L'esposizione lato client è il rischio che i dati inviati al dispositivo di un utente possano essere ispezionati, estratti o riutilizzati al di fuori del controllo dello sviluppatore. Nelle app mobili, ciò spesso significa chiavi API, token, valori di configurazione o logica di business distribuiti all'interno di un APK, di un bundle JavaScript o di un altro pacchetto client. Una volta che il file si trova sul dispositivo, un attaccante può decomprimerlo, leggere le risorse e cercare materiale sensibile senza violare il backend.
Questo è importante perché tutto ciò che è incorporato nel codice client dovrebbe essere considerato recuperabile, non segreto. Le credenziali esposte possono consentire accesso non autorizzato alle API, abuso del backend o ulteriori attività di ricognizione se restano valide. I difensori riducono il rischio mantenendo i segreti lato server, usando token a breve durata, limitando i privilegi del client e analizzando gli artefatti di build prima del rilascio. Gli attaccanti usano le stesse tecniche al contrario: analisi statica e scansione automatizzata dei segreti per estrarre da un gran numero di app credenziali riutilizzabili.