForLocalTrustAnchors"," — переключатель, который pinning обходит. Не сам pinning.",[175,1855,1856],{},"И есть один открытый вопрос, на который в интернете никто не отвечает внятно, — мы его так и обозначаем как открытый: применяется ли Network Security Config из Android к трафику, идущему через Cronet. Источники противоречат друг другу, официальной документации нет ни в одну сторону. Проверьте сами, прежде чем опираться на любой из ответов.",[175,1858,1859,1860,1863,1864,1868,1869,1876,1877,1880],{},"Два предупреждения напоследок, специфичных для Flutter. ",[179,1861,1862],{},"Сторонние SDK"," — аналитика, крашлитика, платежи — делают сетевые вызовы через свои нативные клиенты, и ваш pinning их не касается. Из-за этого же разделения ",[1498,1865,1867],{"href":1866},"\u002Fblog\u002Fdeferred-deep-linking-app-clips-install-referrer","отложенный диплинкинг на Flutter"," приходится делать отдельно под каждую платформу, а не одной реализацией. И ",[179,1870,1871,1872,1875],{},"если вы перейдёте на ",[244,1873,1874],{},"native_dio_adapter",", чтобы получить нативный сетевой стек, pinning на dio, скопированный из статьи в блоге, молча выключится",", потому что ",[244,1878,1879],{},"SecurityContext"," и оба колбэка перестанут вызываться.",[200,1882,1884],{"id":1883},"как-проверить-свой-pinning-за-полчаса","Как проверить свой pinning за полчаса",[175,1886,1887],{},"Сделайте это правильно, потому что наивная версия теста вам врёт.",[175,1889,1890],{},"Наивная версия — поднять прокси, поставить его сертификат на телефон, посмотреть, сломается ли приложение. Сломается. И это не значит ничего: как разобрано выше, начиная с Android 7 приложения и так не доверяют сертификатам, установленным пользователем. Вы сделаете вывод, что вас защищает pinning, тогда как всё это время вас защищала операционная система.",[1892,1893],"how-to-schema",{":description":1894,":name":1895,":steps":1896,":total-time":1897},"Тест на 30 минут, который отличает настоящий certificate pinning от дефолтов доверия платформы; выполняется отдельно на Android и на iOS.","Как проверить certificate pinning в мобильном приложении","[{\"name\": \"Соберите release-сборку\", \"text\": \"Проверять нужно ту сборку, которая уходит пользователям. В debug-сборках часто лежит ослабленный network security config, блок debug-overrides или дружелюбный к прокси HTTP-клиент, которых нет в проде.\"}, {\"name\": \"Поставьте сертификат прокси в СИСТЕМНОЕ хранилище\", \"text\": \"Не в пользовательское. Начиная с targetSdk 24 приложения Android не доверяют пользовательским сертификатам, поэтому поломка в такой конфигурации ничего не доказывает про ваш pinning. Возьмите эмулятор с записываемым системным разделом или Magisk на рутованном устройстве. На iOS установите профиль и затем включите полное доверие корневому сертификату в настройках.\"}, {\"name\": \"Убедитесь, что трафик вообще доходит до прокси\", \"text\": \"На Flutter это отдельный шаг: Dart игнорирует системные настройки прокси, поэтому прокси, заданный на уровне устройства, не перехватит трафик dart:io. Направьте его через VPN-перехват или iptables и убедитесь, что запросы видны, прежде чем делать любые выводы.\"}, {\"name\": \"Прочитайте перехваченный трафик\", \"text\": \"Если трафик вашего API читается, работающего pinning у вас нет, что бы ни было написано в конфиге. Пройдите реальный сценарий с авторизацией, а не только сплеш-экран, чтобы задеть все сетевые клиенты приложения.\"}, {\"name\": \"Проверьте на паттерн двух стеков\", \"text\": \"Отдельно смотрите, не видно ли трафик сторонних SDK при невидимом вашем. Это не работающий pinning, а два разных сетевых стека, один из которых ваш pinning не покрывает.\"}, {\"name\": \"Повторите на второй платформе\", \"text\": \"Прогоните весь тест на Android и на iOS отдельно. Сравнение двух результатов и есть весь смысл: типичный исход на Flutter — pinning, который держит на iOS и молча не работает на Android.\"}]","PT30M",[1899,1900],"checklist",{":groups":1901,":subtitle":1902,":title":1903},"[{\"title\": \"Подготовка\", \"items\": [\"Release-сборка, а не debug — блок debug-overrides обесценивает весь тест\", \"Сертификат прокси установлен в СИСТЕМНОЕ хранилище доверия, а не в пользовательское\", \"Flutter: подтверждено, что трафик доходит до прокси через VPN-перехват или iptables, потому что Dart игнорирует системные настройки прокси\", \"Пройден реальный сценарий с авторизацией, а не только первый экран\"]}, {\"title\": \"На что смотреть\", \"items\": [\"Трафик вашего API не читается — если читается, работающего pinning нет\", \"Трафик сторонних SDK и ваш ведут себя одинаково, либо вы знаете, почему нет\", \"То, что вы видите, — отказ pinning, а не отказ хранилища доверия\", \"Одинаковый результат на Android и на iOS\"]}, {\"title\": \"Затем проверьте сам конфиг\", \"items\": [\"Пины — это хеши SPKI, а не отпечатки сертификатов\", \"Есть хотя бы один резервный пин на офлайновый ключ, принадлежащий вам\", \"Android: дата expiration у набора пинов в будущем и выбрана осознанно\", \"Есть выключатель, который не требует релиза в сторе\", \"Телеметрия отказов уходит по каналу, который сам не пиннится\"]}]","Прогоняется по одному разу на каждую платформу. Всё, что осталось неотмеченным, — находка.","Проверка pinning за 30 минут",[200,1905,1907],{"id":1906},"если-совсем-коротко","Если совсем коротко",[175,1909,1910],{},"Pinning — узкий механизм против угрозы, которая стала гораздо менее вероятной, и радиус поражения у него — вся ваша пользовательская база. Он действительно нужен финансам, медицине и госуслугам. Всем остальным Google, Apple, Cloudflare и половина OWASP говорят «не надо», и у них есть причины — те же самые, что убили HPKP и что сейчас режут срок жизни сертификатов до 47 дней.",[175,1912,1913],{},"Если делаете: ключ, а не сертификат. Резервные пины на офлайновый ключ. Наблюдение до hard-fail. Свой выключатель. И ясное понимание, чем вы платите за свой уровень в цепочке.",[175,1915,1916],{},"А если вы на Flutter — сначала выясните, работает ли он вообще. Три самых вероятных ответа: pinning выключен датой 2018 года, скопированной из документации Google; pinning объявлен в конфиге, который Dart никогда не читает; или pinning проверяет соединение, по которому ваши данные не идут.",[175,1918,1919],{},"Версия из статьи в блоге говорит: «включите pinning, защитите пользователей». Инженерная реальность — выяснить, к чему вы на самом деле привязаны, проверить, что это срабатывает на обеих платформах, и положить запасной ключ в сейф. Про это никто не снимает виральных видео.",[200,1921,1923],{"id":1922},"источники","Источники",[175,1925,1926],{},"Всё выше проверяемо, поэтому вот откуда что взято.",[205,1928,1929,1937,1955,1963,1975,1983,1991,1999,2007,2015,2022,2037,2048],{},[208,1930,1931,1932],{},"Google, «Security with HTTPS and SSL» — pinning «не рекомендуется для Android-приложений»; резервные пины и «как минимум один ключ, полностью находящийся под вашим контролем»: ",[1498,1933,1936],{"href":1934,"rel":1935},"https:\u002F\u002Fdeveloper.android.com\u002Fprivacy-and-security\u002Fsecurity-ssl",[1502],"developer.android.com\u002Fprivacy-and-security\u002Fsecurity-ssl",[208,1938,1939,1940,1942,1943,1945,1946,1949,1950],{},"Google, «Network security configuration» — атрибут ",[244,1941,1407],{},", предупреждение про обход, «поддерживается только ",[244,1944,916],{},"» и пример с ",[244,1947,1948],{},"2018-01-01",": ",[1498,1951,1954],{"href":1952,"rel":1953},"https:\u002F\u002Fdeveloper.android.com\u002Fprivacy-and-security\u002Fsecurity-config",[1502],"developer.android.com\u002Fprivacy-and-security\u002Fsecurity-config",[208,1956,1957,1958],{},"Apple, «Identity Pinning: How to configure server certificates for your app» — «в большинстве случаев pinning не нужен, и его следует избегать», плюс рекомендация пиннить CA, а не лист: ",[1498,1959,1962],{"href":1960,"rel":1961},"https:\u002F\u002Fdeveloper.apple.com\u002Fnews\u002F?id=g9ejcf8y",[1502],"developer.apple.com\u002Fnews",[208,1964,1965,1966,1969,1970],{},"Райан Сливи в ",[244,1967,1968],{},"net-dev@chromium.org",", март 2021 года — цитата про приватный CA целиком: ",[1498,1971,1974],{"href":1972,"rel":1973},"https:\u002F\u002Fgroups.google.com\u002Fa\u002Fchromium.org\u002Fg\u002Fnet-dev\u002Fc\u002Fq_oSyjtMhts",[1502],"groups.google.com",[208,1976,1977,1978],{},"OWASP Pinning Cheat Sheet — «ответ на него — вероятно, никогда» и список причин не пиннить: ",[1498,1979,1982],{"href":1980,"rel":1981},"https:\u002F\u002Fcheatsheetseries.owasp.org\u002Fcheatsheets\u002FPinning_Cheat_Sheet.html",[1502],"cheatsheetseries.owasp.org",[208,1984,1985,1986],{},"OWASP MASTG, раздел про сетевое взаимодействие — «если приложение не реализует pinning, это не следует сообщать как уязвимость; но если приложение обязано проходить проверку по MAS-L2, pinning должен быть реализован»: ",[1498,1987,1990],{"href":1988,"rel":1989},"https:\u002F\u002Fgithub.com\u002FOWASP\u002Fmastg\u002Fblob\u002Fmaster\u002FDocument\u002F0x04f-Testing-Network-Communication.md",[1502],"github.com\u002FOWASP\u002Fmastg",[208,1992,1993,1994],{},"Бюллетень CA\u002FBrowser Forum SC-081v3 — график 398 → 200 → 100 → 47, внесён Apple, принят 11 апреля 2025 года: ",[1498,1995,1998],{"href":1996,"rel":1997},"https:\u002F\u002Fcabforum.org\u002F2025\u002F04\u002F11\u002Fballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods\u002F",[1502],"cabforum.org",[208,2000,2001,2002],{},"Let's Encrypt, «Generation Y» — шесть промежуточных, выбираются случайно, «чтобы не поощрять pinning промежуточных ключей»: ",[1498,2003,2006],{"href":2004,"rel":2005},"https:\u002F\u002Fletsencrypt.org\u002F2025\u002F11\u002F24\u002Fgen-y-hierarchy\u002F",[1502],"letsencrypt.org",[208,2008,2009,2010],{},"Cloudflare — двенадцать неавторизованных сертификатов на 1.1.1.1 и отсутствие Fina в мобильных корневых хранилищах: ",[1498,2011,2014],{"href":2012,"rel":2013},"https:\u002F\u002Fblog.cloudflare.com\u002Funauthorized-issuance-of-certificates-for-1-1-1-1",[1502],"blog.cloudflare.com",[208,2016,2017,2018],{},"Flutter issue #96722 — открыт с января 2022 года: ",[1498,2019,2021],{"href":1500,"rel":2020},[1502],"github.com\u002Fflutter\u002Fflutter",[208,2023,2024,2025,2028,2029,2031,2032],{},"dio, ",[244,2026,2027],{},"IOHttpClientAdapter"," — где на самом деле вызывается ",[244,2030,1767],{},", прямо в исходниках: ",[1498,2033,2036],{"href":2034,"rel":2035},"https:\u002F\u002Fgithub.com\u002Fcfug\u002Fdio\u002Fblob\u002Fmain\u002Fdio\u002Flib\u002Fsrc\u002Fadapters\u002Fio_adapter.dart",[1502],"github.com\u002Fcfug\u002Fdio",[208,2038,2039,2040,2042,2043],{},"Dart ",[244,2041,1527],{}," — полный список того, что класс отдаёт, и открытого ключа там нет: ",[1498,2044,2047],{"href":2045,"rel":2046},"https:\u002F\u002Fapi.dart.dev\u002Fstable\u002Fdart-io\u002FX509Certificate-class.html",[1502],"api.dart.dev",[208,2049,2050,1532,2052,2055,2056],{},[244,2051,1844],{},[244,2053,2054],{},"CronetEngine.build"," — список параметров, где обход есть, а pinning отсутствует: ",[1498,2057,2060],{"href":2058,"rel":2059},"https:\u002F\u002Fpub.dev\u002Fdocumentation\u002Fcronet_http\u002Flatest\u002Fcronet_http\u002FCronetEngine\u002Fbuild.html",[1502],"pub.dev",[2062,2063],"questions",{":items":2064},"[{\"title\": \"Нужен ли certificate pinning моему мобильному приложению?\", \"text\": \"Скорее нет, если вы не в финансах, медицине или госуслугах и ваша модель угроз не предполагает прямо враждебную сеть и недоверенное устройство. Google называет pinning не рекомендованным для Android-приложений, Apple пишет, что в большинстве случаев он не нужен и его следует избегать, а OWASP Pinning Cheat Sheet на вопрос нужно ли пиннить отвечает: вероятно, никогда. Не пиннитесь, если не можете обновить набор пинов без релиза, не знаете пару ключей до прода или не контролируете и сервер, и приложение.