Se debe implementar el uso de OAuth para obtener información de pagos, acceder a los datos de la persona usuaria o ejecutar operaciones sobre la cuenta del vendedor, como cobros o devoluciones.

En la configuración de la aplicación, se debe definir el nivel mínimo de API (minSdkVersion) en función del sistema operativo de la terminal que se utilizará.

• Point Smart A910 usa Android 6 - API level mínimo: 23
• Point Smart N950 usa Android 12 - API level mínimo: 31

Los terminals Point utilizan un sistema operativo basado en AOSP (Android Open Source Project), lo que significa que no incluyen servicios de Google y Firebase de forma predeterminada. Para verificar qué servicios están disponibles en estos dispositivos, consulta la documentación oficial de Firebase.

Al construir la aplicación, se recomienda utilizar librerías en sus versiones más recientes y con soporte activo, a fin de reducir la exposición a vulnerabilidades conocidas.

Para evaluar la seguridad de las dependencias, se sugiere emplear herramientas especializadas como Snyk o SonaType, que permiten identificar riesgos a partir de bases de datos públicas de vulnerabilidades (como el NVD o CVE Details) y ofrecen recomendaciones para corregirlas o actualizarlas.

Las funcionalidades asociadas al flujo de cobro (como la lectura y procesamiento de tarjetas, impresión de comprobantes, uso de Bluetooth y acceso a la cámara para escaneo de códigos de barras o QR) deben ser invocadas exclusivamente a través del SDK de Mercado Pago y no mediante el uso directo de permisos declarados en el archivo AndroidManifest.

Para permitir que la aplicación se conecte a servicios en línea y utilice funcionalidades básicas de la terminal, se autorizan únicamente los siguientes permisos:

• android.permission.ACCESS_COARSE_LOCATION
• android.permission.ACCESS_FINE_LOCATION
• android.permission.ACCESS_NETWORK_STATE
• android.permission.FLASHLIGHT
• android.permission.FOREGROUND_SERVICE
• android.permission.INTERNET
• android.permission.POST_NOTIFICATIONS
• android.permission.RECEIVE_BOOT_COMPLETED
• android.permission.SCHEDULE_EXACT_ALARM
• android.permission.VIBRATE
• android.permission.WAKE_LOCK

Por otra parte, y conforme a las políticas de seguridad, existen permisos que no están admitidos, como por ejemplo:

• android.permission.ACCESS_GPS
• android.permission.ACCESS_INSTANT_APPS
• android.permission.ACCESS_LOCATION
• android.permission.ACCESS_WEBVIEW
• android.permission.ACCESS_WIFI_STATE
• android.permission.BIND_ACCESSIBILITY_SERVICE
• android.permission.BLUETOOTH
• android.permission.BLUETOOTH_ADMIN
• android.permission.BLUETOOTH_ADVERTISE
• android.permission.BLUETOOTH_CONNECT
• android.permission.BLUETOOTH_PRIVILEGED
• android.permission.BLUETOOTH_SCAN
• android.permission.BROADCAST_STICKY
• android.permission.CHANGE_NETWORK_STATE
• android.permission.CHANGE_WIFI_STATE
• android.permission.CLOUDPOS_PRINTER
• android.permission.DELETE_PACKAGES
• android.permission.DEVICE_POWER
• android.permission.DISABLE_KEYGUARD
• android.permission.DISABLE_STATUS_BAR
• android.permission.DOWNLOAD_WITHOUT_NOTIFICATION
• android.permission.DUMP
• android.permission.EXPAND_STATUS_BAR
• android.permission.FOREGROUND_SERVICE_DATA_SYNC
• android.permission.GET_ACCOUNTS
• android.permission.GET_TASKS
• android.permission.INSTALL_PACKAGES
• android.permission.INSTALL_SHORTCUT
• android.permission.INTERACT_ACROSS_USERS_FULL
• android.permission.KILL_BACKGROUND_PROCESSES
• android.permission.MANAGE_EXTERNAL_STORAGE
• android.permission.MANAGE_NEWLAND
• android.permission.MANAGE_NEWLAND_ICCARD
• android.permission.MANAGE_NEWLAND_PAYCOMMON
• android.permission.MANAGE_NEWLAND_PIN
• android.permission.MODIFY_AUDIO_SETTINGS
• android.permission.MODIFY_PHONE_STATE
• android.permission.MOUNT_UNMOUNT_FILESYSTEMS
• android.permission.NEARBY_WIFI_DEVICES
• android.permission.NFC
• android.permission.QUERY_ALL_PACKAGES
• android.permission.READ_EXTERNAL_STORAGE
• android.permission.READ_LOGS
• android.permission.READ_PHONE_STATE
• android.permission.READ_PRIVILEGED_PHONE_STATE
• android.permission.READ_PROFILE
• android.permission.READ_SMS
• android.permission.READ_USER_DICTIONARY
• android.permission.REBOOT
• android.permission.RECORD_AUDIO
• android.permission.REORDER_TASKS
• android.permission.REQUEST_DELETE_PACKAGES
• android.permission.REQUEST_INSTALL_PACKAGES
• android.permission.SEND_SMS
• android.permission.SET_TIME
• android.permission.SET_TIME_ZONE
• android.permission.SET_WALLPAPER
• android.permission.SET_WALLPAPER_HINTS
• android.permission.SUNMI_RESET_APPS
• android.permission.SYSTEM_ALERT_WINDOW
• android.permission.USB_PERMISSION
• android.permission.USB_SET
• android.permission.USE_BIOMETRIC
• android.permission.USE_FINGERPRINT
• android.permission.USE_PERIPHERAL_IO
• android.permission.WRITE_APN_SETTINGS
• android.permission.WRITE_CALENDAR
• android.permission.WRITE_EXTERNAL_STORAGE
• android.permission.WRITE_OWNER_DATA
• android.permission.WRITE_SECURE_SETTINGS
• android.permission.WRITE_SETTINGS

