因数据安全表单加密声明不符及IP未用HTTPS遭Google Play拒审

核心问题分析 #

Google Play的检测会扫描所有出站网络请求，哪怕应用整体使用域名走HTTPS，只要存在直接调用服务器IP的HTTP请求（无论是否是测试残留、第三方SDK隐式发起），都会被判定为未加密传输用户数据，触发声明不符的拒审。

具体修复步骤 #

• 排查HTTP请求来源
  1. 检查应用代码中是否存在硬编码的http://xx.xx.xx.xx请求，包括测试调试代码、接口配置片段
  2. 用Charles、Wireshark等抓包工具全量监控应用运行时的网络请求，确认是否有第三方SDK或依赖库发起的隐式IP请求
• 为服务器IP配置HTTPS
  1. 为目标IP地址申请SSL证书（主流云服务商、Let's Encrypt均支持IP型证书申请）
  2. 在服务器的Nginx/Apache等Web服务中配置IP地址的HTTPS监听（443端口）
  3. 将所有指向该IP的HTTP请求替换为https://xx.xx.xx.xx
• 更新表单并重新提交
  1. 确认所有用户数据传输均通过HTTPS（含IP地址的请求）后，重新核对数据安全表单的加密声明
  2. 提交审核时在备注中明确说明已修复IP地址的未加密传输问题，可附上修复后的请求验证截图辅助审核

额外注意事项 #

• 尽量避免在代码中直接使用IP发起请求，优先绑定域名并使用HTTPS，后续证书维护更便捷
• 检查第三方SDK的网络逻辑，部分SDK可能在特定场景下回退到HTTP，需更新SDK版本或配置强制HTTPS
• 提交前用Google Play预发布报告再次扫描应用，确认无未加密流量残留

内容的提问来源于stack exchange，提问作者rj joshi