\"}, {\"title\": \"Отсутствие SSL pinning — это уязвимость?\", \"text\": \"Само по себе нет. Руководство OWASP по тестированию мобильных приложений прямо говорит, что отсутствие pinning не следует сообщать как уязвимость, а MASVS требует его только от приложений, которые обязаны проходить проверку по MAS-L2 — профилю для софта с чувствительными данными. Если в отчёте пентеста отсутствие SSL pinning стоит как находка, это обычно результат автоматического чек-листа, а не суждение о вашей модели угроз.\"}, {\"title\": \"Что пиннить: сертификат, открытый ключ или CA?\", \"text\": \"Открытый ключ, в виде SHA-256-хеша SPKI. Сертификат меняется при каждом продлении, ключ — нет, поэтому продление с тем же ключом вообще не затрагивает пин. И Android, и iOS нативно поддерживают только pinning по SPKI. Про уровень в цепочке: промежуточный сертификат для публичных CA снят с рассмотрения с 2024 года, когда крупнейший публичный CA начал выбирать промежуточные случайно; публичный корень настолько широк, что почти бессмысленен; лист работает только с резервными пинами. Свой приватный корень — единственный однозначно хороший случай.\"}, {\"title\": \"Работает ли certificate pinning во Flutter?\", \"text\": \"Не так, как его настраивает большинство. Dart не использует сетевой стек платформы: dart:io проводит TLS через BoringSSL, встроенный в движок Flutter, поэтому pin-set из network_security_config.xml для трафика Dart на Android не читается. Это issue 96722 во Flutter, заведённый в январе 2022 года и до сих пор открытый. На iOS, по сообщениям, работает, потому что Dart передаёт решение о доверии в SecTrust, — то есть типичный исход это pinning, который держит на одной платформе и молча ничего не делает на другой.\"}, {\"title\": \"Почему badCertificateCallback — неправильное место для pinning в Dart?\", \"text\": \"Потому что он вызывается только после того, как валидация уже провалилась. Если атакующий предъявит сертификат, корректно подписанный любым доверенным CA, колбэк не сработает и отпечаток не будет сравнён вообще. Часто копируемый пример, где он идёт вместе с SecurityContext и withTrustedRoots false, дополнительно отключает построение цепочки, проверку срока действия и проверку имени хоста. Хук validateCertificate в dio ближе к правильному, но выполняется после отправки запроса и получения ответа, поэтому защищает только тело ответа.\"}, {\"title\": \"Как срок жизни сертификатов в 47 дней влияет на pinning?\", \"text\": \"Он делает pinning листа с обновлением через релиз практически неподъёмным. Бюллетень CA\u002FBrowser Forum, принятый в апреле 2025 года, снижает максимальный срок жизни TLS-сертификатов с 398 дней до 200 в марте 2026-го, 100 в марте 2027-го и 47 в марте 2029-го. Сорок семь дней — это около восьми ротаций в год. Если набор пинов меняется только вместе с релизом в сторе, это восемь принудительных релизов в год, каждый с ревью и с пользователями, которые не обновляются. Pinning ключа вместо сертификата убирает большую часть этой цены, потому что продление с тем же ключом пин не меняет.\"}, {\"title\": \"Как проверить, что мой pinning действительно работает?\", \"text\": \"Поставьте сертификат прокси в системное хранилище доверия, а не в пользовательское, — через эмулятор с записываемым системным разделом или Magisk, — и прочитайте перехваченный трафик release-сборки. Наивный тест с пользовательским сертификатом не доказывает ничего, потому что приложения Android не доверяют пользовательским сертификатам начиная с targetSdk 24. На Flutter отдельно убедитесь, что трафик вообще доходит до прокси: Dart игнорирует системные настройки прокси. Затем прогоните тот же тест на второй платформе и сравните.\"}]",[175,2066,2067,2068,2072,2073,2077,2078,182],{},"Если нужен фон про то, за что вообще отвечает удостоверяющий центр, мы разбирали это в статье ",[1498,2069,2071],{"href":2070},"\u002Fblog\u002Fhttps-free-ssl-certificate","HTTPS без боли",", а криптографию под ним — в ",[1498,2074,2076],{"href":2075},"\u002Fblog\u002Fencryption-explained","как работает шифрование",". Эта статья написана в пару к нашему видеовыпуску на ту же тему; предыдущий был ",[1498,2079,2081],{"href":2080},"\u002Fblog\u002Feveryone-got-the-timeline-wrong","все ошиблись со сроками",[175,2083,2084],{},"А если при прогоне теста вы нашли что-то неожиданное — особенно отказ ровно на одной платформе, — нам правда интересно об этом услышать. Наша ставка: у половины Flutter-приложений pinning не работает как минимум на одной платформе.",[2086,2087,2088],"post-credits",{},[175,2089,2090,2091,2095,2096,2100],{},"Илья Никсан — основатель и ведущий разработчик ",[1498,2092,2094],{"href":2093},"\u002F","Nerdy Production",", Flutter-first агентства, которое создаёт и поддерживает приложения в финтехе, медицине и ритейле. Мы также занимаемся ",[1498,2097,2099],{"href":2098},"\u002Fservices\u002Fflutter-app-development","разработкой приложений на Flutter"," для команд, которые предпочли бы не выяснять всё это в продакшене.",[2102,2103,2104],"style",{},"html pre.shiki code .sbgvK, html code.shiki .sbgvK{--shiki-light:#E2931D;--shiki-default:#6F42C1;--shiki-dark:#B392F0}html pre.shiki code .s_sjI, html code.shiki .s_sjI{--shiki-light:#91B859;--shiki-default:#032F62;--shiki-dark:#9ECBFF}html pre.shiki code .stzsN, html code.shiki .stzsN{--shiki-light:#91B859;--shiki-default:#005CC5;--shiki-dark:#79B8FF}html pre.shiki code .smGrS, html code.shiki .smGrS{--shiki-light:#39ADB5;--shiki-default:#D73A49;--shiki-dark:#F97583}html pre.shiki code .s_hVV, html code.shiki .s_hVV{--shiki-light:#90A4AE;--shiki-default:#005CC5;--shiki-dark:#79B8FF}html .light .shiki span {color: var(--shiki-light);background: var(--shiki-light-bg);font-style: var(--shiki-light-font-style);font-weight: var(--shiki-light-font-weight);text-decoration: var(--shiki-light-text-decoration);}html.light .shiki span {color: var(--shiki-light);background: var(--shiki-light-bg);font-style: var(--shiki-light-font-style);font-weight: var(--shiki-light-font-weight);text-decoration: var(--shiki-light-text-decoration);}html .default .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}html.dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}html pre.shiki code .sutJx, html code.shiki .sutJx{--shiki-light:#90A4AE;--shiki-light-font-style:italic;--shiki-default:#6A737D;--shiki-default-font-style:inherit;--shiki-dark:#6A737D;--shiki-dark-font-style:inherit}html pre.shiki code .sP7_E, html code.shiki .sP7_E{--shiki-light:#39ADB5;--shiki-default:#24292E;--shiki-dark:#E1E4E8}html pre.shiki code .sQzsp, html code.shiki .sQzsp{--shiki-light:#E53935;--shiki-default:#22863A;--shiki-dark:#85E89D}html pre.shiki code .s9AJx, html code.shiki .s9AJx{--shiki-light:#9C3EDA;--shiki-default:#6F42C1;--shiki-dark:#B392F0}html pre.shiki code .sjJ54, html code.shiki .sjJ54{--shiki-light:#39ADB5;--shiki-default:#032F62;--shiki-dark:#9ECBFF}html pre.shiki code .su5hD, html code.shiki .su5hD{--shiki-light:#90A4AE;--shiki-default:#24292E;--shiki-dark:#E1E4E8}html pre.shiki code .sZMiF, html code.shiki .sZMiF{--shiki-light:#E2931D;--shiki-default:#005CC5;--shiki-dark:#79B8FF}html pre.shiki code .sbsja, html code.shiki .sbsja{--shiki-light:#9C3EDA;--shiki-default:#D73A49;--shiki-dark:#F97583}html pre.shiki code .s39Yj, html code.shiki .s39Yj{--shiki-light:#39ADB5;--shiki-default:#005CC5;--shiki-dark:#79B8FF}html pre.shiki code .sVHd0, html code.shiki .sVHd0{--shiki-light:#39ADB5;--shiki-light-font-style:italic;--shiki-default:#D73A49;--shiki-default-font-style:inherit;--shiki-dark:#F97583;--shiki-dark-font-style:inherit}html pre.shiki code .sGLFI, html code.shiki .sGLFI{--shiki-light:#6182B8;--shiki-default:#6F42C1;--shiki-dark:#B392F0}",{"title":606,"searchDepth":653,"depth":653,"links":2106},[2107,2108,2113,2116,2123,2124,2125,2126],{"id":202,"depth":653,"text":203},{"id":261,"depth":653,"text":262,"children":2109},[2110,2111,2112],{"id":302,"depth":673,"text":303},{"id":325,"depth":673,"text":326},{"id":414,"depth":673,"text":415},{"id":440,"depth":653,"text":441,"children":2114},[2115],{"id":470,"depth":673,"text":471},{"id":581,"depth":653,"text":582,"children":2117},[2118,2119,2120,2121,2122],{"id":585,"depth":673,"text":586},{"id":785,"depth":673,"text":786},{"id":1253,"depth":673,"text":1254},{"id":1362,"depth":673,"text":1363},{"id":1400,"depth":673,"text":1401},{"id":1451,"depth":653,"text":1452},{"id":1883,"depth":653,"text":1884},{"id":1906,"depth":653,"text":1907},{"id":1922,"depth":653,"text":1923},"Собственная документация Google по Android говорит, что certificate pinning «не рекомендуется для Android-приложений».","md",{"type":2130,"url":2131},"youtube","https:\u002F\u002Fyoutu.be\u002FOqmC0OOG6mk",{},"Google и Apple не советуют делать certificate pinning. От чего он реально защищает, пять правил, если вы его всё же делаете, и почему на Flutter он молчит.","Почему ваш SSL pinning не работает",true,"Pinning есть в половине приложений, которые мы аудируем. Чаще всего он выключен, направлен не на ту угрозу или — на Flutter — проверяет соединение, по которому данные не идут.","\u002Fblog\u002Fssl-certificate-pinning-flutter",{"title":169,"description":2127},"ssl-certificate-pinning-flutter","blog\u002Fssl-certificate-pinning-flutter","Google пишет, что certificate pinning «не рекомендуется для Android-приложений». Apple пишет, что «в большинстве случаев pinning не нужен и его следует избегать». OWASP на вопрос «нужно ли пиннить?» теперь отвечает «вероятно, никогда». При этом pinning есть примерно в половине мобильных приложений, которые мы смотрим, — а на Flutter он обычно не защищает вообще ничего, потому что Dart не использует сетевой стек платформы и pin-set из network_security_config.xml просто никогда не читается. Разбираем, что pinning даёт в 2026 году, нужен ли он вам, пять правил, если нужен, почему Flutter ломает все пять и как за полчаса выяснить, какой из вариантов — ваш.","2026-08-27T12:00:00Z","cybersecurity",null,"ST-76tUfpIuDOMd3Ab07ddbE2pJKiMpT3R7HbvVtrhI",[2147,2204,2251,2301,2390,2442],{"id":2148,"bio":2149,"expertise":2154,"extension":2170,"links":2171,"meta":2175,"metaDescription":2176,"name":2181,"ogDescription":2184,"photo":2189,"role":2190,"seniority":2195,"skills":2196,"slug":2197,"specialization":2198,"stem":2197,"__hash__":2203},"team_members\u002Fdima.yaml",{"en":2150,"ru":2151,"es":2152,"nl":2153},"Dima has been building with [Flutter](\u002Ftechnologies\u002Fflutter) since 2021, and specializes in :term[state management]{slug=\"state-management\"} and app architecture.\n\nHe has hands-on experience with real-time communication protocols — :term{slug=\"webrtc\"} for audio and video, and :term{slug=\"xmpp\"} for messaging — which makes him comfortable with the network-heavy, stateful features many teams struggle to get right.\n","Дима работает с [Flutter](\u002Ftechnologies\u002Fflutter) с 2021 года и специализируется на :term[state management]{slug=\"state-management\"} и архитектуре приложений.\n\nУ него есть практический опыт с протоколами реального времени — :term{slug=\"webrtc\"} для аудио и видео и :term{slug=\"xmpp\"} для обмена сообщениями, — поэтому ему близки сетевые stateful-фичи, которые многим командам даются с трудом.\n","Dima trabaja con [Flutter](\u002Ftechnologies\u002Fflutter) desde 2021 y se especializa en :term[gestión de estado]{slug=\"state-management\"} y arquitectura de aplicaciones.