Asimismo, se prohíbe el uso de permisos o librerías asociadas a integraciones de terceros, tales como:

• br.com.uol.pagseguro.*
• cielo.lio.permission.*
• com.getnet.*
• com.pax.*
• com.sunmi.*

En aquellos casos donde se requieran funcionalidades específicas para el negocio del integrador, el equipo de Mercado Pago evaluará la solicitud y/o propondrá alternativas de implementación que permitan el correcto funcionamiento de la aplicación sin comprometer la seguridad del entorno. Cada aplicación será analizada de forma particular durante el proceso de revisión.

• Uso de Webview.
• Uso de servicios de accesibilidad.
• Acceso a almacenamiento externo mediante tarjeta SD.
• Configuraciones de depuración habilitadas en el AndroidManifest, como allowBackup=true, testOnly=true, debuggable=true, entre otras.
• Uso de comunicaciones en texto claro o con la opción cleartextTrafficPermitted=true dentro del AndroidManifest.
• Dependencias de funcionalidades basadas en Google Play Services, las cuales no están disponibles en terminals con Android AOSP, como: Google Maps API, Calendar, autenticación con cuentas de Google, entre otras.
• Uso del puerto USB para transmisión de información.
• Inclusión de íconos de redes sociales dentro de la aplicación, con el fin de prevenir una navegación no autorizada a través de ellas.
• El package name debe cumplir con estas condiciones:
  • Solo caracteres alfanuméricos (a-z, A-Z, 0-9).
  • Separado por puntos (.).
  • Formato tipo dominio inverso: com.example.app.
  • Sin espacios, guiones u otros caracteres especiales.
• Lo que no está permitido en las aplicaciones:
  • Usar el nombre "Mercado Pago" o "Mercado Libre" en el nombre de la app o en el package name.
  • Mostrar logotipos de Mercado Pago, Mercado Libre o de competidores.
  • Contenido inapropiado (imágenes o palabras inadecuadas).

Se sugiere la implementación de las siguientes buenas prácticas durante la fase de desarrollo de la aplicación, con el objetivo de fortalecer su seguridad, minimizar riesgos asociados a la exposición de datos sensibles y evitar el compromiso del ecosistema de pago.

• Evitar incrustar credenciales o certificados en texto plano. En su lugar, considerar el uso de técnicas de ofuscación y protección de código.
• Evitar el uso de algoritmos criptográficos obsoletos como DES, RC4 o MD5. Utilizar en su lugar AES (mínimo 128 bits) para cifrado simétrico, SHA-256 o SHA-3 para funciones hash, y RSA (≥2048 bits) o ECDSA para cifrado y firmas digitales.
• Prevenir la exposición o transmisión insegura de información sensible de los usuarios finales. Evitar el uso de texto plano y asegurar que toda la comunicación se realice mediante canales cifrados, utilizando TLS con el fin de proteger la seguridad y privacidad de los datos.
• Para el almacenamiento de datos sensibles (como tokens de sesión), se recomienda utilizar Android Keystore en lugar de SQLite o SharedPreferences.
• Realizar análisis de seguridad utilizando herramientas como SAST, SCA, DAST e IAST, y complementar con modelado de amenazas, revisiones de código periódicas y pruebas de penetración.
• En dispositivos con conexión a internet mediante datos móviles, asegurar que la comunicación se establezca únicamente con backends legítimos.