Білий дім випустив найкрінжовіший застосунок року: він зроблений на WordPress, має кнопку доносу до ICE і код випадкового розробника з GitHub — Image: Android Authority

Адміністрація Трампа випустила офіційний застосунок в App Store і Google Play Store. Завантажити його можна вже сьогодні в iOS або Android, але будьте готові: кількість багів та крінжу в ньому б’є всі можливі рекорди.

Білий дім оголосив про це у прес-релізі в п’ятницю, 27 березня, зазначивши, що застосунок “пропонує американцям прямий зв’язок із Білим домом”. Офіційно він включає прес-релізи, фотогалереї, прямі трансляції та кілька несподіваних функцій — зокрема можливість написати SMS президенту Трампу й повідомити про когось до Служби імміграції та митного контролю (ICE).

Перша версія застосунку Білого дому має номер 47.0.1 — очевидний натяк на те, що Дональд Трамп є 47-м президентом Сполучених Штатів. У застосунку також є функція “Text President Trump” (“Написати президенту Трампу“), яка після натискання формує повідомлення з текстом “Greatest President Ever!” (“Найвеличніший президент усіх часів!”) у полі введення.

Згідно з адміністрацією, застосунок Білого дому пропонує такі функції:

Отримувати термінові новинні сповіщення про важливі оголошення, виконавчі дії та ключові пріоритети.
Дивитися прямі трансляції брифінгів, промов та історичних подій у режимі реального часу.
Переглядати динамічну медіатеку, наповнену відеозаписами ключових моментів.
Стежити за останніми досягненнями у сфері політики.
Надсилати свою думку та зворотний зв’язок безпосередньо адміністрації.

Цим загалом і вичерпується зміст застосунку — головна сторінка відображає фото президента Трампа з підписом “America Is Back” (“Америка повернулась”). Головна сторінка містить вкладки, присвячені “Пріоритетам” і “Досягненням” президента Трампа, а також розділи “Доступність”, “Інвестиційний бум”, “TrumpRx”, “Рахунки Трампа” і “Кордон”.

Встановлювати застосунок Білого дому немає особливого сенсу — незалежно від ставлення до адміністрації Трампа. Застосунок є агрегатором новин і медіаконтенту, розміщеного на інших сайтах, а також просто оболонкою для офіційного сайту whitehоuse.gov. Втім, Білий дім стверджує, що застосунок “забезпечує неперевершений доступ до адміністрації Трампа” — попри те, що весь його контент і так доступний деінде.

Натискання на контент на сторінці “News” відкриває статті у вбудованому браузері застосунку, а перехід на сторінку “Live” показує вбудовані відео з YouTube. Аналогічно сторінка “Social” агрегує контент із X, TikTok, Instagram, Facebook, YouTube, LinkedIn, Truth Social та RSS-стрічок. Саме цей розділ є найбільш проблемним: під час прокручування стрічки “Social” спостерігаються постійні підвисання та слабка відгукуваність.

Натискання кнопки “Get in Touch” (“Зв’язатися”) на цій сторінці відкриває “Гарячу лінію ICE”, яку застосунок пояснює як спосіб “повідомляти про підозрілих до Служби імміграції та митного контролю США, щоб підтримувати безпеку в громадах”.

Єдина сторінка, на якій, схоже, розміщений контент, що зберігається безпосередньо в застосунку Білого дому, — це “Gallery” (“Галерея”) з офіційними фотографіями адміністрації. Втім, навіть ці фото доступні на офіційному сайті Білого дому. Іншими словами, весь вміст додатку вже є на сайті Білого дому та інших соціальних платформах — і працює там без багів.

Але найбільші сюрпризи виявила технічна частинка застосунку, якщо розібрати його по коду. Розробник під ніком Thereallo декомпілював APK і виявив, що офіційний урядовий додаток США вбудовує JavaScript у кожен сайт, який ви відкриваєте через вбудований браузер — щоб приховати cookie-банери, GDPR-попередження, форми входу та навіть пейволи. Тобто офіційний застосунок Білого дому технічно є інструментом для обходу захисту авторських сайтів.

З GPS-стеженням ситуація ще цікавіша. У застосунку виявлено повноцінний пайплайн геолокаційного відстеження від OneSignal, який фіксує координати кожні 4,5 хвилини у фоновому режимі та кожні 9,5 хвилин у режимі сну, синхронізуючи широту, довготу, точність і часову мітку на сторонні сервери.

При цьому в конфізі Expo є плагін withNoLocation, який нібито мав вимкнути геолокацію — але нативний код відстеження OneSignal повністю скомпільований у APK. Простіше кажучи: вимикач є, але він ні на що не впливає.

Окремий розділ сорому — архітектура застосунку. Для відтворення YouTube-відео застосунок завантажує JavaScript із особистої GitHub Pages сторінки якогось розробника — lonelycpp.github.io. Якщо цей акаунт зламають, будь-який код може виконатися всередині WebView кожного користувача. Тобто безпека офіційного застосунку уряду США залежить від того, чи не зламають особистий GitHub якогось незнайомця.

Також застосунок завантажує сторонній JavaScript від Elfsight для соціальних віджетів — без жодного фільтрування. Один із дослідників прямо написав у своєму аналізі, що першокурсник-програміст зробив би краще, і поставив публічне запитання до CISA — федерального агентства з кібербезпеки США: де була перевірка безпеки перед публікацією?

Сам застосунок, за даними коду, побудований компанією під назвою “forty-five-press” на React Native з бекендом на WordPress. Так, офіційний застосунок Білого дому працює на WordPress.

І вишенька на торті: анонсували застосунок із серією загадкових публікацій у соцмережах із глічованим екраном і пікселізованими фото Трампа — адміністрація цілими днями відмовлялась пояснювати, що саме вони рекламують. Коли нарешті прийшло офіційне оголошення — виявилося, що це просто безплатний застосунок. А стрічка Truth Social у розділі Social, за даними тестувальників, ще й показує рекламу.