Android посилює контроль над APK: що змінюється для sideloading і F-Droid

30 вересня 2026 року Google запускає перший етап Android Developer Verification — системи, яка прив’язує встановлювані застосунки до зареєстрованих розробників. Спочатку правила запрацюють у Бразилії, Індонезії, Сингапурі та Таїланді й лише для семи магазинів, але з 2027 року Google планує поширювати перевірку глобально на всі застосунки на сертифікованих Android-пристроях.

Повної заборони sideloading не буде: Google залишив advanced flow для встановлення застосунків від неверифікованих розробників і не змінює ADB. Проте для масової дистрибуції APK з’являється додаткове тертя, а для альтернативних магазинів на кшталт F-Droid — фундаментальне питання: наскільки відкритою залишиться Android-екосистема, якщо Google контролюватиме реєстрацію розробників незалежно від каналу поширення.

Key Takeaways

• З 30 вересня 2026 року Android Developer Verification починає діяти в Бразилії, Індонезії, Сингапурі та Таїланді на сертифікованих пристроях з Android 7+.
• На першому етапі перевірка стосується Google Play, Galaxy Store, HONOR App Market, OPPO App Market, Palm Store, vivo V-Appstore та Xiaomi GetApps.
• Пряме завантаження APK із сайтів та інші магазини, які не входять до цього списку, 30 вересня ще не потрапляють під enforcement.
• У 2027 році Google планує розширити систему глобально на всі застосунки на сертифікованих Android-пристроях незалежно від каналу дистрибуції.
• Неверифіковані застосунки не зникають повністю: для них передбачений advanced flow, а встановлення через ADB залишається без змін.
• На тлі цих змін F-Droid випустив версію 2.0 — найбільше оновлення свого Android-клієнта за десять років.

Що станеться 30 вересня

Перше важливе уточнення: 30 вересня Google не блокує встановлення будь-якого APK від неверифікованого розробника по всьому Android.

На старті enforcement працюватиме лише в чотирьох країнах — Бразилії, Індонезії, Сингапурі та Таїланді — на сертифікованих Android-пристроях. Google називає Android 7 і новіші версії системи.

Крім Google Play, до першої хвилі підключаються HONOR App Market, OPPO App Market, Samsung Galaxy Store, Transsion Palm Store, vivo V-Appstore та Xiaomi GetApps.

Google окремо уточнює у FAQ, що прямий sideloading або встановлення з інших магазинів 30 вересня ще не підпадають під нову вимогу. Тобто користувач F-Droid не прокинеться цього дня з повністю заблокованим магазином.

У 2027 році правила стануть значно ширшими

Набагато важливіший наступний етап. У 2027 році й далі Google планує глобально розширювати Developer Verification на всі застосунки, які встановлюються на сертифіковані Android-пристрої.

І тут уже не має значення, чи APK прийшов із Google Play. Розробник, який поширює застосунок лише зі свого сайту або через сторонній магазин, може зареєструвати його через Android Developer Console.

Для розробників із Play Console процес простіший: за даними Google, понад 99% застосунків у Play уже зареєстровані автоматично. Але застосунки, які той самий розробник поширює поза Play, теж можна додатково реєструвати через Play Console.

UAGEEK уже детально розбирав нові правила встановлення APK в Android та те, як працюватиме виняток для користувачів, які все одно захочуть встановлювати софт від неверифікованих авторів.

Google не прибирає sideloading, але робить його складнішим

Після критики початкового плану Google залишив окремий advanced flow для power users. Він дозволяє встановлювати незареєстровані застосунки після додаткових перевірок безпеки.

Google пояснює таку конструкцію захистом від coercion scams — шахрайських схем, у яких людину під час дзвінка або листування переконують терміново встановити APK поза офіційним магазином.

Водночас ADB залишається окремим каналом: Google прямо заявляє, що workflow встановлення через Android Debug Bridge не змінюється.