\n\nTiene experiencia práctica con protocolos de comunicación en tiempo real —:term{slug=\"webrtc\"} para audio y vídeo, y :term{slug=\"xmpp\"} para mensajería—, lo que le hace sentirse cómodo con esas funcionalidades con mucho estado y mucha red que a muchos equipos se les atragantan.\n","Dima werkt sinds 2021 met [Flutter](\u002Ftechnologies\u002Fflutter) en is gespecialiseerd in :term[state management]{slug=\"state-management\"} en applicatiearchitectuur.\n\nHij heeft praktijkervaring met protocollen voor realtime communicatie — :term{slug=\"webrtc\"} voor audio en video, en :term{slug=\"xmpp\"} voor berichten — waardoor hij zich thuis voelt bij de netwerkzware functies met veel staat waar veel teams moeite mee hebben.\n",[2155,2158,2163,2165],{"en":2156,"ru":2156,"es":2157,"nl":2156},"State management","Gestión de estado",{"en":2159,"ru":2160,"es":2161,"nl":2162},"Application architecture","Архитектура приложений","Arquitectura de aplicaciones","Applicatiearchitectuur",{"en":2164,"ru":2164,"es":2164,"nl":2164},"WebRTC",{"en":2166,"ru":2167,"es":2168,"nl":2169},"XMPP messaging","Обмен сообщениями по XMPP","Mensajería XMPP","Berichten via XMPP","yaml",[2172],{"type":2173,"address":2174},"email","konopatov@nerdy.pro",{},{"en":2177,"ru":2178,"es":2179,"nl":2180},"Lead Flutter developer at Nerdy Production, building real-time apps since 2021 — state management, app architecture, WebRTC and XMPP.","Ведущий Flutter-разработчик Nerdy Production: приложения реального времени с 2021 года — state management, архитектура, WebRTC и XMPP.","Lead de desarrollo Flutter en Nerdy Production, construyendo apps en tiempo real desde 2021: gestión de estado, arquitectura de aplicaciones, WebRTC y XMPP.","Lead Flutter-developer bij Nerdy Production, bouwt sinds 2021 realtime-apps — state management, applicatiearchitectuur, WebRTC en XMPP.",{"en":2182,"ru":2183,"es":2182,"nl":2182},"Dima","Дима",{"en":2185,"ru":2186,"es":2187,"nl":2188},"Lead Flutter developer at Nerdy Production — real-time apps since 2021, and the state management that keeps them from falling over.","Ведущий Flutter-разработчик Nerdy Production: приложения реального времени с 2021 года и state management, на котором они держатся.","Lead de desarrollo Flutter en Nerdy Production: apps en tiempo real desde 2021 y la gestión de estado que evita que se caigan.","Lead Flutter-developer bij Nerdy Production — realtime-apps sinds 2021, en het state management dat ze overeind houdt.","\u002Fteam\u002Fdima.webp",{"en":2191,"ru":2192,"es":2193,"nl":2194},"Lead Flutter Developer","Ведущий Flutter-разработчик","Lead de desarrollo Flutter","Lead Flutter-developer","lead",[41,18,155,160,90,111,150,95],"dima",{"en":2199,"ru":2200,"es":2201,"nl":2202},"Real-time apps, state management, and architecture","Приложения реального времени, state management и архитектура","Apps en tiempo real, gestión de estado y arquitectura","Realtime-apps, state management en architectuur","1TuxUt3zjdVkQUvMf9dBITG872C0exrdZyyoKw1beiE",{"id":2205,"bio":2206,"expertise":2211,"extension":2170,"links":2144,"meta":2222,"metaDescription":2223,"name":2228,"ogDescription":2231,"photo":2236,"role":2237,"seniority":2242,"skills":2243,"slug":2244,"specialization":2245,"stem":2244,"__hash__":2250},"team_members\u002Fmasha.yaml",{"en":2207,"ru":2208,"es":2209,"nl":2210},"Masha builds [Flutter](\u002Ftechnologies\u002Fflutter) apps where design and copy are treated as one job.\n\nShe specializes in UI\u002FUX — turning product requirements into clean, usable interfaces — and in the writing inside the app, from onboarding flows to the microcopy that makes a screen make sense. The result is apps that feel considered, not just functional.\n","Маша делает приложения на [Flutter](\u002Ftechnologies\u002Fflutter), где дизайн и текст — одна задача.\n\nОна специализируется на UI\u002FUX, превращая продуктовые требования в чистые и удобные интерфейсы, и на текстах внутри приложения — от онбординга до микрокопирайта, который делает экран понятным. В итоге приложения получаются продуманными, а не просто рабочими.\n","Masha crea apps en [Flutter](\u002Ftechnologies\u002Fflutter) donde el diseño y el texto se tratan como un mismo trabajo.\n\nSe especializa en UI\u002FUX —convertir requisitos de producto en interfaces limpias y usables— y en la escritura dentro de la app, desde los flujos de onboarding hasta el microcopy que hace que una pantalla se entienda. El resultado son apps que se sienten pensadas, no solo funcionales.\n","Masha bouwt [Flutter](\u002Ftechnologies\u002Fflutter)-apps waarin ontwerp en tekst als één taak worden behandeld.\n\nZe is gespecialiseerd in UI\u002FUX — productwensen omzetten in heldere, bruikbare interfaces — en in de teksten binnen de app, van onboarding tot de microteksten die een scherm begrijpelijk maken. Het resultaat zijn apps die doordacht aanvoelen en niet alleen werken.\n",[2212,2217],{"en":2213,"ru":2214,"es":2215,"nl":2216},"UI\u002FUX design","UI\u002FUX-дизайн","Diseño UI\u002FUX","UI\u002FUX-ontwerp",{"en":2218,"ru":2219,"es":2220,"nl":2221},"Product copywriting","Продуктовый копирайтинг","Redacción de producto","Productteksten",{},{"en":2224,"ru":2225,"es":2226,"nl":2227},"Flutter developer at Nerdy Production working where design meets copy — UI\u002FUX, onboarding flows, and the microcopy that makes a screen make sense.","Flutter-разработчик Nerdy Production на стыке дизайна и текста: UI\u002FUX, онбординг и микрокопирайт, который делает экран понятным.","Desarrolladora Flutter en Nerdy Production, donde el diseño se encuentra con el texto: UI\u002FUX, onboarding y el microcopy que hace que una pantalla se entienda.","Flutter-developer bij Nerdy Production op het snijvlak van ontwerp en tekst — UI\u002FUX, onboarding, en de microteksten die een scherm begrijpelijk maken.",{"en":2229,"ru":2230,"es":2229,"nl":2229},"Masha","Маша",{"en":2232,"ru":2233,"es":2234,"nl":2235},"Flutter developer at Nerdy Production working where design meets copy — onboarding flows and the microcopy that makes a screen make sense.","Flutter-разработчик Nerdy Production на стыке дизайна и текста: онбординг и микрокопирайт, который делает экран понятным.","Desarrolladora Flutter en Nerdy Production, donde el diseño se encuentra con el texto: onboarding y el microcopy que hace entender una pantalla.","Flutter-developer bij Nerdy Production op het snijvlak van ontwerp en tekst — onboarding en de microteksten die een scherm begrijpelijk maken.","\u002Fteam\u002Fmasha.webp",{"en":2238,"ru":2239,"es":2240,"nl":2241},"Flutter Developer","Flutter-разработчик","Desarrolladora Flutter","Flutter-developer","middle",[41,18],"masha",{"en":2246,"ru":2247,"es":2248,"nl":2249},"UI\u002FUX and copywriting for Flutter apps","UI\u002FUX и копирайтинг для Flutter-приложений","UI\u002FUX y redacción para apps Flutter","UI\u002FUX en teksten voor Flutter-apps","z3c64iWR39RIrn8wE0elSy00IfCITYgNkbgp_G_sslk",{"id":2252,"bio":2253,"expertise":2258,"extension":2170,"links":2269,"meta":2272,"metaDescription":2273,"name":2278,"ogDescription":2281,"photo":2286,"role":2287,"seniority":2292,"skills":2293,"slug":2294,"specialization":2295,"stem":2294,"__hash__":2300},"team_members\u002Fmaxim.yaml",{"en":2254,"ru":2255,"es":2256,"nl":2257},"Maxim is a polyglot engineer who moves comfortably across [Go](\u002Ftechnologies\u002Fgo), [Flutter](\u002Ftechnologies\u002Fflutter), [Python](\u002Ftechnologies\u002Fpython), and [TypeScript](\u002Ftechnologies\u002Ftypescript), which lets him own a feature from the backend to the screen.\n\nHe came up at Ozon, one of Russia's largest marketplaces, where scale makes reliability non-negotiable — and it shows in his work: testing is a first-class part of how he builds, not an afterthought bolted on at the end.\n","Максим — полиглот-инженер, свободно работающий с [Go](\u002Ftechnologies\u002Fgo), [Flutter](\u002Ftechnologies\u002Fflutter), [Python](\u002Ftechnologies\u002Fpython) и [TypeScript](\u002Ftechnologies\u002Ftypescript), что позволяет ему вести фичу от бэкенда до экрана.\n\nОн вырос в Ozon, одном из крупнейших маркетплейсов России, где масштаб делает надёжность обязательной, — и это видно в его работе: тестирование для него первоклассная часть разработки, а не то, что прикручивают в конце.\n","Maxim es un ingeniero políglota que se mueve con soltura entre [Go](\u002Ftechnologies\u002Fgo), [Flutter](\u002Ftechnologies\u002Fflutter), [Python](\u002Ftechnologies\u002Fpython) y [TypeScript](\u002Ftechnologies\u002Ftypescript), lo que le permite hacerse cargo de una funcionalidad desde el backend hasta la pantalla.\n\nSe formó en Ozon, uno de los mayores marketplaces de Rusia, donde la escala hace que la fiabilidad no sea negociable, y se le nota: el testing es para él una parte de primera clase de cómo construye, no un añadido al final.\n","Maxim is een polyglotte engineer die zich moeiteloos beweegt tussen [Go](\u002Ftechnologies\u002Fgo), [Flutter](\u002Ftechnologies\u002Fflutter), [Python](\u002Ftechnologies\u002Fpython) en [TypeScript](\u002Ftechnologies\u002Ftypescript), waardoor hij een functie van de backend tot het scherm kan dragen.\n\nHij is opgegroeid bij Ozon, een van de grootste marktplaatsen van Rusland, waar schaal betrouwbaarheid onderhandelbaar maakt noch toestaat — en dat zie je terug in zijn werk: testen is bij hem een volwaardig onderdeel van hoe hij bouwt, geen bijzaak die er aan het eind bij komt.\n",[2259,2264],{"en":2260,"ru":2261,"es":2262,"nl":2263},"Automated testing","Автоматизированное тестирование","Testing automatizado","Geautomatiseerd testen",{"en":2265,"ru":2266,"es":2267,"nl":2268},"High-load backend systems","Высоконагруженные бэкенд-системы","Sistemas backend de alta carga","Backendsystemen met hoge belasting",[2270],{"type":2173,"address":2271},"maxim@nerdy.pro",{},{"en":2274,"ru":2275,"es":2276,"nl":2277},"Senior engineer at Nerdy Production across Go, Flutter, Python and TypeScript — from backend to screen, with automated testing built in.","Старший инженер Nerdy Production: Go, Flutter, Python и TypeScript — от бэкенда до экрана, с автотестами как частью разработки.","Ingeniero senior en Nerdy Production con Go, Flutter, Python y TypeScript: del backend a la pantalla, con testing automatizado incorporado.","Senior engineer bij Nerdy Production met Go, Flutter, Python en TypeScript — van backend tot scherm, met geautomatiseerd testen ingebouwd.",{"en":2279,"ru":2280,"es":2279,"nl":2279},"Maxim","Максим",{"en":2282,"ru":2283,"es":2284,"nl":2285},"Senior engineer at Nerdy Production working from backend to screen — Go, Flutter, Python and TypeScript, with the tests written as he goes.","Старший инженер Nerdy Production, работающий от бэкенда до экрана: Go, Flutter, Python и TypeScript — и тесты, которые пишутся по ходу дела.","Ingeniero senior en Nerdy Production, del backend a la pantalla: Go, Flutter, Python y TypeScript, con los tests escritos sobre la marcha.","Senior engineer bij Nerdy Production, van backend tot scherm — Go, Flutter, Python en TypeScript, met de tests die hij onderweg schrijft.","\u002Fteam\u002Fmax.webp",{"en":2288,"ru":2289,"es":2290,"nl":2291},"Senior Software Engineer","Старший инженер-программист","Ingeniero de software senior","Senior software engineer","senior",[41,18,51,106,155,13,150],"maxim",{"en":2296,"ru":2297,"es":2298,"nl":2299},"Backend and Flutter engineering with a testing focus","Бэкенд и Flutter с фокусом на тестирование","Ingeniería backend y Flutter con foco en testing","Backend- en Flutter-engineering met focus op testen","a-8Kx1i-PQXIGU92_Rimqr3bPEur6ZwMfPKQWr2uk4I",{"id":2302,"bio":2303,"expertise":2308,"extension":2170,"links":2350,"meta":2362,"metaDescription":2363,"name":2368,"ogDescription":2371,"photo":2376,"role":2377,"seniority":2382,"skills":2383,"slug":170,"specialization":2384,"stem":170,"__hash__":2389},"team_members\u002Fnixan.yaml",{"en":2304,"ru":2305,"es":2306,"nl":2307},"Ilya founded Nerdy Production and leads its engineering. He has been building software since 2010 and shipping production Flutter since 2018.