I percorsi app-plus-API sono l'intera superficie di attacco creata da un'app mobile e dalle API backend che richiama. In pratica, una vulnerabilità può non risiedere solo nell'app o solo nel server, ma nel modo in cui lavorano insieme: autenticazione debole, gestione delle sessioni inadeguata, trasporto non sicuro, endpoint esposti o autorizzazione a livello di oggetto compromessa. I team di sicurezza studiano questo percorso perché un'app rafforzata può comunque essere compromessa se l'API si fida di input errati, e una API robusta può comunque essere abusata se il client perde token o rivela funzioni nascoste.
Questi percorsi sono importanti sia negli attacchi sia nelle difese. Gli aggressori spesso fanno reverse engineering dell'app, intercettano le richieste e poi inviano direttamente chiamate API costruite ad arte, aggirando l'interfaccia utente. I difensori testano l'app e l'API come un unico sistema, usando il threat modeling, l'ispezione runtime e la validazione delle API per individuare le lacune che i test a livello singolo non rilevano. Pensare in termini di percorsi app-plus-API aiuta i team a concentrarsi sui reali flussi degli utenti e sui dati esposti dietro di essi.