L'installation de fichiers APK sur Android a toujours été l'une des caractéristiques emblématiques du système. Contrairement au modèle fermé d'iOS, la possibilité pour les utilisateurs de télécharger un fichier APK depuis un site web et de l'installer eux-mêmes était une liberté très appréciée. La situation évolue : Google a lancé un système de vérification des développeurs qui renforce les restrictions liées à l'installation d'applications hors du système et qui est déjà en cours de déploiement dans plusieurs pays.
La première phase a été lancée le 30 septembre au Brésil, en Indonésie, à Singapour et en Thaïlande. Cependant, son impact a été moindre que prévu : l’entreprise a revu sa portée initiale à la baisse et limité son contrôle aux applications distribuées via une liste spécifique de plateformes de téléchargement. L’Espagne ne faisant pas partie des marchés concernés par cette première vague, les utilisateurs espagnols ne constateront, pour l’instant, aucun changement dans leur quotidien.
Qu'est-ce qui change avec la vérification des développeurs ?
Le nouveau programme associe le nom de package et la clé de signature de chaque application à l'identité de son développeur. Pour qu'une application soit enregistrée, son créateur doit vérifier son identité et prouver qu'il contrôle le fichier APK à l'aide d'une clé privée. Si le développeur n'est pas vérifié et que l'application ne provient pas d'une boutique autorisée, le système bloque l'installation.
Google justifie cette mesure par des raisons de sécurité. Selon son analyse, les applications installées en dehors de Google Play sont plus susceptibles de contenir des logiciels malveillants que celles distribuées via la boutique officielle. L'objectif est de limiter l'anonymat des acteurs malveillants qui publient des APK modifiés. Malgré cela, la communauté craint que cette mesure n'affecte également les projets légitimes et que l'installation d'APK ne devienne un processus complexe.
Le déploiement initial a semé la confusion. Bien qu'il ait été question d'un blocage général des fichiers APK tiers, la vérification ne concerne pour l'instant que les applications provenant de sept boutiques d'applications participantes. Les téléchargements directs depuis des sites web sont exclus de cette phase , de même que les installations via ADB ou depuis des boutiques d'applications non répertoriées. Google maintient toutefois son calendrier : un déploiement mondial est prévu pour 2027.
Magasins agréés et périmètre initial
Les sept plateformes incluses dans le programme sont Google Play, Samsung Galaxy Store, Xiaomi GetApps, HONOR App Market, OPPO App Market, vivo V-Appstore et Transsion Palm Store. Si une application est distribuée via l'une de ces plateformes et que son développeur est enregistré, la procédure d'installation reste inchangée. L'utilisateur ne devrait avoir aucune étape supplémentaire à effectuer.
Le déploiement initial est limité aux appareils certifiés Android 7 ou version ultérieure et concerne les téléphones et tablettes des quatre pays pilotes. L'Espagne et le reste de l'Europe n'en font pas partie . La mesure ne s'applique pas non plus, pour le moment, aux fichiers APK téléchargés directement depuis un site web, ni aux boutiques d'applications non incluses dans le programme pilote. De ce fait, de nombreux utilisateurs ont le sentiment que le déploiement a été lent.
La liste des plateformes autorisées n'est pas arbitraire. Google souhaite que les boutiques des fabricants conservent leurs propres procédures de vérification et que celles-ci ne dépendent pas uniquement du Play Store. L'entreprise a réaffirmé qu'elle n'entend pas supprimer complètement l'installation d'applications hors du Play Store , mais plutôt renforcer les contrôles afin de réduire les risques liés aux logiciels malveillants.
Procédure avancée d'installation d'APK non vérifiés
Lorsque la restriction sera appliquée à un fichier APK non vérifié, l'utilisateur devra suivre une procédure beaucoup plus longue qu'actuellement. Il devra d'abord activer les options pour les développeurs et cocher la case relative aux applications non vérifiées. Le système affichera ensuite un avertissement pour confirmer qu'aucune pression n'est exercée sur l'utilisateur. Enfin, il sera nécessaire de redémarrer le téléphone et d'attendre 24 heures.