\n\nBefore that he was CTO of QIWI, one of Russia's largest payment platforms, where he ran roughly 12 engineering teams spanning web products down to card processing, :term{slug=\"pci-dss\"} scope, and contactless payments — including building contactless card payments on Android via :term[Host Card Emulation]{slug=\"host-card-emulation\"} over ISO\u002FIEC 14443, with EMV Contactless (Visa PayWave) on top.\n\nHe was also a principal developer at Yandex, where he worked on Yandex.Auto — taking native Android deep into the vehicle, with heavy CAN-bus integration through a custom CAN shield — and a principal at Evotor, whose point-of-sale devices run on a forked :term{slug=\"aosp\"}, giving him a low-level view of Android most app developers never touch.\n\nToday he leads delivery on the agency's flagship apps — from the chart-heavy fintech UI of [ExtraETF](\u002Fportfolio\u002Fextraetf) to the fully custom design system of [Arcana](\u002Fportfolio\u002Farcana). He writes most of the essays on this blog and maintains the agency's open-source work, including the [dxpdf](\u002Fopen-source\u002Fdxpdf) DOCX-to-PDF engine.\n\nHe works across [Flutter](\u002Ftechnologies\u002Fflutter), native iOS and Android, [Go](\u002Ftechnologies\u002Fgo), [Rust](\u002Ftechnologies\u002Frust), [TypeScript](\u002Ftechnologies\u002Ftypescript), [Kotlin](\u002Ftechnologies\u002Fkotlin), [Kubernetes](\u002Ftechnologies\u002Fkubernetes), and [Docker](\u002Ftechnologies\u002Fdocker), with a focus on app architecture, cross-platform delivery, and building teams that ship.\n","Илья основал Nerdy Production и руководит инженерной командой. Он занимается разработкой с 2010 года и выпускает продакшн-приложения на Flutter с 2018-го.\n\nДо этого он был CTO QIWI — одной из крупнейших платёжных платформ России, — где руководил примерно 12 инженерными командами: от веб-продуктов до карточного процессинга, зоны :term{slug=\"pci-dss\"} и бесконтактных платежей, включая бесконтактную оплату картой на Android через :term[Host Card Emulation]{slug=\"host-card-emulation\"} поверх ISO\u002FIEC 14443, с платёжным протоколом EMV Contactless (Visa PayWave).\n\nОн также был принципал-разработчиком в Яндексе, где работал над Яндекс.Авто, уводя нативный Android глубоко в автомобиль, с серьёзной интеграцией по шине CAN через собственный CAN-шилд, и принципалом в Эвоторе, чьи кассовые устройства работают на форке :term{slug=\"aosp\"}, что дало ему низкоуровневый взгляд на Android, недоступный большинству прикладных разработчиков.\n\nСейчас он ведёт поставку флагманских приложений агентства — от насыщенного графиками финтех-интерфейса [ExtraETF](\u002Fportfolio\u002Fextraetf) до полностью кастомной дизайн-системы [Arcana](\u002Fportfolio\u002Farcana). Он пишет большую часть материалов этого блога и поддерживает open-source агентства, включая движок [dxpdf](\u002Fopen-source\u002Fdxpdf) для конвертации DOCX в PDF.\n\nРаботает с [Flutter](\u002Ftechnologies\u002Fflutter), нативными iOS и Android, [Go](\u002Ftechnologies\u002Fgo), [Rust](\u002Ftechnologies\u002Frust), [TypeScript](\u002Ftechnologies\u002Ftypescript), [Kotlin](\u002Ftechnologies\u002Fkotlin), [Kubernetes](\u002Ftechnologies\u002Fkubernetes) и [Docker](\u002Ftechnologies\u002Fdocker); его фокус — архитектура приложений, кросс-платформенная поставка и построение команд, которые доводят продукт до релиза.\n","Ilya fundó Nerdy Production y dirige su ingeniería. Lleva construyendo software desde 2010 y entregando Flutter en producción desde 2018.\n\nAntes fue CTO de QIWI, una de las mayores plataformas de pago de Rusia, donde dirigió alrededor de 12 equipos de ingeniería que abarcaban desde productos web hasta procesamiento de tarjetas, alcance :term{slug=\"pci-dss\"} y pagos contactless, incluida la construcción de pagos contactless con tarjeta en Android mediante :term[Host Card Emulation]{slug=\"host-card-emulation\"} sobre ISO\u002FIEC 14443, con EMV Contactless (Visa PayWave) por encima.\n\nTambién fue principal developer en Yandex, donde trabajó en Yandex.Auto —llevando Android nativo hasta el interior del vehículo, con una integración intensiva por bus CAN a través de un CAN shield propio— y principal en Evotor, cuyos terminales de punto de venta funcionan sobre un fork de :term{slug=\"aosp\"}, lo que le dio una visión de bajo nivel de Android que la mayoría de desarrolladores de apps nunca llega a tocar.\n\nHoy lidera la entrega de las apps insignia de la agencia, desde la interfaz fintech cargada de gráficos de [ExtraETF](\u002Fportfolio\u002Fextraetf) hasta el sistema de diseño totalmente a medida de [Arcana](\u002Fportfolio\u002Farcana). Escribe la mayoría de los artículos de este blog y mantiene el trabajo de código abierto de la agencia, incluido el motor de conversión de DOCX a PDF [dxpdf](\u002Fopen-source\u002Fdxpdf).\n\nTrabaja con [Flutter](\u002Ftechnologies\u002Fflutter), iOS y Android nativos, [Go](\u002Ftechnologies\u002Fgo), [Rust](\u002Ftechnologies\u002Frust), [TypeScript](\u002Ftechnologies\u002Ftypescript), [Kotlin](\u002Ftechnologies\u002Fkotlin), [Kubernetes](\u002Ftechnologies\u002Fkubernetes) y [Docker](\u002Ftechnologies\u002Fdocker), con foco en arquitectura de aplicaciones, entrega multiplataforma y la construcción de equipos que entregan.\n","Ilya richtte Nerdy Production op en leidt de engineering. Hij bouwt software sinds 2010 en levert sinds 2018 Flutter in productie.\n\nDaarvoor was hij CTO van QIWI, een van de grootste betaalplatforms van Rusland, waar hij zo'n 12 engineeringteams aanstuurde die reikten van webproducten tot kaartverwerking, :term{slug=\"pci-dss\"}-scope en contactloos betalen — waaronder het bouwen van contactloze kaartbetalingen op Android via :term[Host Card Emulation]{slug=\"host-card-emulation\"} over ISO\u002FIEC 14443, met EMV Contactless (Visa PayWave) daarbovenop.\n\nHij was ook principal developer bij Yandex, waar hij aan Yandex.Auto werkte — native Android diep de auto in brengen, met zware integratie over de CAN-bus via een eigen CAN-shield — en principal bij Evotor, waarvan de kassa-apparaten op een fork van :term{slug=\"aosp\"} draaien, wat hem een blik op Android op laag niveau gaf die de meeste app-ontwikkelaars nooit krijgen.\n\nVandaag leidt hij de oplevering van de vlaggenschipapps van het bureau — van de grafiekzware fintech-UI van [ExtraETF](\u002Fportfolio\u002Fextraetf) tot het volledig eigen designsysteem van [Arcana](\u002Fportfolio\u002Farcana). Hij schrijft de meeste artikelen op deze blog en onderhoudt het opensourcewerk van het bureau, waaronder de DOCX-naar-PDF-motor [dxpdf](\u002Fopen-source\u002Fdxpdf).\n\nHij werkt met [Flutter](\u002Ftechnologies\u002Fflutter), native iOS en Android, [Go](\u002Ftechnologies\u002Fgo), [Rust](\u002Ftechnologies\u002Frust), [TypeScript](\u002Ftechnologies\u002Ftypescript), [Kotlin](\u002Ftechnologies\u002Fkotlin), [Kubernetes](\u002Ftechnologies\u002Fkubernetes) en [Docker](\u002Ftechnologies\u002Fdocker), met de nadruk op applicatiearchitectuur, cross-platform oplevering en het bouwen van teams die opleveren.\n",[2309,2314,2319,2324,2329,2334,2339,2344,2346,2348],{"en":2310,"ru":2311,"es":2312,"nl":2313},"iOS development","Разработка под iOS","Desarrollo iOS","iOS-ontwikkeling",{"en":2315,"ru":2316,"es":2317,"nl":2318},"Software architecture","Архитектура ПО","Arquitectura de software","Softwarearchitectuur",{"en":2320,"ru":2321,"es":2322,"nl":2323},"Engineering team leadership","Руководство инженерными командами","Liderazgo de equipos de ingeniería","Leidinggeven aan engineeringteams",{"en":2325,"ru":2326,"es":2327,"nl":2328},"Payment systems","Платёжные системы","Sistemas de pago","Betaalsystemen",{"en":2330,"ru":2331,"es":2332,"nl":2333},"Card processing","Карточный процессинг","Procesamiento de tarjetas","Kaartverwerking",{"en":2335,"ru":2336,"es":2337,"nl":2338},"PCI-DSS compliance","Соответствие PCI-DSS","Cumplimiento de PCI-DSS","Naleving van PCI-DSS",{"en":2340,"ru":2341,"es":2342,"nl":2343},"NFC and contactless payments","NFC и бесконтактные платежи","NFC y pagos contactless","NFC en contactloos betalen",{"en":2345,"ru":2345,"es":2345,"nl":2345},"Host Card Emulation",{"en":2347,"ru":2347,"es":2347,"nl":2347},"EMV Contactless",{"en":2349,"ru":2349,"es":2349,"nl":2349},"AOSP",[2351,2354,2357,2360],{"type":2352,"url":2353},"github","https:\u002F\u002Fgithub.com\u002Fthenixan",{"type":2355,"url":2356},"linkedin","https:\u002F\u002Fwww.linkedin.com\u002Fin\u002Fthenixan\u002F",{"type":2358,"url":2359},"telegram","https:\u002F\u002Ft.me\u002Fthenixan",{"type":2173,"address":2361},"nixan@nerdy.pro",{},{"en":2364,"ru":2365,"es":2366,"nl":2367},"Founder and lead developer at Nerdy Production, former CTO of QIWI. Flutter architecture, payments infrastructure, and engineering teams that ship.","Основатель и ведущий разработчик Nerdy Production, экс-CTO QIWI. Архитектура на Flutter, платёжная инфраструктура и команды, которые доводят до релиза.","Fundador y lead developer en Nerdy Production, ex-CTO de QIWI. Arquitectura Flutter, infraestructura de pagos y equipos de ingeniería que entregan.","Oprichter en lead developer bij Nerdy Production, oud-CTO van QIWI. Flutter-architectuur, betaalinfrastructuur en teams die opleveren.",{"en":2369,"ru":2370,"es":2369,"nl":2369},"Ilya Nixan","Илья Никсан",{"en":2372,"ru":2373,"es":2374,"nl":2375},"Founder and lead developer at Nerdy Production, former CTO of QIWI — Flutter architecture, payments infrastructure, and teams that ship.","Основатель и ведущий разработчик Nerdy Production, экс-CTO QIWI: архитектура на Flutter, платёжная инфраструктура и команды, которые доводят до релиза.","Fundador y lead developer en Nerdy Production, ex-CTO de QIWI: arquitectura Flutter, infraestructura de pagos y equipos que entregan.","Oprichter en lead developer bij Nerdy Production, oud-CTO van QIWI — Flutter-architectuur, betaalinfrastructuur en teams die opleveren.","\u002Fteam\u002Fnixan.webp",{"en":2378,"ru":2379,"es":2380,"nl":2381},"Founder & Lead Developer","Основатель и ведущий разработчик","Fundador y lead developer","Oprichter & lead developer","founder_lead",[41,18,71,141,76,146,51,126,121,155,160,90,13,150,136,7,29,80],{"en":2385,"ru":2386,"es":2387,"nl":2388},"Flutter architecture and leading delivery teams","Архитектура на Flutter и руководство командами поставки","Arquitectura Flutter y liderazgo de equipos de entrega","Flutter-architectuur en het leiden van opleverteams","BmeQZ7JyhRFIx8527WO2t1-WklP8AAvevAxiN9U4TEs",{"id":2391,"bio":2392,"expertise":2397,"extension":2170,"links":2409,"meta":2414,"metaDescription":2415,"name":2420,"ogDescription":2423,"photo":2428,"role":2429,"seniority":2292,"skills":2434,"slug":2435,"specialization":2436,"stem":2435,"__hash__":2441},"team_members\u002Froma.yaml",{"en":2393,"ru":2394,"es":2395,"nl":2396},"Roman works across native iOS and Android and [Flutter](\u002Ftechnologies\u002Fflutter), and pairs that mobile depth with [Python](\u002Ftechnologies\u002Fpython) and applied AI.\n\nMuch of his background is in ERP and CRM development — complex, data-heavy business systems where getting the domain model right matters more than the UI — which gives him a pragmatic eye for how an app fits the process behind it.