Google va bel et bien lancer l’année prochaine son système de vérification pour les développeurs d’applications Android, qu’elles soient distribuées sur le Play Store ou dans des boutiques alternatives. Pour le géant du web, c’est un pas de plus vers une amélioration de la sécurité de l’écosystème Android ; pour certaines échoppes en revanche, ce processus est une menace existentielle.

La vérification pour les développeurs Android sera exigée partout dans le monde à partir de 2027, a rappelé Matthew Forsythe, directeur produit chargé de la sécurité des applications Android. Plusieurs pays feront office de cobayes dès le mois de septembre : Brésil, Indonésie, Singapour et Thaïlande. La mesure, présentée en août 2025, oblige les développeurs à enregistrer leurs applications auprès de Google et à vérifier leur identité, avant de pouvoir les distribuer sur les appareils Android certifiés.

• Android : Google va imposer une vérification d’identité à tous les développeurs

Une carte d’identité pour chaque développeur

Les apps proposées sur le Play Store sont concernées bien sûr (elles sont généralement enregistrées automatiquement), mais aussi celles des boutiques alternatives. Pour la première fournée automnale, Google liste ainsi les magasins d’Honor, OPlus, Samsung, Transsion, Vivo et Xiaomi. Depuis le mois de mars et l’ouverture de la validation à tous les développeurs, ce sont « des millions d’apps qui ont été enregistrées », affirme le dirigeant. Ces applications couvrent « la quasi-totalité des installations effectuées via Google Play ainsi qu’une large majorité de celles réalisées en dehors de la boutique de Google ».

Le processus comprend deux étapes : la vérification du développeur à proprement parler, et l’enregistrement de ses applications. Le développeur doit créer un compte dans l’Android Developer Console et fournir des informations pour vérifier son identité (nom réel ou nom de l’entreprise, adresse, un contact, une pièce d’identité officielle…). Google veut être en mesure d’associer chaque développeur à une identité vérifiée.

Ouvrir un compte développeur pour le Play Store coûte 25 dollars. Les développeurs qui ne distribuent pas leurs apps sur la boutique officielle et qui veulent malgré tout les enregistrer auprès de Google (ce n’est pas comme s’ils avaient vraiment le choix…) doivent s’acquitter de la même somme.

Chaque application doit ensuite être enregistrée auprès de Google à l’aide de son nom de paquet, qui fait office d’identifiant unique du logiciel sur Android. Plusieurs boutiques alternatives se sont opposées au système, en particulier F-Droid qui a lancé la contre-offensive : elle estime en effet que cette vérification donne à Google un trop grand pouvoir de contrôle sur toutes les apps Android, y compris celles distribuées en dehors du Play Store.

La boutique a publié le 24 février une lettre ouverte plaidant pour une révision profonde du système de vérification et pour préserver un moyen de distribuer des applications sans devoir obtenir l’approbation de Google. La lettre compte parmi les signataires l’Electronic Frontier Foundation, Proton, la Quadrature du Net, ou encore AdGuard.

• Sur Android, F-Droid part en guerre contre la vérification d’identité des développeurs

Le sideloading survivra, mais ce sera compliqué

Matthew Forsythe précise dans son billet que les apps non enregistrées peuvent toujours être installées en sideloading, via Android Debug Bridge ou « parcours d’installation avancé ». Ce processus a le mérite d’exister, mais il est particulièrement lourd. L’utilisateur devra confirmer qu’il n’est pas forcé d’installer l’application, de redémarrer son appareil, et… d’attendre 24 heures. Au bout du délai, l’installation sera finalement possible.

Google a aussi mis au point des comptes de distribution limités permettant aux étudiants et aux amateurs de partager des apps sur un maximum de 20 appareils, sans avoir à fournir de pièce d’identité ni payer de frais d’inscription.

L’entreprise annonce également de nouvelles API pour vérifier si un nom de paquet est déjà enregistré, et une autre pour enregistrer et gérer des apps directement depuis des outils tiers. Un mécanisme de délégation OAuth est aussi disponible pour effectuer des opérations pour le compte de développeurs sur des boutiques alternatives. Autrement dit, Google ne veut pas forcer les développeurs à passer par la console du Play Store.

Les oppositions à ce nouveau système ne devraient toutefois pas s’éteindre. À compter de ce mois de juin, Google va en effet déployer un nouveau service qui va s’installer automatiquement sur la plupart des terminaux Android. Ce dernier va s’assurer qu’une application est enregistrée auprès d’un développeur vérifié. Ce qui placera Google dans une position d’autorité : l’entreprise pourra ainsi décider quelles apps possèdent une identité reconnue sur Android, même si elles sont distribuées en dehors du Play Store.