# Security Reactnative

> Security - React Native 0.85+ Best Practices. Use when reviewing security, implementing auth, or hardening code.

- Skill: `thebeardedbearsas/security-reactnative` (Agent Skill)
- Install (CLI): `npx skillmds@latest add thebeardedbearsas/security-reactnative`
- Raw SKILL.md: https://api.skillmd.com/api/skills/thebeardedbearsas/security-reactnative/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Web & Frontend
- Author: TheBeardedBearSAS (https://skillmd.com/u/thebeardedbearsas)
- Updated: 2026-09-10
- Page: https://skillmd.com/skills/thebeardedbearsas/security-reactnative

---


# Security - React Native 0.85+ Best Practices

Ce skill fournit les bonnes pratiques de sécurité pour React Native 0.85+ avec la New Architecture.

## Principes clés

- **Sécurité native** : Keychain (iOS) / Keystore (Android) pour les secrets sensibles (pas AsyncStorage)
- **HTTPS uniquement** : ATS (iOS) et Network Security Config (Android) strictes
- **JSI synchrone** : validation côté natif des appels TurboModules
- **Expo SecureStore** : abstraction sécurisée cross-platform pour les tokens

## Spécificités React Native 0.85+

- **TurboModules sécurisés** : validation des inputs côté natif avant traitement JSI
- **Bridge legacy supprimé** : pas de risques de sérialisation JSON vulnérable
- **Fabric** : rendu natif isolé du thread JS (limite les injections UI)
- **Hermes obligatoire** : bytecode natif (protection contre le reverse engineering du bundle JS)

## Anti-patterns critiques

- ❌ Stocker des tokens dans AsyncStorage (plaintext)
- ❌ HTTP non sécurisé en production
- ❌ Code PIN/biométrie sans SecureStore
- ❌ Deep links non validés (injection de navigation)
- ❌ WebView sans validation de l'origine

**Sources :** [OWASP Mobile Top 10](https://owasp.org/www-project-mobile-top-10/), [RN Security Best Practices](https://reactnative.dev/docs/security)