Є й компроміс для студентів та hobby-розробників. Limited Distribution Account дозволяє поширювати власні застосунки максимум на 20 авторизованих пристроїв без державного документа для підтвердження особи та реєстраційного платежу.

Навіщо Google взагалі потрібна особа розробника

Developer Verification не означає, що Google перевіряє кожен сторонній застосунок і гарантує його безпечність. Ідея інша — зробити автора пакета ідентифікованим.

Google аргументує зміни боротьбою з розробниками шкідливого ПЗ, які після блокування одного застосунку можуть швидко створити новий пакет і продовжити розповсюдження. Верифікація повинна ускладнити повторне повернення такого розробника під новою назвою.

Для цього Android отримав окремий системний компонент Android Developer Verifier, який перевіряє, чи зареєстрований застосунок за відповідним розробником.

71 організація виступила проти системи Google

Критики бачать у цій архітектурі іншу проблему: Google отримує центральну роль у визначенні того, хто може без додаткових бар’єрів поширювати програмне забезпечення на Android.

Відкритий лист проти обов’язкової Developer Verification підписала 71 організація з 23 країн. Серед підписантів — Electronic Frontier Foundation, Tor Project, Proton, Brave, KDE, F-Droid, LineageOS, GrapheneOS, European Digital Rights та низка інших проєктів і правозахисних організацій.

Їхній головний аргумент: підтвердження особи не гарантує безпечність коду, зате централізує контроль над Android-дистрибуцією в руках Google. Автори листа вимагають від компанії відмовитися від обов’язкової реєстрації та зберегти нейтральність платформи.

Що це означає для affiliate та дистрибуції APK

Для команд, які використовують прямий APK як частину acquisition funnel, головний ризик — додаткове тертя перед інсталом. Якщо користувачеві потрібно переходити в спеціальний режим і проходити додаткові security checks, такий сценарій складно масштабувати як звичайний onboarding.

Тому після глобального rollout реєстрація розробника та застосунку фактично стає базовою умовою для продуктів, які розраховують на масові інстали без складного сценарію з боку користувача.

Але говорити, що через Developer Verification «PWA помре», некоректно. PWA працює як вебзастосунок і не є незареєстрованим Android APK, тому сама по собі нова система верифікації Android-розробників не забороняє PWA.

Найбільший прямий вплив буде саме на APK та альтернативну нативну дистрибуцію. Для iGaming це особливо актуально: UAGEEK нещодавно розбирав ринок оренди застосунків, де Android, iOS і PWA вже зараз мають різні ризики та економіку.

Чи означає верифікація каскадні бани developer-акаунтів

Твердження, що прив’язка кількох застосунків до одного верифікованого розробника автоматично спричинятиме каскадні блокування всіх пов’язаних акаунтів, Google публічно не підтверджував.

Однак сама логіка Developer Verification справді створена для того, щоб Google міг пов’язувати застосунки з конкретним автором і ускладнювати повторну дистрибуцію для зловмисників. Тому для високоризикових моделей розповсюдження концентрація великої кількості застосунків під однією підтвердженою ідентичністю потенційно змінює ризик-профіль.

Це також може вплинути на сформований ринок developer-акаунтів, про який UAGEEK писав раніше. Чим сильніше Android пов’язує package, signing key і реальну особу розробника, тим менше значення має просто наявність чергового «чистого» акаунта.

F-Droid відповідає найбільшим оновленням за десять років

На цьому фоні 24 вересня F-Droid випустив версію 2.0, назвавши реліз «новою главою свободи Android». Це повний редизайн офіційного клієнта і найбільше оновлення застосунку F-Droid за останні десять років.

Над версією працювали понад рік, а перед релізом команда випустила 14 тестових збірок. Значна частина клієнта переписана з використанням Kotlin і Jetpack Compose.

Основну навігацію спростили до трьох розділів — Discover, Search та My Apps. Категорії стали детальнішими, з’явилися meta-категорії та розширені фільтри за сумісністю, категоріями й anti-features.

