Depuis des années, glisser un fichier APK récupéré sur un forum ou un site spécialisé pour l’installer directement sur son Android faisait partie du folklore de ce système d’exploitation. Cette liberté touche à sa fin : Google a confirmé la mise en place d’une vérification obligatoire de l’identité des développeurs, y compris pour ceux qui distribuent leurs applications en dehors du Play Store, et le calendrier de déploiement est désormais connu avec précision.
À retenir
- Google déploie une vérification obligatoire des développeurs même hors Play Store, mais quand exactement cela vous affectera-t-il ?
- Un processus de 24 heures pour installer une appli non vérifiée : est-ce une protection ou une entrave ?
- Les développeurs open source et les régimes autoritaires se révoltent : pourquoi cette mesure divise autant ?
Un calendrier qui se précise mois après mois
L’annonce initiale remonte à août 2025, mais c’est tout au long de l’année qui a suivi que Google a affiné les modalités. Google introduit une vérification obligatoire des développeurs pour toutes les applications installées sur des appareils certifiés, y compris celles distribuées en dehors du Google Play Store, un changement qui vise à rendre significativement plus difficile la diffusion de logiciels malveillants par des acteurs récidivistes. Les invitations à ce programme ont commencé à être envoyées début novembre 2025. Les invitations à ce programme de vérification sont envoyées depuis le 3 novembre aux développeurs distribuant leurs applications exclusivement hors Play Store, ceux déjà présents sur la boutique officielle étant contactés à partir du 25 novembre.
La bascule concrète, elle, se joue sur la fin de l’année 2026. Les exigences entrent en vigueur pour la première fois en septembre 2026 au Brésil, en Indonésie, à Singapour et en Thaïlande, des marchés spécifiquement choisis parce qu’ils connaissent des taux plus élevés d’arnaques applicatives frauduleuses. Une généralisation planétaire suivra ensuite de façon échelonnée. Une généralisation à l’échelle mondiale est planifiée progressivement à partir de 2027. si vous vivez en France, le couperet ne tombe pas immédiatement, mais le mouvement est engagé et il ne fera que s’étendre.
Pourquoi Google serre ainsi la vis
L’argument avancé par la firme de Mountain View tient en une statistique qui donne le vertige. L’analyse de Google des schémas de menaces récents a révélé plus de cinquante fois plus de malwares présents dans les applications téléchargées depuis internet que dans celles disponibles sur Google Play. Un chiffre qui, s’il est confirmé, justifie à lui seul la volonté de mettre fin à l’anonymat total dont bénéficiaient certains créateurs d’applications douteuses.
Le principe retenu est simple sur le papier : pour diffuser une application sur des appareils Android certifiés, il faudra pouvoir rattacher cette app à un développeur dont l’identité a été vérifiée. Concrètement, un développeur qui veut que son application reste installable devra fournir une pièce d’identité et des clés de signature. Les développeurs vérifiés, ceux qui ont fourni une pièce d’identité, des clés de signature et payé des frais de 25 dollars, ne déclencheront pas ce processus pour les utilisateurs. Pour les amateurs et étudiants qui bricolent des projets sans ambition commerciale, une voie plus légère existe : Google déploie également des comptes de distribution limitée gratuits qui permettent de partager des applications sur un maximum de 20 appareils.
Ce qui va concrètement changer sur votre téléphone
Rassurez-vous tout de suite : le sideloading ne disparaît pas purement et simplement. Mais il devient nettement plus dissuasif pour qui n’a pas l’habitude de bidouiller son téléphone. Google a détaillé un nouveau parcours baptisé « Advanced Flow », qui permettra aux utilisateurs avertis d’installer des applications provenant de développeurs non vérifiés et devrait protéger ceux les moins expérimentés. La procédure est volontairement pensée pour décourager les manipulations frauduleuses, celles où un escroc au téléphone pousse sa victime à installer une fausse appli bancaire par exemple.
Le déroulé ressemble à un vrai parcours d’obstacles. Il débute par l’activation du mode développeur, suivie d’une vérification explicite, puis l’utilisateur doit redémarrer son smartphone, une action simple pour couper toute communication ou accès à distance qu’un acteur malveillant pourrait exploiter. À cela s’ajoute un délai d’attente volontaire avant que l’installation ne soit débloquée. Google impose une attente de 24 heures pour des applications non vérifiées. De quoi laisser le temps à la victime potentielle d’une arnaque de reprendre ses esprits, ou de raccrocher au nez de son interlocuteur malveillant.
Ce mécanisme sera disponible avant même l’entrée en vigueur de l’obligation. Le système de flux avancé se lance en août 2026 pour toutes les versions d’Android via les services Google Play, arrivant stratégiquement avant le début de l’application des exigences de vérification, ce qui laisse le temps aux utilisateurs de comprendre et de s’adapter au nouveau système. Techniquement, l’exécution du blocage repose sur un nouveau composant système. Google introduit un système d’application dédié appelé Android Developer Verifier pour appliquer ces restrictions, plutôt que d’utiliser le service Play Protect existant qui gère actuellement les fonctions de sécurité sur tous les appareils Android certifiés.
Pour les bricoleurs les plus chevronnés, une porte de sortie subsiste malgré tout. Les applications non enregistrées pourront encore passer par ADB ou par le futur flux avancé du sideloading, réservé aux utilisateurs plus avancés. L’installation via le câble USB et les outils de développement reste donc envisageable, mais elle exige des compétences que le grand public n’a tout simplement pas.
Une bascule qui ne fait pas l’unanimité
Cette réforme suscite une opposition frontale chez une partie de la communauté technique. Une décision qui suscite une fronde sans précédent de la communauté open source, de l’Electronic Frontier Foundation et de dizaines d’organisations mondiales, et qui pose une question fondamentale : Android est-il encore ce qu’il prétend être ? Les inquiétudes ne portent pas que sur le confort d’usage. Le système crée des barrières pour les développeurs légitimes qui ont besoin d’anonymat pour des raisons valables, y compris ceux travaillant sur des projets sensibles ou vivant sous des régimes autoritaires, certains développeurs pouvant être légalement interdits de s’inscrire auprès de Google en raison de sanctions ou d’autres restrictions légales.
Reste une nuance que peu d’articles soulignent : le blocage ne s’applique qu’aux « appareils Android certifiés », c’est-à-dire ceux embarquant les services Google. Les téléphones tournant sous des versions modifiées d’Android sans Google Mobile Services, ou les tablettes reconditionnées vendues sans certification, échapperont mécaniquement à cette contrainte, du moins tant que Google ne trouve pas un moyen de l’étendre plus largement.
Sources : android.developpez.com | phonandroid.com