\n","Роман работает с нативными iOS и Android и с [Flutter](\u002Ftechnologies\u002Fflutter), дополняя мобильную экспертизу [Python](\u002Ftechnologies\u002Fpython) и прикладным AI.\n\nЗначительная часть его опыта — разработка ERP и CRM, сложных систем с большим объёмом данных, где правильная доменная модель важнее интерфейса, — что даёт ему прагматичный взгляд на то, как приложение встраивается в процесс за ним.\n","Roman trabaja con iOS y Android nativos y con [Flutter](\u002Ftechnologies\u002Fflutter), y combina esa profundidad móvil con [Python](\u002Ftechnologies\u002Fpython) e IA aplicada.\n\nBuena parte de su trayectoria está en el desarrollo de ERP y CRM —sistemas de negocio complejos y con mucho dato, donde acertar con el modelo de dominio importa más que la interfaz—, lo que le da una mirada pragmática sobre cómo encaja una app en el proceso que hay detrás.\n","Roman werkt met native iOS en Android en met [Flutter](\u002Ftechnologies\u002Fflutter), en combineert die mobiele diepgang met [Python](\u002Ftechnologies\u002Fpython) en toegepaste AI.\n\nEen groot deel van zijn achtergrond ligt in ERP- en CRM-ontwikkeling — complexe, datazware bedrijfssystemen waarin het domeinmodel goed krijgen zwaarder weegt dan de interface — wat hem een pragmatische blik geeft op hoe een app in het proces erachter past.\n",[2398,2399,2404],{"en":2310,"ru":2311,"es":2312,"nl":2313},{"en":2400,"ru":2401,"es":2402,"nl":2403},"Applied AI","Прикладной AI","IA aplicada","Toegepaste AI",{"en":2405,"ru":2406,"es":2407,"nl":2408},"ERP and CRM systems","ERP- и CRM-системы","Sistemas ERP y CRM","ERP- en CRM-systemen",[2410,2412],{"type":2355,"url":2411},"https:\u002F\u002Fwww.linkedin.com\u002Fin\u002Fromanbatler\u002F",{"type":2173,"address":2413},"roma@nerdy.pro",{},{"en":2416,"ru":2417,"es":2418,"nl":2419},"Senior mobile developer at Nerdy Production — native iOS and Android, Flutter, applied AI, and a background in data-heavy ERP and CRM systems.","Старший мобильный разработчик Nerdy Production: нативные iOS и Android, Flutter, прикладной AI и опыт в ERP- и CRM-системах.","Desarrollador móvil senior en Nerdy Production: iOS y Android nativos, Flutter, IA aplicada y experiencia en sistemas ERP y CRM con gran volumen de datos.","Senior mobiele developer bij Nerdy Production — native iOS en Android, Flutter, toegepaste AI, en een achtergrond in datazware ERP- en CRM-systemen.",{"en":2421,"ru":2422,"es":2421,"nl":2421},"Roman","Рома",{"en":2424,"ru":2425,"es":2426,"nl":2427},"Senior mobile developer at Nerdy Production — native iOS and Android, Flutter, applied AI, and years of data-heavy ERP and CRM behind him.","Старший мобильный разработчик Nerdy Production: нативные iOS и Android, Flutter, прикладной AI и годы работы с нагруженными ERP и CRM.","Desarrollador móvil senior en Nerdy Production: iOS y Android nativos, Flutter, IA aplicada y años de ERP y CRM con mucha carga de datos.","Senior mobiele developer bij Nerdy Production — native iOS en Android, Flutter, toegepaste AI, en jaren datazware ERP en CRM achter zich.","\u002Fteam\u002Froma.webp",{"en":2430,"ru":2431,"es":2432,"nl":2433},"Senior Mobile Developer","Старший мобильный разработчик","Desarrollador móvil senior","Senior mobiele developer",[7,41,18,141,146,106],"roma",{"en":2437,"ru":2438,"es":2439,"nl":2440},"Mobile, AI, and ERP\u002FCRM systems","Мобильная разработка, AI и системы ERP\u002FCRM","Móvil, IA y sistemas ERP\u002FCRM","Mobiel, AI en ERP\u002FCRM-systemen","caPSPO2BX35G9lEjNb6p3U4uF_V7yh8cexCe6l5hm8Y",{"id":2443,"bio":2444,"expertise":2449,"extension":2170,"links":2144,"meta":2460,"metaDescription":2461,"name":2466,"ogDescription":2469,"photo":2474,"role":2475,"seniority":2292,"skills":2480,"slug":2481,"specialization":2482,"stem":2481,"__hash__":2487},"team_members\u002Fxsox.yaml",{"en":2445,"ru":2446,"es":2447,"nl":2448},"Eugene builds the systems that apps depend on. His background is in backend engineering — designing and running the APIs, data models, and services behind a product, primarily in [Python](\u002Ftechnologies\u002Fpython) and [Django](\u002Ftechnologies\u002Fdjango).\n\nHe also works in [Flutter](\u002Ftechnologies\u002Fflutter), so he can reason about a feature from the database to the device and build the backend so the app that consumes it stays simple.\n","Женя строит системы, на которые опираются приложения. Его основной опыт — бэкенд-инженерия: проектирование и эксплуатация API, моделей данных и сервисов за продуктом, в первую очередь на [Python](\u002Ftechnologies\u002Fpython) и [Django](\u002Ftechnologies\u002Fdjango).\n\nОн также работает с [Flutter](\u002Ftechnologies\u002Fflutter), поэтому может рассуждать о фиче от базы данных до устройства и строить бэкенд так, чтобы потребляющее его приложение оставалось простым.\n","Eugene construye los sistemas de los que dependen las apps. Su trayectoria está en la ingeniería backend: diseñar y operar las APIs, los modelos de datos y los servicios que hay detrás de un producto, principalmente en [Python](\u002Ftechnologies\u002Fpython) y [Django](\u002Ftechnologies\u002Fdjango).\n\nTambién trabaja con [Flutter](\u002Ftechnologies\u002Fflutter), así que puede razonar sobre una funcionalidad desde la base de datos hasta el dispositivo y construir el backend de forma que la app que lo consume siga siendo simple.\n","Eugene bouwt de systemen waar apps op leunen. Zijn achtergrond ligt in backend-engineering: de API's, datamodellen en services achter een product ontwerpen en draaien, vooral in [Python](\u002Ftechnologies\u002Fpython) en [Django](\u002Ftechnologies\u002Fdjango).\n\nHij werkt daarnaast met [Flutter](\u002Ftechnologies\u002Fflutter), zodat hij over een functie kan nadenken van de database tot het toestel en de backend zo kan bouwen dat de app die hem verbruikt eenvoudig blijft.\n",[2450,2455],{"en":2451,"ru":2452,"es":2453,"nl":2454},"API design","Проектирование API","Diseño de APIs","API-ontwerp",{"en":2456,"ru":2457,"es":2458,"nl":2459},"Data modelling","Моделирование данных","Modelado de datos","Datamodellering",{},{"en":2462,"ru":2463,"es":2464,"nl":2465},"Senior backend developer at Nerdy Production building the APIs, data models and services behind our apps, primarily in Python and Django.","Старший бэкенд-разработчик Nerdy Production: API, модели данных и сервисы за нашими приложениями, в первую очередь на Python и Django.","Desarrollador backend senior en Nerdy Production: las APIs, modelos de datos y servicios detrás de nuestras apps, sobre todo en Python y Django.","Senior backenddeveloper bij Nerdy Production die de API's, datamodellen en services achter onze apps bouwt, vooral in Python en Django.",{"en":2467,"ru":2468,"es":2467,"nl":2467},"Eugene Xsox","Женя Xsox",{"en":2470,"ru":2471,"es":2472,"nl":2473},"Senior backend developer at Nerdy Production — the APIs, data models and services our apps run on, mostly in Python and Django.","Старший бэкенд-разработчик Nerdy Production: API, модели данных и сервисы, на которых работают наши приложения, в основном на Python и Django.","Desarrollador backend senior en Nerdy Production: las APIs, modelos de datos y servicios sobre los que corren nuestras apps, en Python y Django.","Senior backenddeveloper bij Nerdy Production — de API's, datamodellen en services waarop onze apps draaien, vooral in Python en Django.","\u002Fteam\u002Fxsox.webp",{"en":2476,"ru":2477,"es":2478,"nl":2479},"Senior Backend Developer","Старший бэкенд-разработчик","Desarrollador backend senior","Senior backenddeveloper",[106,24,41,18,155,160,90,150],"xsox",{"en":2483,"ru":2484,"es":2485,"nl":2486},"Python\u002FDjango backends, plus Flutter","Бэкенды на Python\u002FDjango и Flutter","Backends en Python\u002FDjango, además de Flutter","Backends in Python\u002FDjango, plus Flutter","w_QAKKq_Mh_dtMvAxFpAJBC10PW1I7zgVOxELwRHwO8",[2489,2497,2504,2509,2519],{"id":2490,"extension":2170,"meta":2491,"name":2492,"slug":2143,"stem":2143,"__hash__":2496},"blog_topics\u002Fcybersecurity.yaml",{},{"en":2493,"ru":2494,"es":2495,"nl":2493},"Cybersecurity","Кибербезопасность","Ciberseguridad","kt1rdsMy5W4b9MvGHm6mZVCr0inHidEuqaosPYmmk4E",{"id":2498,"extension":2170,"meta":2499,"name":2500,"slug":2502,"stem":2502,"__hash__":2503},"blog_topics\u002Fdevops.yaml",{},{"en":2501,"ru":2501,"es":2501,"nl":2501},"DevOps","devops","D3mxlZuFHKCGeszKZuWCiQmHmP5EiCvzg1qEAIQhnyU",{"id":2505,"extension":2170,"meta":2506,"name":2507,"slug":41,"stem":41,"__hash__":2508},"blog_topics\u002Fflutter.yaml",{},{"en":39,"ru":39,"es":39,"nl":39},"OOeALAmwFuEqByuJvTGk4g15FIHENPfYMdpfZh_HTAE",{"id":2510,"extension":2170,"meta":2511,"name":2512,"slug":2517,"stem":2517,"__hash__":2518},"blog_topics\u002Ffor-founders.yaml",{},{"en":2513,"ru":2514,"es":2515,"nl":2516},"For Founders","Для основателей","Para fundadores","Voor oprichters","for-founders","lp2u6Ol2qF4DGxpB83HxbbGzWioT-e40mJhD4lr28-U",{"id":2520,"extension":2170,"meta":2521,"name":2522,"slug":2527,"stem":2527,"__hash__":2528},"blog_topics\u002Fsoftware-engineering.yaml",{},{"en":2523,"ru":2524,"es":2525,"nl":2526},"Software Engineering","Разработка ПО","Ingeniería de software","Software-engineering","software-engineering","aZMb3aUDptoFQk_cEE6l5H4wrYcgZuBYUubmKqOAaaU",{"data":2530,"body":2531},{},{"type":2532,"children":2533},"root",[2534,2541,2559,2570,2599],{"type":2535,"tag":175,"props":2536,"children":2537},"element",{},[2538],{"type":2539,"value":2540},"text","Илья основал Nerdy Production и руководит инженерной командой. Он занимается разработкой с 2010 года и выпускает продакшн-приложения на Flutter с 2018-го.",{"type":2535,"tag":175,"props":2542,"children":2543},{},[2544,2546,2550,2552,2557],{"type":2539,"value":2545},"До этого он был CTO QIWI — одной из крупнейших платёжных платформ России, — где руководил примерно 12 инженерными командами: от веб-продуктов до карточного процессинга, зоны ",{"type":2535,"tag":277,"props":2547,"children":2549},{"slug":2548},"pci-dss",[],{"type":2539,"value":2551}," и бесконтактных платежей, включая бесконтактную оплату картой на Android через ",{"type":2535,"tag":277,"props":2553,"children":2555},{"slug":2554},"host-card-emulation",[2556],{"type":2539,"value":2345},{"type":2539,"value":2558}," поверх ISO\u002FIEC 14443, с платёжным протоколом EMV Contactless (Visa PayWave).",{"type":2535,"tag":175,"props":2560,"children":2561},{},[2562,2564,2568],{"type":2539,"value":2563},"Он также был принципал-разработчиком в Яндексе, где работал над Яндекс.