Вот это стабильность!
Мёртвое умереть не может

Зато можно у работодателя просить больше денег на то, что бы изобретать велосипед путём переписывания библиотек от 3-его питона на 2.7.

Граждане, я на третьей работе подряд сталкиваюсь с тем, что люди пытаются защитить свою апишку, чтобы туда могли ходить только их собственные мобильные приложения, и у них не получается. Обычно все сводится к какому-то секрету, который хранится где-то в кейчейне или еще какой-то такой приблуде на андроиде, и с помощью него каким-то образом подписывается запрос. Это не помогает.

Может вы знаете какие-то материалы/книжки/success story про это?

а стоит ли оно того?

Изобретать свой программный аутентификатор внутри мобильного ПО и на сервере для доступа к API?

это не фига не дешёвая разработка с точки зрения архитектуры, времени и ресурсов )

Идея как это сделать колобродит по калуарам уже лет пять)

Почему не помогает? Хацкеры вытаскивают секретный ключ?

ну каким-то образом они начинают присылать подписанные запросы, да

овнеры говорят надо, а я просто разработчик, мне такое спрашивать не положено )

Я не знаю как хранить секреты на Андроиде, но копать надо в эту сторону. Плюс делать механизм черного списка. В каждом релизе приложения должен быть свой секрет. Как только есть понимание что его украли, то блочить.

Как делали 20 лет назад я могу рассказать, но это все относительно легко ломалось..

а как со старыми версиями ПО тогда поступать? терять клиентов?
тогда должен быть механизм обновления этого ключа с сервера, а тогда его кулхацкеры также могут вскрыть.

Пришло в голову, что это должно быть что-то связанное с отпечатком пальца

а jwt не катит? там можно хоть на каждый новый запрос токен рефрешить вроде

А как понять, что рефреш просит не хацкер?

Принудительный бан версии клиента и алерт юзеру от этого клиента, что надо бы обновиться - это вообще самое первое что должно быть реализовано в клиенте.

а бизнес с этим мириться будет?

не будет )

Пускай выбирает с чем ему мириться - с принудительным обновлением клиентов, или с "утечной" доступа к API.