Which practice improves API security?

Đáp án đúng: "Using HTTPS". HTTPS là HTTP chạy trên TLS: dữ liệu giữa ứng dụng và máy chủ được mã hoá và máy chủ được xác minh bằng chứng chỉ, nên token, mật khẩu hay dữ liệu cá nhân không bị nghe lén hay sửa giữa đường trên mạng Wi-Fi công cộng; Android từ bản 9 còn chặn HTTP thường theo mặc định. "Hardcoding keys" sai vì nhúng khoá API thẳng vào mã khiến ai giải nén APK cũng lấy được; khoá nên giữ phía máy chủ hoặc nạp qua cấu hình an toàn. "Ignoring errors" sai vì bỏ qua lỗi như 401 hay lỗi chứng chỉ có thể để ứng dụng tiếp tục với phiên không hợp lệ và che giấu tấn công. "Using globals" sai vì biến toàn cục chứa token dễ bị truy cập và sửa từ bất kỳ đâu trong mã, làm khó kiểm soát; đó là thói quen xấu chứ không tăng bảo mật.