Авто, уводя нативный Android глубоко в автомобиль, с серьёзной интеграцией по шине CAN через собственный CAN-шилд, и принципалом в Эвоторе, чьи кассовые устройства работают на форке ",{"type":2535,"tag":277,"props":2565,"children":2567},{"slug":2566},"aosp",[],{"type":2539,"value":2569},", что дало ему низкоуровневый взгляд на Android, недоступный большинству прикладных разработчиков.",{"type":2535,"tag":175,"props":2571,"children":2572},{},[2573,2575,2581,2583,2589,2591,2597],{"type":2539,"value":2574},"Сейчас он ведёт поставку флагманских приложений агентства — от насыщенного графиками финтех-интерфейса ",{"type":2535,"tag":1498,"props":2576,"children":2578},{"href":2577},"\u002Fportfolio\u002Fextraetf",[2579],{"type":2539,"value":2580},"ExtraETF",{"type":2539,"value":2582}," до полностью кастомной дизайн-системы ",{"type":2535,"tag":1498,"props":2584,"children":2586},{"href":2585},"\u002Fportfolio\u002Farcana",[2587],{"type":2539,"value":2588},"Arcana",{"type":2539,"value":2590},". Он пишет большую часть материалов этого блога и поддерживает open-source агентства, включая движок ",{"type":2535,"tag":1498,"props":2592,"children":2594},{"href":2593},"\u002Fopen-source\u002Fdxpdf",[2595],{"type":2539,"value":2596},"dxpdf",{"type":2539,"value":2598}," для конвертации DOCX в PDF.",{"type":2535,"tag":175,"props":2600,"children":2601},{},[2602,2604,2609,2611,2616,2617,2622,2623,2628,2629,2634,2635,2640,2641,2646],{"type":2539,"value":2603},"Работает с ",{"type":2535,"tag":1498,"props":2605,"children":2607},{"href":2606},"\u002Ftechnologies\u002Fflutter",[2608],{"type":2539,"value":39},{"type":2539,"value":2610},", нативными iOS и Android, ",{"type":2535,"tag":1498,"props":2612,"children":2614},{"href":2613},"\u002Ftechnologies\u002Fgo",[2615],{"type":2539,"value":49},{"type":2539,"value":1532},{"type":2535,"tag":1498,"props":2618,"children":2620},{"href":2619},"\u002Ftechnologies\u002Frust",[2621],{"type":2539,"value":124},{"type":2539,"value":1532},{"type":2535,"tag":1498,"props":2624,"children":2626},{"href":2625},"\u002Ftechnologies\u002Ftypescript",[2627],{"type":2539,"value":153},{"type":2539,"value":1532},{"type":2535,"tag":1498,"props":2630,"children":2632},{"href":2631},"\u002Ftechnologies\u002Fkotlin",[2633],{"type":2539,"value":69},{"type":2539,"value":1532},{"type":2535,"tag":1498,"props":2636,"children":2638},{"href":2637},"\u002Ftechnologies\u002Fkubernetes",[2639],{"type":2539,"value":78},{"type":2539,"value":1474},{"type":2535,"tag":1498,"props":2642,"children":2644},{"href":2643},"\u002Ftechnologies\u002Fdocker",[2645],{"type":2539,"value":27},{"type":2539,"value":2647},"; его фокус — архитектура приложений, кросс-платформенная поставка и построение команд, которые доводят продукт до релиза.",[2649,2661,2674,2689,2703,2718,2734,2747,2760,2776,2789,2800,2810,2823,2833,2844,2853,2867,2880,2887,2901,2916,2929,2942,2955,2966,2977,2988,3001,3011,3024,3036,3049,3060,3073,3082,3093,3106,3119,3132,3145,3156,3168,3180,3191,3203,3213,3227,3238,3250,3261,3274,3285],{"slug":2566,"term":2349,"definition":2650,"category":2651,"aliases":2652,"links":2654,"related":2658,"readMore":-1,"target":2659,"hasArticle":2660},"Android Open Source Project — Android без надстройки Google, который может форкнуть кто угодно. На его форках работают кассовые терминалы, киоски и автомобильные системы, а работа на этом уровне открывает части ОС, которых прикладной разработчик не видит.","platform",[2653],"Android Open Source Project",[2655],{"kind":2656,"url":2657},"website","https:\u002F\u002Fsource.android.com\u002F",[2554],"\u002Fglossary#aosp",false,{"slug":2662,"term":2663,"definition":2664,"category":2651,"aliases":2665,"links":2666,"related":2670,"readMore":-1,"target":2673,"hasArticle":2660},"app-clips","App Clips","Функция Apple, позволяющая запустить небольшую часть iOS-приложения — до 15 МБ — не устанавливая его целиком. Вызывается по QR-коду, NFC-метке или ссылке: для случаев, когда первое действие пользователя не должно требовать похода в App Store.",[],[2667],{"kind":2668,"url":2669},"documentation","https:\u002F\u002Fdeveloper.apple.com\u002Fapp-clips\u002F",[2671,2672],"deep-linking","install-referrer","\u002Fglossary#app-clips",{"slug":2675,"term":2676,"definition":2677,"category":2651,"aliases":2678,"links":2679,"related":2685,"readMore":-1,"target":2688,"hasArticle":2660},"bigquery","BigQuery","Аналитическое хранилище Google Cloud. Вы запускаете SQL по миллиардам строк, и они сканируются за секунды, а данные при этом лежат отдельно от машин, выполняющих запросы. Именно это снимает отчётность и исследование данных с базы, обслуживающей живой трафик.",[],[2680,2682],{"kind":2656,"url":2681},"https:\u002F\u002Fcloud.google.com\u002Fbigquery",{"kind":2683,"url":2684},"wikipedia","https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FBigQuery",[2686,2687],"object-storage","elasticsearch","\u002Fglossary#bigquery",{"slug":2690,"term":2691,"definition":2692,"category":2693,"aliases":2694,"links":2698,"related":2701,"readMore":-1,"target":2702,"hasArticle":2660},"ci-cd","CI\u002FCD","Автоматизация, которая собирает, тестирует и выкладывает каждое изменение без ручного запуска команд. В мобильной разработке это то, что превращает релиз в нажатие кнопки вместо полудня ожидания, пока освободится нужный человек.","practice",[2695,2696,2697],"CI","непрерывная интеграция","непрерывная поставка",[2699],{"kind":2683,"url":2700},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FCI\u002FCD",[],"\u002Fglossary#ci-cd",{"slug":2704,"term":2705,"definition":2706,"category":2707,"aliases":2708,"links":2711,"related":2714,"readMore":-1,"target":2717,"hasArticle":2660},"crud","CRUD","Create, read, update, delete — четыре операции, стоящие почти за каждой формой и админкой. Собирательное название для рутинной половины приложения, которая управляет данными, в отличие от частей с реальной предметной логикой.","architecture",[2709,2710],"Create, Read, Update, Delete","создание, чтение, обновление, удаление",[2712],{"kind":2683,"url":2713},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FCreate,_read,_update_and_delete",[2715,2716],"rest","graphql","\u002Fglossary#crud",{"slug":2719,"term":2720,"definition":2721,"category":2693,"aliases":2722,"links":2726,"related":2731,"readMore":-1,"target":2733,"hasArticle":2660},"dev-container","Dev Container","Среда разработки, описанная один раз в devcontainer.json — ОС, инструменты и версии рантаймов, которые нужны проекту, — и открываемая одинаково внутри контейнера в редакторе любого участника, вместо инструкции по установке, которую каждый понимает по-своему.",[2723,2724,2725],"devcontainer.json","Dev Containers","VS Code Dev Containers",[2727,2729],{"kind":2656,"url":2728},"https:\u002F\u002Fcontainers.dev\u002F",{"kind":2668,"url":2730},"https:\u002F\u002Fcode.visualstudio.com\u002Fdocs\u002Fdevcontainers\u002Fcontainers",[2732],"container-registry","\u002Fglossary#dev-container",{"slug":2687,"term":2735,"definition":2736,"category":2651,"aliases":2737,"links":2740,"related":2745,"readMore":-1,"target":2746,"hasArticle":2660},"Elasticsearch","Поисковый и аналитический движок, который индексирует записи, чтобы их можно было интерактивно фильтровать и искать, а не сканировать. К нему обращаются, когда вопрос звучит как «покажи вот эти сессии с шестью фильтрами», а не «просуммируй колонку».",[2738,2739],"Elastic","ELK",[2741,2743],{"kind":2656,"url":2742},"https:\u002F\u002Fwww.elastic.co\u002Felasticsearch",{"kind":2683,"url":2744},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FElasticsearch",[2675],"\u002Fglossary#elasticsearch",{"slug":2748,"term":2749,"definition":2750,"category":2707,"aliases":2751,"links":2754,"related":2755,"readMore":-1,"target":2759,"hasArticle":2660},"fan-out","Fan-out","Чтение источника один раз и доставка каждого обновления всем подписанным на него клиентам. Наивная версия пишет подписчикам в цикле и встаёт, как только один из сокетов начинает тормозить; рабочая — держит отдельный буфер на каждого клиента и отключает тех, кто не успевает.",[2752,2753],"веерная рассылка","фан-аут",[],[2756,2757,2758],"websocket","pub-sub","server-sent-events","\u002Fglossary#fan-out",{"slug":2761,"term":2762,"definition":2763,"category":2693,"aliases":2764,"links":2767,"related":2772,"readMore":-1,"target":2775,"hasArticle":2660},"gdpr","GDPR","Регламент ЕС о персональных данных людей в ЕС: законное основание для сбора, настоящее согласие на трекинг, право увидеть и удалить свои данные. Он следует за вашими пользователями, а не за вашими серверами: где зарегистрирована компания, значения не имеет.",[2765,2766],"Общий регламент по защите данных","General Data Protection Regulation",[2768,2770],{"kind":2656,"url":2769},"https:\u002F\u002Fgdpr.eu\u002F",{"kind":2683,"url":2771},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FGeneral_Data_Protection_Regulation",[2548,2773,2774],"soc-2","hipaa","\u002Fglossary#gdpr",{"slug":2777,"term":2778,"definition":2779,"category":2693,"aliases":2780,"links":2784,"related":2787,"readMore":-1,"target":2788,"hasArticle":2660},"golden-test","Golden-тест","Тест, который отрисовывает виджет и сравнивает результат попиксельно с эталонным изображением. Во Flutter это самый дешёвый способ узнать, не сломал ли редизайн пустое состояние на 320pt, в тёмной теме, при 200% масштабе текста.",[2781,2782,2783],"golden test","золотой тест","скриншотный тест",[2785],{"kind":2668,"url":2786},"https:\u002F\u002Fapi.flutter.dev\u002Fflutter\u002Fflutter_test\u002FmatchesGoldenFile.html",[2690],"\u002Fglossary#golden-test",{"slug":2716,"term":2790,"definition":2791,"category":2707,"aliases":2792,"links":2793,"related":2798,"readMore":-1,"target":2799,"hasArticle":2660},"GraphQL","Язык запросов к API, где клиент сам перечисляет нужные поля и получает один ответ ровно такой формы. Он снимает избыточную выдачу, к которой дрейфуют REST-эндпоинты, и добавляет собственный режим отказа: неограниченный запрос, обходящий всю модель данных.",[],[2794,2796],{"kind":2656,"url":2795},"https:\u002F\u002Fgraphql.org\u002F",{"kind":2683,"url":2797},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FGraphQL",[2715],"\u002Fglossary#graphql",{"slug":2774,"term":2801,"definition":2802,"category":2693,"aliases":2803,"links":2805,"related":2808,"readMore":-1,"target":2809,"hasArticle":2660},"HIPAA","Закон США о защищённой медицинской информации: как её можно хранить, передавать, логировать и раскрывать. Как и PCI-DSS, это архитектурное ограничение, которое выбирают в начале, а не документ, который дописывают перед запуском.",[2804],"Health Insurance Portability and Accountability Act",[2806],{"kind":2683,"url":2807},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FHealth_Insurance_Portability_and_Accountability_Act",[2548,2761,2773],"\u002Fglossary#hipaa",{"slug":2811,"term":2812,"definition":2813,"category":2707,"aliases":2814,"links":2817,"related":2820,"readMore":-1,"target":2822,"hasArticle":2660},"headless-cms","Headless CMS","Система управления контентом с админкой и API, но без собственного фронтенда. Редакторы публикуют в одном месте, а сайт или приложение отрисовывает контент само — слой представления принадлежит вам, а не вендору CMS.",[2815,2816],"безголовая CMS","контентное API",[2818],{"kind":2683,"url":2819},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FHeadless_content_management_system",[2821,2715],"server-side-rendering","\u002Fglossary#headless-cms",{"slug":2554,"term":2345,"definition":2824,"category":2651,"aliases":2825,"links":2828,"related":2831,"readMore":-1,"target":2832,"hasArticle":2660},"Режим, в котором Android-телефон программно эмулирует бесконтактную карту по NFC, без аппаратного защищённого элемента. Так платит приложение-кошелёк на терминале: телефон говорит с ним по тому же протоколу EMV Contactless, что и пластиковая карта.",[2826,2347,2827],"HCE","бесконтактные платежи",[2829],{"kind":2668,"url":2830},"https:\u002F\u002Fdeveloper.android.com\u002Fdevelop\u002Fconnectivity\u002Fnfc\u002Fhce",[2548,2566],"\u002Fglossary#host-card-emulation",{"slug":2834,"term":2835,"definition":2836,"category":2651,"aliases":2837,"links":2838,"related":2841,"readMore":-1,"target":2843,"hasArticle":2660},"impeller","Impeller","Движок рендеринга, на котором Flutter работает сегодня: по умолчанию на iOS с 2023 года и на Android с 2024-го. Он компилирует шейдеры заранее, а не во время первой анимации, что убрало главную видимую проблему Flutter в проде — джанк на компиляции шейдеров.",[],[2839],{"kind":2668,"url":2840},"https:\u002F\u002Fdocs.flutter.dev\u002Fperf\u002Fimpeller",[2842],"skia","\u002Fglossary#impeller",{"slug":2672,"term":2845,"definition":2846,"category":2651,"aliases":2847,"links":2848,"related":2851,"readMore":-1,"target":2852,"hasArticle":2660},"Install Referrer","API Google Play, который передаёт только что установленному Android-приложению