Un'app-in-app è un'applicazione incorporata che esegue all'interno di un'altra piattaforma, come un assistente chat, un'app di messaggistica o un marketplace. Invece di indirizzare l'utente a un sito web separato, la piattaforma ospitante rende un flusso di lavoro più piccolo per la navigazione, la prenotazione, l'ordine o il pagamento all'interno della propria interfaccia.
Nella sicurezza informatica, questo è importante perché la piattaforma ospitante controlla il contenitore, le autorizzazioni e spesso il percorso dei dati. Ciò crea una superficie di attacco più ampia: contenuti incorporati malevoli, controlli API deboli o istruzioni iniettate possono influenzare i ranking, i moduli o le azioni che modificano lo stato. I difensori dovrebbero considerare l'app incorporata non affidabile finché non viene verificata, usare autorizzazioni con il minimo privilegio, convalidare ogni richiesta strutturata, isolare i contenuti esterni e richiedere una conferma esplicita per gli acquisti o altre azioni sensibili.