кстати.
в моем случае вся "эффективная работа" работа идет вообще не с приложением контакта, а исключительно с сервером приложения.
Т.е. если бы я умел формировать sig, то смог бы вообще минуя сервера контакта достигать в нем (контакте) поставленных перед собой задач.
И куков там, естественно, никаких нет. Только sig. И зная этот sig я мог бы, насколько я понимаю, представляться приложению любым юзером, каким бы пожелал... кхм.

вообще странная система какая-то.
но если вы, ребята, так уверены, что secret_api действительно реально выдернуть из флешки....
возможно я попробую)

Защищенное взаимодействие обеспечивает безопасность транзакций с голосами, отсылки оповещений и обновления статусов. Стандартное взаимодействие в этих случаях невозможно: безопасность при участии клиентской стороны обеспечить невозможно, так как любой клиентский SWF-код декомпилируется.