параметры кампании из ссылки, приведшей к установке. Android-половина отложенного диплинкинга и надёжный способ понять, откуда пришёл пользователь.",[],[2849],{"kind":2668,"url":2850},"https:\u002F\u002Fdeveloper.android.com\u002Fgoogle\u002Fplay\u002Finstallreferrer",[2671,2662],"\u002Fglossary#install-referrer",{"slug":2854,"term":2855,"definition":2856,"category":2857,"aliases":2858,"links":2860,"related":2865,"readMore":-1,"target":2866,"hasArticle":2660},"jwt","JWT","Подписанный токен, несущий свои данные внутри: сервер понимает, кому принадлежит запрос, не обращаясь к хранилищу сессий. Стандарт мобильной аутентификации. Подпись доказывает, что токен не меняли, но не скрывает его содержимое.","protocol",[2859],"JSON Web Token",[2861,2863],{"kind":2656,"url":2862},"https:\u002F\u002Fjwt.io\u002F",{"kind":2683,"url":2864},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FJSON_Web_Token",[2548],"\u002Fglossary#jwt",{"slug":2868,"term":2869,"definition":2870,"category":2693,"aliases":2871,"links":2875,"related":2878,"readMore":-1,"target":2879,"hasArticle":2660},"kyc","KYC","Know Your Customer — проверки личности, которые регулируемый финансовый продукт проводит, прежде чем разрешить переводить деньги: съёмка документов, liveness, санкционный и антиотмывочный скрининг. На онбординг это влияет сильнее любого дизайн-решения.",[2872,2873,2874],"Know Your Customer","AML","KYC\u002FAML",[2876],{"kind":2683,"url":2877},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FKnow_your_customer",[2548,2761],"\u002Fglossary#kyc",{"slug":76,"term":74,"definition":2881,"category":2651,"aliases":2882,"links":2884,"related":2885,"readMore":2886,"target":2886,"hasArticle":2660},"Переиспользование бизнес-логики на Kotlin между Android, iOS и сервером, при этом интерфейс на каждой платформе остаётся нативным. Альтернатива Flutter, когда UI обязан быть нативным, а правила за ним — нет.",[2883],"KMP",[],[],"\u002Ftechnologies\u002Fkmp",{"slug":2888,"term":2889,"definition":2890,"category":2891,"aliases":2892,"links":2895,"related":2898,"readMore":-1,"target":2900,"hasArticle":2660},"mvp","MVP","Минимальная версия продукта, которую можно показать реальным пользователям и которая при этом отвечает на вопрос, ради которого его делали. Решение об объёме, а не о качестве: MVP всё равно обязан работать.","business",[2893,2894],"минимально жизнеспособный продукт","minimum viable product",[2896],{"kind":2683,"url":2897},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FMinimum_viable_product",[2899],"white-label","\u002Fglossary#mvp",{"slug":2902,"term":2903,"definition":2904,"category":2857,"aliases":2905,"links":2909,"related":2914,"readMore":-1,"target":2915,"hasArticle":2660},"oauth","OAuth","Стандарт, на котором держатся «Вход через Apple», Google и остальные: пользователь авторизует ваше приложение у провайдера, которому уже доверяет, а приложение получает токен вместо пароля. Никто не заводит новый пароль, и вы его не храните.",[2906,2907,2908],"OAuth 2.0","вход через соцсети","Sign in with Apple",[2910,2912],{"kind":2656,"url":2911},"https:\u002F\u002Foauth.net\u002F2\u002F",{"kind":2683,"url":2913},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FOAuth",[2854],"\u002Fglossary#oauth",{"slug":2548,"term":2917,"definition":2918,"category":2693,"aliases":2919,"links":2922,"related":2927,"readMore":-1,"target":2928,"hasArticle":2660},"PCI-DSS","Стандарт безопасности карточной индустрии, обязательный для всех, кто хранит, обрабатывает или передаёт данные карт. Большинство приложений намеренно остаются вне зоны его действия, отдавая ввод карты сертифицированному платёжному провайдеру.",[2920,2921],"PCI DSS","Payment Card Industry Data Security Standard",[2923,2925],{"kind":2656,"url":2924},"https:\u002F\u002Fwww.pcisecuritystandards.org\u002F",{"kind":2683,"url":2926},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FPayment_Card_Industry_Data_Security_Standard",[2854],"\u002Fglossary#pci-dss",{"slug":2930,"term":2931,"definition":2932,"category":2891,"aliases":2933,"links":2936,"related":2939,"readMore":-1,"target":2941,"hasArticle":2660},"product-market-fit","Product-market fit","Момент, когда продукт доказуемо нашёл своих людей: они им пользуются, возвращаются и платят. До него разработка отвечает на вопрос, после — на спрос.",[2934,2935],"PMF","соответствие продукта рынку",[2937],{"kind":2683,"url":2938},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FProduct-market_fit",[2888,2940],"time-to-market","\u002Fglossary#product-market-fit",{"slug":2943,"term":2944,"definition":2945,"category":2693,"aliases":2946,"links":2949,"related":2952,"readMore":-1,"target":2954,"hasArticle":2660},"prompt-injection","Prompt injection","Атака, при которой текст от пользователя языковая модель читает как инструкции, а не как данные, и уходит в обход собственных правил. Родственник SQL-инъекции в эпоху LLM: возникает везде, где пользовательский ввод склеивается в промпт.",[2947,2948],"инъекция промпта","инъекция в промпт",[2950],{"kind":2683,"url":2951},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FPrompt_injection",[2953],"rate-limiting","\u002Fglossary#prompt-injection",{"slug":2757,"term":2956,"definition":2957,"category":2707,"aliases":2958,"links":2961,"related":2964,"readMore":-1,"target":2965,"hasArticle":2660},"Pub\u002FSub","Шаблон обмена сообщениями: производитель публикует событие, а любое число потребителей независимо читает его через стоящий между ними брокер. Производитель никогда их не ждёт — так путь запроса остаётся быстрым, а более медленная работа выполняется в фоне.",[2959,2960],"публикация\u002Fподписка","Google Cloud Pub\u002FSub",[2962],{"kind":2683,"url":2963},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FPublish%E2%80%93subscribe_pattern",[],"\u002Fglossary#pub-sub",{"slug":2715,"term":2967,"definition":2968,"category":2707,"aliases":2969,"links":2972,"related":2975,"readMore":-1,"target":2976,"hasArticle":2660},"REST","Общепринятый стиль HTTP-API: URL называет ресурс, а HTTP-метод говорит, что с ним сделать. Способ по умолчанию, которым приложение общается с бэкендом, и то, что ожидает найти большинство сторонних интеграций.",[2970,2971],"REST API","Representational State Transfer",[2973],{"kind":2683,"url":2974},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FREST",[2756,2758],"\u002Fglossary#rest",{"slug":2773,"term":2978,"definition":2979,"category":2693,"aliases":2980,"links":2983,"related":2986,"readMore":-1,"target":2987,"hasArticle":2660},"SOC 2","Отчёт внешнего аудитора о том, как компания обращается с данными клиентов — безопасность, доступность, конфиденциальность, — а не сертификат, который можно купить. Корпоративные заказчики его требуют, а архитектуру он ограничивает задолго до самого аудита.",[2981,2982],"SOC2","System and Organization Controls",[2984],{"kind":2683,"url":2985},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FSystem_and_Organization_Controls",[2548,2761,2774],"\u002Fglossary#soc-2",{"slug":2989,"term":2990,"definition":2991,"category":2891,"aliases":2992,"links":2995,"related":2998,"readMore":-1,"target":3000,"hasArticle":2660},"saas","SaaS","Софт, который продают как постоянную подписку на размещённый у поставщика продукт, а не как разовую лицензию для установки у себя. Поставщик держит серверы, непрерывно выкатывает обновления и берёт плату за пользователя или за объём.",[2993,2994],"Software as a Service","ПО как услуга",[2996],{"kind":2683,"url":2997},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FSoftware_as_a_service",[2999,2899],"multi-tenancy","\u002Fglossary#saas",{"slug":2758,"term":3002,"definition":3003,"category":2857,"aliases":3004,"links":3006,"related":3009,"readMore":-1,"target":3010,"hasArticle":2660},"Server-Sent Events","Односторонний поток от сервера к клиенту поверх обычного HTTP-соединения. Проще, чем WebSocket, и достаточен там, где только серверу есть что сказать: прогресс операции, ответ AI, приходящий токен за токеном.",[3005],"SSE",[3007],{"kind":2683,"url":3008},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FServer-sent_events",[2756,2715],"\u002Fglossary#server-sent-events",{"slug":2842,"term":3012,"definition":3013,"category":2651,"aliases":3014,"links":3017,"related":3022,"readMore":-1,"target":3023,"hasArticle":2660},"Skia","Открытая 2D-графическая библиотека Google, которая рисует Chrome, Android и — до появления Impeller — каждый кадр Flutter. Она умеет выводить не только на экран, но и в PDF: именно это делает «печать в PDF» в Chrome.",[3015,3016],"Skia Graphics Engine","skia-safe",[3018,3020],{"kind":2656,"url":3019},"https:\u002F\u002Fskia.org\u002F",{"kind":2683,"url":3021},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FSkia_Graphics_Engine",[2834],"\u002Fglossary#skia",{"slug":3025,"term":3026,"definition":3027,"category":2891,"aliases":3028,"links":3032,"related":3033,"readMore":-1,"target":3035,"hasArticle":2660},"staff-augmentation","Staff augmentation","Модель найма, при которой инженеры внешнего партнёра входят в вашу команду и работают под вашим управлением — в вашем репозитории, ваших спринтах, вашем процессе, — а не сдают отдельный проект. Вы покупаете ресурс; код и контекст остаются у вас.",[3029,3030,3031],"аутстаффинг","расширение команды","выделенные разработчики",[],[3034,2940],"total-cost-of-ownership","\u002Fglossary#staff-augmentation",{"slug":279,"term":3037,"definition":3038,"category":2857,"aliases":3039,"links":3043,"related":3046,"readMore":-1,"target":3048,"hasArticle":2660},"TLS","Слой шифрования под HTTPS. Он подтверждает, что сервер именно тот, о ком говорит его сертификат, согласует свежий ключ на сессию и шифрует всё дальнейшее — сеть между вами видит шифртекст и не может незаметно его изменить.",[3040,3041,3042],"SSL","HTTPS","Transport Layer Security",[3044],{"kind":2683,"url":3045},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FTransport_Layer_Security",[3047,2854],"end-to-end-encryption","\u002Fglossary#tls",{"slug":2940,"term":3050,"definition":3051,"category":2891,"aliases":3052,"links":3055,"related":3058,"readMore":-1,"target":3059,"hasArticle":2660},"Time to market","Время от решения строить продукт до момента, когда им пользуются настоящие люди. Большинство споров о стеке и объёме работ — на самом деле споры об этом числе: каждая сэкономленная неделя — это неделя выручки, обратной связи и позиции на рынке.",[3053,3054],"TTM","время выхода на рынок",[3056],{"kind":2683,"url":3057},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FTime_to_market",[2888,3034],"\u002Fglossary#time-to-market",{"slug":3061,"term":2164,"definition":3062,"category":2857,"aliases":3063,"links":3065,"related":3070,"readMore":-1,"target":3072,"hasArticle":2660},"webrtc","Браузерный и мобильный стандарт для передачи аудио, видео и данных напрямую между двумя устройствами; серверы участвуют только в том, чтобы их познакомить. На нём строят видеозвонок внутри приложения, когда не берут готовый SDK.",[3064],"Web Real-Time Communication",[3066,3068],{"kind":2656,"url":3067},"https:\u002F\u002Fwebrtc.org\u002F",{"kind":2683,"url":3069},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FWebRTC",[3071,2756],"xmpp","\u002Fglossary#webrtc",{"slug":2756,"term":3074,"definition":3075,"category":2857,"aliases":3076,"links":3077,"related":3080,"readMore":-1,"target":3081,"hasArticle":2660},"WebSocket","Протокол, который держит одно соединение между клиентом и сервером открытым, чтобы любая сторона могла отправить данные в любой момент, а не клиент спрашивал снова и снова. На нём работают живые котировки, чаты и статусы