Foro de elhacker.net

Hola buenas a todos,
Queria saber si alguien puede darme unas pequeñas pautas a seguir con respecto a un tema que me trae inquieto, y bien, muchos sabemos de la existencia de app que hacen uso de apis como twitter, instagram, etc.. para gestionar cuentas, es decir, te descargas la app, introduces tu contraseña y te muestra tus seguidores, te deja borrarlos, etc..
Pero la cosa es que para esto necesitas una cuenta de desarrollador y unos token que se obtienen de la web oficial, y que no debes compartir con nadie(¿Que riegos entraña que alguien los consiga?), la pregunta del millon es, en aplicaciones web como usa php no hay problema puesto que todo esta en tu sevidor, pero en una plicacion de escritorio o una app para android, esas claves iran en la app y solo es cuestion de tiempo que le hagan ingenieria inversa a tu apk y las encuentren, no?
Cuando desarrollas una app similar a lo que he comentado, como va el tema de las claves?
No necesito grandes explicaciones, solo que alguien me diga por donde van los tiros.
Gracias.

las api key nunca deben estar en tu app, deben estar en el servidor... si las obtienen, obtienen acceso a tu twitter (no contraseña, pero si manipulación), en tal caso los usuarios deben usar es oauth para hacer su conexión