La recomendación principal es que te comuniques con tu servidor utilizando el protocolo HTTPS y no HTTP.
Ha habido mucho debate en Android sobre esto, pero lo cierto es que desde Android Marshmallow (API 23), que es de septiembre de 2015 la configuración por defecto cambió para no permitir las comunicaciones en texto claro vía HTTP.
Recuerda que los dispositivos móviles, por naturaleza, se conectan a redes hostiles y el tráfico en texto plano, de entrada, sería visible para quienes estén en dichas redes, y esto podría terminar haciendo tu aplicación más vulnerable.1
Si después de dicho esto, aún quieres comunicarte vía HTTP, puedes seguir los siguientes pasos:
Prepara un archivo network_security_config.xml
, según las especificaciones. El archivo debiera lucir más o menos como el ejemplo siguiente:
<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
<domain-config cleartextTrafficPermitted="true">
<domain includeSubdomains="true">midominio.com</domain>
</domain-config>
</network-security-config>
Otro ejemplo de archivo es este:
<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
<base-config cleartextTrafficPermitted="false">
<trust-anchors>
<certificates src="system" />
</trust-anchors>
</base-config>
<domain-config cleartextTrafficPermitted="true">
<domain includeSubdomains="true">midominio.com</domain>
<domain includeSubdomains="true">190.14.17.54</domain>
</domain-config>
</network-security-config>
Asegúrate de incluir el atributo cleartextTrafficPermitted
y trata de limitar los subdominios, si es posible. Es mejor permitir directamente, por ejemplo, a api.midominio.com
o miapp.midominino.com
que permitir todos los subdominios de midominio.com
. En el caso de IP's, solo puedes poner IP's específicas y, hasta donde entiendo, no rangos de IP's.
Agrega el archivo a la lista de archivos que se incluyen en la distribución de la aplicación en Android (Deploy), asegurándote que la ruta remota sea res\xml\
, según se muestra en la imagen.

Modifica el archivo AndroidManifest.template.xml
de tu proyecto, agregando al nodo <application>
la línea:
android:networkSecurityConfig="@xml/network_security_config"
A estas alturas, puedes compilar y desplegar el proyecto en el dispositivo Android.
Puedes hacer el Codelab de configuración de seguridad de red de Android para familiarizarte más con estos conceptos, aunque está diseñado para hacerlo en Android Studio, la plataforma de destino es la misma.
Documentación y referencias:
Aviso: Escribo esta respuesta con el afán de ayudar, no doy garantía sobre el código o las instrucciones en sus versiones iniciales, pues en lo personal solo uso comunicación vía HTTPS. Si hay algún error, por favor deja un comentario y así espero lleguemos a un procedimiento bien descrito y aplicable.
1: Sobra decir que yo apoyo el razonamiento que llevó a cambiar esta configuración default.