Google a annoncé une évolution structurelle de la politique de sécurité d’Android : à partir de 2026, seules les applications de développeurs dont l’identité a été vérifiée pourront être installées sur des appareils certifiés, même lorsque l’installation se fait en dehors de la Play Store (sideload). L’objectif est de réduire la circulation de malware et les fraudes financières, en augmentant le niveau de confiance de tout l’écosystème. La mesure ne ferme pas l’ouverture d’Android, mais exige désormais que toute publication — dans ou hors de la boutique officielle — soit assortie d’une identité confirmée.
Ce qui change en pratique
Jusqu’ici, la vérification était surtout obligatoire pour publier sur la Play Store. Avec la nouvelle règle, les appareils dotés de play protect et des services de Google bloqueront par défaut l’installation d’apk provenant d’auteurs non vérifiés. Le sideload reste possible, mais l’identité du développeur devient une condition pour que le système accepte l’app. Pour l’utilisateur, cela signifie moins d’alertes techniques et un filtre plus net : on installe si l’auteur est conforme ; sinon, le système refuse.
Calendrier et déploiement progressif
La mise en œuvre sera graduelle. Un accès anticipé à la vérification est prévu pour fin 2025, afin que développeurs et entreprises puissent entamer la procédure avant l’ouverture générale en 2026. Le lancement commencera dans les marchés où l’on observe le plus d’escroqueries, puis s’étendra aux autres régions à mesure que l’infrastructure mûrit. Cette approche laisse du temps pour les ajustements opérationnels et pour adapter les politiques de distribution et de support.
Pourquoi Google le fait maintenant
Ces dernières années, Android a été la cible de campagnes d’ingénierie sociale et de malware visant le vol d’identifiants et les arnaques financières. En liant chaque app à une identité vérifiée, Google gagne en traçabilité et en responsabilisation, ce qui réduit l’effet des « comptes jetables » utilisés par des acteurs malveillants. L’exigence rapproche aussi la sécurité du sideload des standards déjà appliqués à la distribution officielle, sans fermer la porte aux boutiques alternatives ni aux canaux directs b2b.
Impact pour les utilisateurs
Pour ceux qui installent uniquement via la Play Store, l’impact sera quasi invisible — avec un risque encore plus faible. Pour ceux qui installent depuis des liens, des boutiques parallèles ou des fichiers reçus par message, le système refusera désormais les apps d’auteurs non vérifiés. Concrètement, cela diminue la probabilité de tomber sur de fausses applications de banques, de portefeuilles numériques ou de messagerie. Le play protect reste une couche complémentaire, analysant les comportements suspects après l’installation.
Impact pour les développeurs et les entreprises
Les équipes qui distribuent des apps en dehors de la Play Store — pilotes internes, déploiement via mdm ou boutiques propriétaires — devront achever la vérification d’identité. Pour les comptes d’entreprise, il est recommandé de centraliser la vérification au bon titulaire juridique et d’éviter la multiplication de comptes fragmentés. Ceux qui travaillent avec des intégrateurs doivent déjà aligner qui signe l’app, comment se fait la publication et quels documents serviront à prouver l’identité.
Bonnes pratiques à adopter dès maintenant
- Cartographier les canaux de distribution : identifiez où il existe du sideload (landing pages, mdm, boutiques propres) et associez chaque canal à un compte vérifié unique ;
- Planifier la migration : effectuez la vérification pendant l’accès anticipé pour réduire le risque de blocage lorsque l’exigence deviendra effective ;
- Renforcer la chaîne de confiance : au-delà de l’identité, garantissez une signature cohérente de l’apk/aab, une rotation sûre des clés et des politiques de release claires ;
- Appliquer une défense en profondeur : combinez avec la play integrity api, l’obfuscation du code, la détection de falsification et des validations côté serveur ;
- Communiquer avec les utilisateurs et le support : préparez des faqs et des messages in-app pour expliquer les exigences d’installation et réduire les tickets ;
- Auditer les dépendances : revoyez les sdks tiers, les permissions et les endpoints ; la vérification ne remplace pas les bonnes pratiques de sécurité produit.
En somme, l’écosystème reste ouvert, mais avec une barrière minimale d’identité qui complique la tâche des attaquants et apporte plus de prévisibilité aux entreprises. Pour les développeurs, c’est l’occasion de professionnaliser les processus ; pour les utilisateurs, cela signifie moins d’applications dangereuses à portée de clic.