Une fois ce délai écoulé, l'application peut être installée à l'aide d'une empreinte digitale ou d'un code PIN. L'utilisateur peut alors choisir d'accorder une autorisation temporaire de sept jours ou de la conserver indéfiniment. ADB, l'outil de débogage USB, continue de fonctionner sans modification et permet d'installer des fichiers APK sur les PC et appareils sans redémarrage ni attente. Pour de nombreux utilisateurs avancés, cette méthode reste la plus pratique.
La communauté a également exploré d'autres solutions, comme l'utilisation d'outils exploitant le débogage en temps réel ou l'accès root. Les appareils rootés et les ROM Android sans services Google permettent de contourner certains de ces obstacles , mais ces options sont déconseillées à l'utilisateur lambda. Par conséquent, cette mesure ne constitue pas un arrêt complet, même si elle engendre des difficultés supplémentaires.
Impact sur F-Droid, GitHub et les applications modifiées
L'un des effets secondaires les plus discutés concerne l'impact sur les dépôts de logiciels libres. Les projets hébergés sur GitHub ou distribués par F-Droid peuvent être affectés négativement, car la modification d'un fichier APK en modifie la signature. Android peut alors le catégoriser comme non vérifié , même s'il s'agit d'une application légitime auditée par la communauté. Cela compromet la viabilité de nombreux outils libres.
F-Droid est l'un des noms les plus fréquemment cités dans ce débat. La communauté craint que le processus de vérification n'exclue des applications légitimes non disponibles sur les plateformes de téléchargement officielles. Lorsqu'un fichier APK est mis à jour ou modifié, sa signature change et le système risque de le considérer comme non vérifié. Cela ne signifie pas que F-Droid cessera de fonctionner du jour au lendemain , mais cela ajoute une incertitude quant à l'avenir des logiciels libres et des développeurs indépendants.
En Europe, la loi sur les marchés numériques a encouragé le recours aux plateformes de distribution alternatives et aux services de paiement tiers. Cependant, les politiques de Google imposent des exigences qui peuvent aller à l'encontre de cette philosophie. Pour les défenseurs du logiciel libre, l'équilibre entre sécurité et ouverture est de plus en plus délicat. Il ne s'agit pas seulement de prévenir les logiciels malveillants, mais aussi de veiller à ce que les alternatives légitimes ne soient pas entravées par des mesures conçues pour les acteurs malveillants.
Ce que les utilisateurs peuvent faire et ce qui est attendu d'ici 2027
Pour ceux qui installent régulièrement des fichiers APK, le conseil est de rester calme : en Espagne et dans la majeure partie de l’Europe, la première phase demeure inchangée. Les téléchargements directs et les boutiques d’applications non participantes continuent de fonctionner comme auparavant . Toutefois, il est conseillé de suivre les mises à jour de Google et les changements sur les boutiques d’applications des fabricants, car le programme sera étendu.
Google prévoit d'étendre ses protections de vérification à l'échelle mondiale d'ici 2027. Bien qu'aucune date précise n'ait été fixée, l'objectif est que tous les téléphones Android certifiés soient à terme conformes à ces règles. La date d'expiration de l'installateur classique approche , ce qui aura des répercussions sur les utilisateurs et les développeurs indépendants.
Parallèlement, des méthodes alternatives comme ADB resteront indispensables pour beaucoup. Certains utilisateurs choisiront de ne pas mettre à jour leur système ou d'utiliser des appareils avec des ROM personnalisées. L'installation d'APK ne disparaîtra pas, mais elle ne se limite plus à une simple activation ; elle devient un processus plus complexe et soumis à davantage de contrôles.
Le paysage de l'installation des fichiers APK sur Android est en pleine mutation. Google a commencé à exiger une vérification par les développeurs dans quatre pays pilotes, mais pour l'instant, cette mesure se limite à sept boutiques d'applications et exclut les téléchargements directs ainsi que l'Espagne. Ce processus avancé, impliquant un redémarrage et une attente de 24 heures, sera mis en œuvre lorsque le blocage concernera les fichiers APK non vérifiés. ADB et d'autres méthodes techniques restent toutefois accessibles. Le déploiement mondial prévu d'ici 2027 et son impact sur F-Droid, GitHub et les logiciels libres alimentent un débat complexe sur la sécurité, le contrôle et la liberté au sein de l'écosystème Android.