присутствия.",[],[3078],{"kind":2683,"url":3079},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FWebSocket",[2758,2715],"\u002Fglossary#websocket",{"slug":2899,"term":3083,"definition":3084,"category":2891,"aliases":3085,"links":3088,"related":3091,"readMore":3092,"target":3092,"hasArticle":2135},"White-label","Один продукт, выпускаемый под многими брендами. White-label платформа собирает каждому клиенту готовое к публикации приложение со своим названием, оформлением и контентом из общей кодовой базы, а не форкает проект под заказчика.",[3086,3087],"белый лейбл","мультитенантное приложение",[3089],{"kind":2683,"url":3090},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FWhite-label_product",[2888],"\u002Fglossary\u002Fwhite-label",{"slug":3071,"term":3094,"definition":3095,"category":2857,"aliases":3096,"links":3099,"related":3104,"readMore":-1,"target":3105,"hasArticle":2660},"XMPP","Открытый федеративный протокол обмена сообщениями и давняя альтернатива тому, чтобы писать чат-бэкенд самому или арендовать чужой. Он покрывает статусы присутствия, индикаторы набора и передачу файлов, а зрелые клиентские библиотеки есть под любую платформу.",[3097,3098],"Jabber","Extensible Messaging and Presence Protocol",[3100,3102],{"kind":2656,"url":3101},"https:\u002F\u002Fxmpp.org\u002F",{"kind":2683,"url":3103},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FXMPP",[3061,2756],"\u002Fglossary#xmpp",{"slug":3107,"term":3108,"definition":3109,"category":2891,"aliases":3110,"links":3114,"related":3117,"readMore":-1,"target":3118,"hasArticle":2660},"in-app-purchase","Встроенные покупки","Продажа цифровых товаров и подписок через биллинг Apple и Google, который оба стора требуют для цифрового контента и с которого берут комиссию. Сложность никогда не в самой покупке, а в её восстановлении на новом устройстве и в честном учёте прав доступа.",[3111,3112,3113],"in-app purchase","IAP","внутренние покупки",[3115],{"kind":2668,"url":3116},"https:\u002F\u002Fdeveloper.apple.com\u002Fin-app-purchase\u002F",[2930],"\u002Fglossary#in-app-purchase",{"slug":2671,"term":3120,"definition":3121,"category":2651,"aliases":3122,"links":3127,"related":3130,"readMore":3131,"target":3131,"hasArticle":2135},"Диплинкинг","Ссылка, которая открывает конкретный экран внутри установленного приложения, а не его главную или веб-страницу. Отложенный диплинкинг переживает установку: нажатие, прошедшее через магазин приложений, всё равно приводит на нужный экран.",[3123,3124,3125,3126],"deep linking","отложенный диплинкинг","Universal Links","Android App Links",[3128],{"kind":2683,"url":3129},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FMobile_deep_linking",[2662,2672],"\u002Fglossary\u002Fdeep-linking",{"slug":3133,"term":3134,"definition":3135,"category":2707,"aliases":3136,"links":3140,"related":3143,"readMore":-1,"target":3144,"hasArticle":2660},"multi-arch-image","Мультиархитектурный образ","Один тег образа, который разрешается в разные бинарники для каждой архитектуры процессора — обычно это пара linux\u002Famd64 и linux\u002Farm64, — так что один и тот же docker pull работает без изменений и на серверах Intel\u002FAMD, и на ноутбуках с Apple Silicon.",[3137,3138,3139],"мультиарх-сборка","multi-arch build","linux\u002Famd64 + linux\u002Farm64",[3141],{"kind":2668,"url":3142},"https:\u002F\u002Fdocs.docker.com\u002Fbuild\u002Fbuilding\u002Fmulti-platform\u002F",[2732],"\u002Fglossary#multi-arch-image",{"slug":2999,"term":3146,"definition":3147,"category":2707,"aliases":3148,"links":3151,"related":3154,"readMore":-1,"target":3155,"hasArticle":2660},"Мультитенантность","Один развёрнутый бэкенд обслуживает много клиентов, и каждый видит только свои данные, конфигурацию и включённые функции, потому что контекст тенанта определяется для каждого запроса. Именно это делает линейку брендированных приложений одним продуктом, а не набором форков.",[2999,3149,3150],"мультиарендность","тенант",[3152],{"kind":2683,"url":3153},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FMultitenancy",[2899,1442],"\u002Fglossary#multi-tenancy",{"slug":2686,"term":3157,"definition":3158,"category":2707,"aliases":3159,"links":3163,"related":3166,"readMore":-1,"target":3167,"hasArticle":2660},"Объектное хранилище","Хранилище, которое держит файл целиком под ключом, а не в дереве файловой системы, — Amazon S3 и множество сервисов, совместимых с его API. Дешёвое, практически безграничное, привычное место для сырых событий, бэкапов и медиа: пишется один раз, читается редко, хранится вечно.",[3160,3161,3162],"S3","S3-совместимое хранилище","блоб-хранилище",[3164],{"kind":2683,"url":3165},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FObject_storage",[2675],"\u002Fglossary#object-storage",{"slug":2953,"term":3169,"definition":3170,"category":2693,"aliases":3171,"links":3175,"related":3178,"readMore":-1,"target":3179,"hasArticle":2660},"Ограничение частоты запросов","Предел на число запросов от одного клиента за заданный интервал. Именно он не даёт одному увлечённому пользователю, скраперу или боту потратить месячный бюджет платного API за вечер, и стоять он должен на вашей стороне интеграции.",[3172,3173,3174],"rate limiting","рейт-лимит","троттлинг",[3176],{"kind":2683,"url":3177},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FRate_limiting",[2943],"\u002Fglossary#rate-limiting",{"slug":1809,"term":3181,"definition":3182,"category":2651,"aliases":3183,"links":3186,"related":3189,"readMore":-1,"target":3190,"hasArticle":2660},"Платформенные каналы","Мост, через который Flutter-приложение вызывает нативный код iOS и Android — Keychain и Keystore, биометрию, платёжные шторки, любой SDK без Dart-пакета. Работа рутинная, но настоящая, и первое место, где споткнётся инженер, не выходивший за пределы Dart.",[3184,3185],"platform channels","method channel",[3187],{"kind":2668,"url":3188},"https:\u002F\u002Fdocs.flutter.dev\u002Fplatform-integration\u002Fplatform-channels",[76],"\u002Fglossary#platform-channels",{"slug":3192,"term":3193,"definition":3194,"category":2857,"aliases":3195,"links":3198,"related":3201,"readMore":-1,"target":3202,"hasArticle":2660},"post-quantum-cryptography","Постквантовая криптография","Алгоритмы шифрования, рассчитанные на устойчивость к будущему квантовому компьютеру; стандарты уже финализированы NIST. Мигрировать нужно до появления железа: трафик, записанный сегодня, расшифруют, когда такая машина появится.",[3196,3197],"PQC","постквантовое шифрование",[3199],{"kind":2683,"url":3200},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FPost-quantum_cryptography",[279,3047],"\u002Fglossary#post-quantum-cryptography",{"slug":1373,"term":3204,"definition":3205,"category":2693,"aliases":3206,"links":3210,"related":3211,"readMore":-1,"target":3212,"hasArticle":2660},"Поэтапная раскатка","Релиз сначала на небольшой процент пользователей и расширение только тогда, когда доля сессий без падений держится. Плохая сборка, пойманная на десяти процентах, — испорченный вечер; она же на ста процентах — испорченная неделя.",[3207,3208,3209],"staged rollout","phased release","канареечный релиз",[],[1442,2690],"\u002Fglossary#staged-rollout",{"slug":2732,"term":3214,"definition":3215,"category":2707,"aliases":3216,"links":3222,"related":3225,"readMore":-1,"target":3226,"hasArticle":2660},"Реестр контейнеров","Хранилище образов контейнеров, адресуемых по имени и тегу, — Docker Hub, GitHub Container Registry или собственный реестр облачного провайдера. Публикация сборки в реестр превращает «у меня работает» в образ, который любой может скачать и запустить без изменений.",[3217,3218,3219,3220,3221],"реестр образов","Docker registry","GHCR","ghcr.io","container registry",[3223],{"kind":2668,"url":3224},"https:\u002F\u002Fdocs.github.com\u002Fen\u002Fpackages\u002Fworking-with-a-github-packages-registry\u002Fworking-with-the-container-registry",[2719,3133],"\u002Fglossary#container-registry",{"slug":2821,"term":3228,"definition":3229,"category":2707,"aliases":3230,"links":3233,"related":3236,"readMore":-1,"target":3237,"hasArticle":2660},"Серверный рендеринг","Сборка страницы в готовый HTML на сервере, чтобы первый же ответ содержал контент, заголовки, метатеги и структурированные данные. Краулеры, превью ссылок и медленные устройства читают это, не выполняя JavaScript.",[3231,3232],"SSR","server-side rendering",[3234],{"kind":2683,"url":3235},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FServer-side_scripting",[2811],"\u002Fglossary#server-side-rendering",{"slug":3047,"term":3239,"definition":3240,"category":2707,"aliases":3241,"links":3245,"related":3248,"readMore":-1,"target":3249,"hasArticle":2660},"Сквозное шифрование","Шифрование, которое накладывается на устройстве отправителя и снимается только на устройстве получателя, так что сервис, передающий сообщение, не может его прочитать — ни по решению суда, ни после взлома. Оно защищает содержимое, но никогда — метаданные.",[3242,3243,3244],"E2EE","end-to-end encryption","оконечное шифрование",[3246],{"kind":2683,"url":3247},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FEnd-to-end_encryption",[279,2854],"\u002Fglossary#end-to-end-encryption",{"slug":3034,"term":3251,"definition":3252,"category":2891,"aliases":3253,"links":3256,"related":3259,"readMore":-1,"target":3260,"hasArticle":2660},"Совокупная стоимость владения","Во что продукт обходится за всю жизнь, а не только на этапе разработки: поддержка, обновления, ежегодные миграции на новые ОС и правила сторов, вторая команда, чтобы две кодовые базы не расходились. Обычно больше сметы на разработку и почти никогда в неё не входит.",[3254,3255],"TCO","total cost of ownership",[3257],{"kind":2683,"url":3258},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FTotal_cost_of_ownership",[2940],"\u002Fglossary#total-cost-of-ownership",{"slug":3262,"term":3263,"definition":3264,"category":2707,"aliases":3265,"links":3269,"related":3272,"readMore":-1,"target":3273,"hasArticle":2660},"state-management","Управление состоянием","То, как приложение решает, где живёт значение, кому позволено его менять и какие части экрана перерисовываются, когда оно меняется. Во Flutter выбор между Riverpod, BLoC и Provider — одно из первых архитектурных решений и одно из самых трудных для пересмотра.",[3266,3267,3268],"state management","BLoC","Riverpod",[3270],{"kind":2668,"url":3271},"https:\u002F\u002Fdocs.flutter.dev\u002Fdata-and-backend\u002Fstate-mgmt\u002Foptions",[2777],"\u002Fglossary#state-management",{"slug":1442,"term":3275,"definition":3276,"category":2693,"aliases":3277,"links":3280,"related":3283,"readMore":-1,"target":3284,"hasArticle":2660},"Фиче-флаги","Переключатели, которые включают и выключают функциональность из конфигурации, а не из релиза. Один бинарник ведёт себя по-разному для разных брендов, рынков и пользователей, а рискованную фичу можно погасить, не отправляя новую сборку на ревью.",[3278,1443,3279],"feature flags","feature toggle",[3281],{"kind":2683,"url":3282},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FFeature_toggle",[1373,2899,2999],"\u002Fglossary#feature-flags",{"slug":3286,"term":3287,"definition":3288,"category":2707,"aliases":3289,"links":3293,"related":3296,"readMore":-1,"target":3297,"hasArticle":2660},"floating-point","Числа с плавающей точкой","Двоичный формат IEEE 754, стоящий за double и float. Он не хранит 0.1 точно, поэтому 0.1 + 0.2 даёт 0.30000000000000004 — незаметно в графике и фатально в деньгах, которым место в целых минорных единицах или в decimal-типе.",[3290,3291,3292],"IEEE 754","double","плавающая запятая",[3294],{"kind":2683,"url":3295},"https:\u002F\u002Fen.wikipedia.org\u002Fwiki\u002FIEEE_754",[],"\u002Fglossary#floating-point"]