質問: Charlesを使うとhttpsであろうとリクエストの内容が覗けてしまうという記事を読みました。 ATSの設定はしてあるのですが、それでも覗けてしまうものでしょうか? そうであれば対策できる方法があればご教授いただければ幸いです。
回答: インフラ的な視点で回答します。 charlesは、端末(iPhoneなど)・ブラウザを代行して、 プロキシがSSLの複合・暗号化をする、というものです。 これは、一般的なプロキシでも同様の動作をすることができるため、 原則対策はありません。 このため、アプリケーション側ではキャプチャされても 可読できない情報とする、ワンタイムパスワードのような乱数と文字列を結合して 画面遷移をキャプチャしても再現できないようにするなどの工夫を行って、回避する形になろうかとおもいます。