Google renforce la sécurité Android avec une vérification des développeurs contre les malwares en Asie

Google demande une vérification d’identité aux développeurs d’applications Android distribuées en dehors du Play Store. La firme de Mountain View a fixé le début de cette obligation au Brésil, en Indonésie, à Singapour et en Thaïlande au 30 septembre avant une extension mondiale prévue en 2027.

L’annonce datait, il était temps de la mettre en pratique. Google avait sorti cette vérification d’identité en août 2025, avant de la lancer officiellement en mars 2026, pour empêcher les développeurs bannis de revenir sous une autre identité et pour réduire la présence de logiciels malveillants sur les boutiques concurrentes du Play Store.

Sept boutiques participeront au dispositif dès son entrée en vigueur le 30 septembre, notamment Google Play, HONOR App Market, OPPO App Market, Galaxy Store, Palm Store, V-Appstore et GetApps. Les appareils Android certifiés à partir de la version 7.0 seront concernés.

Selon les chiffres avancés par Google, les applications installées hors du Play Store enregistrent un taux d’infection par logiciels malveillants 50 fois supérieur à celles distribuées par sa propre boutique.

Une inscription automatique pour la quasi-totalité du Play Store

Pour ce premier déploiement, Google a retenu quatre marchés, l’Indonésie, Singapour et la Thaïlande en Asie du Sud-Est, ainsi que le Brésil, seul pays sud-américain de la liste. Selon Matthew Forsythe, directeur produit de la sécurité Android chez Google, l’entreprise a intégré automatiquement 99 % des applications déjà présentes sur le Play Store. La vérification porte uniquement sur l’identité de l’éditeur. Le contenu de l’application est soumis à l’examen habituel du Play Store, pour les applications distribuées sur cette boutique.

Hors Play Store, les éditeurs passent par un autre canal, l’Android Developer Console, avec la fourniture de documents professionnels et d’une adresse de contact valide en préalable. Pour établir cette identité, Google accepte aussi la validation par un partenaire de vérification tiers compatible, en complément du Play Console. Par ailleurs, un nouveau statut, le compte de distribution limitée, concerne les étudiants et les développeurs amateurs, avec une limite fixée à vingt appareils et sans obligation de pièce d’identité ni de frais.

Dès le mois de juin, Google avait déployé un nouveau service système sur les appareils Android compatibles, puis publié deux interfaces de programmation, l’Android Developer ID Status API en juillet et l'Android Developer Console API en août, cette dernière assortie d'une délégation OAuth pour les comptes professionnels. Google n’a pas précisé, à ce stade, la liste des pays concernés par l’extension mondiale prévue en 2027.

Une méthode contestée par les défenseurs du logiciel libre

On vous en parlait récemment, le parcours prévu pour une application non vérifiée est un petit Koh-Lanta, avec six étapes et une attente de vingt-quatre heures. Google réserve ce dispositif aux applications de développeurs non enregistrés, sans passage par l’outil de débogage ADB. L’utilisateur doit activer les options pour développeurs, confirmer son choix via le verrouillage d’écran, puis redémarrer l’appareil pour déclencher ce délai. Au terme de l’attente, l'utilisateur choisit entre une autorisation temporaire de sept jours et une autorisation permanente.

Du côté de la concurrence, on n’a pas attendu. Apple soumet toute application distribuée hors de l’App Store à une notarisation, depuis l’ouverture de son système aux boutiques alternatives sous l’effet du Digital Markets Act. Ce contrôle regroupe vérifications automatisées et examen humain, contre les logiciels malveillants et la fraude.

Google affirme que ce mécanisme freine les arnaques et limite la propagation de logiciels malveillants. Pourtant, F-Droid, l’Electronic Frontier Foundation et la campagne Keep Android Open contestent cette obligation d’inscription, jugée excessive pour les développeurs indépendants. Le succès réel de ce contrôle dépendra malgré tout de son application sur le terrain et du niveau d’information des utilisateurs, selon une analyse indépendante publiée en 2025.

Certaines applications open source affichent d’ores et déjà un message. Ce message dirige l'utilisateur vers une installation par ADB, en alternative au parcours standard.