Pular para o conteúdo principal

Quickstart Android

1. Crie a política​

Na raiz do repositório (ou na pasta acima do módulo do app):

npx moatgator init --package com.acme.pay

Se o seu applicationId está em app/build.gradle(.kts), o init o detecta e você pode dispensar o --package. O arquivo gerado começa em modo monitorar:

moatgator.yml
version: 1
extends: moatgator:recommended
app:
  android:
    package: com.acme.pay
runtime:
  root: monitor
  emulator: monitor
  debugger: monitor
  hooking: monitor
  tamper: monitor
  overlay: monitor
  a11y: monitor
  capture: monitor
  remote_access: monitor

Confira quando quiser: npx moatgator validate mostra a linha e a coluna de cada problema.

2. Compile e analise​

./gradlew bundleRelease
npx moatgator scan app/build/outputs/bundle/release/app-release.aab --min-grade C

O scan não precisa de login. Ele termina com código 4 se a nota for pior que o --min-grade.

3. Registre o build​

export MOATGATOR_API_KEY=mg_live_...   # escopos: builds:write, builds:read
npx moatgator protect app/build/outputs/bundle/release/app-release.aab --app-version 3.4.1

No CI, use OIDC (GitHub Actions) ou guarde a chave como uma variável de CI mascarada. Nunca a faça commit.

Notas​

  • AAB ou APK: os dois são aceitos; o AAB é o que você envia para o Google Play.
  • A assinatura continua com você. A Moatgator nunca pede o seu keystore.
  • Vários módulos: aponte o --app-version e o artefato para o módulo do app (:app), não para as bibliotecas.
  • Próximo passo: escolha um guia de CI e depois aperte as detecções uma de cada vez (monitor → warn → block), lendo os eventos entre um passo e outro. Veja as detecções.