Пошук тепер працює не лише за назвами застосунків, а й за описами, категоріями та перекладеним контентом. Окремо покращена підтримка китайської, японської та корейської писемності.

F-Droid отримав те, за що альтернативні магазини боролися роками

Одна з найцікавіших змін F-Droid 2.0 стосується самого встановлення. Проєкт використовує нові Android API, які дозволяють стороннім магазинам зробити процес інсталяції та оновлення ближчим до системних магазинів.

F-Droid прямо пов’язує появу цих можливостей із тиском Digital Markets Act у ЄС та антимонопольними процесами в інших країнах. Новий unified installer використовує pre-approval API: на сумісних пристроях користувач може підтвердити інсталяцію раніше, а не чекати завершення завантаження пакета.

У цьому й полягає парадокс поточної політики Android. Регуляторний тиск змушує платформу давати стороннім магазинам більше технічних можливостей, але паралельно Developer Verification створює новий централізований рівень контролю над розробниками.

F-Droid 2.0 не скасовує майбутню проблему

Версія 2.0 робить F-Droid сучаснішим і зручнішим, але сама по собі не вирішує конфлікт із Developer Verification.

30 вересня F-Droid не входить до переліку магазинів першої хвилі, тому негайного блокування його каталогу не відбудеться. Проблема може стати практичною пізніше, коли Google почне глобально застосовувати перевірку незалежно від джерела встановлення.

F-Droid виступає проти обов’язкової реєстрації та приєднався до кампанії Keep Android Open. Для екосистеми, де тисячі open-source застосунків підтримуються волонтерами та незалежними авторами, вимога централізовано реєструвати розробників у Google змінює сам принцип дистрибуції.

Android не закривається, але правила відкритості змінюються

Називати зміни повною забороною сторонніх APK було б перебільшенням. Google залишає альтернативні магазини, пряме розповсюдження, advanced flow, ADB і навіть окремий тип акаунта для hobby-розробників.

Але модель Android змінюється принципово. Раніше ключовим рішенням було «дозволяє користувач встановити цей APK чи ні». Тепер до нього додається ще одне: «зареєстрований цей розробник у системі Google чи ні».

Для звичайного користувача це може зменшити кількість простих сценаріїв соціальної інженерії. Для незалежних розробників, альтернативних магазинів і бізнесів із прямою APK-дистрибуцією — означає залежність від нового централізованого шару Android.

Саме тому суперечка навколо Developer Verification навряд чи завершиться 30 вересня. Це лише перший регіональний етап перед значно важливішим глобальним rollout у 2027 році.

Щоб не пропустити жодної важливої новини – заходьте в ҐікNews!

Джерела для перевірки

Джерела для перевірки

Android Developers Blog. Офіційний актуальний план Developer Verification: старт 30 вересня в чотирьох країнах, сім магазинів, advanced flow, ADB та глобальне розширення у 2027 році.
Android developer verification: Building a safer ecosystem together

Android Developers. Офіційна документація Developer Verification з актуальним графіком rollout та варіантами реєстрації застосунків, які поширюються поза Google Play.
Android developer verification

Android Developers FAQ. Google окремо підтверджує, що 30 вересня прямий sideloading та магазини поза переліком першої хвилі ще не підпадають під enforcement.
Android developer verification FAQ

F-Droid. Офіційний анонс F-Droid 2.0: найбільший редизайн за десять років, 14 тестових релізів, новий Discover, пошук, категорії, фільтри, Kotlin/Compose та unified installer.
F-Droid 2.0: A New Chapter for Android Freedom

Keep Android Open. Відкритий лист проти обов’язкової Developer Verification, який підписала 71 організація з 23 країн.
An Open Letter to Google regarding Mandatory Developer Registration

UAGEEK.MEDIA. Наш попередній розбір advanced flow, ADB, Limited Distribution Accounts та впливу Developer Verification на пряме розповсюдження APK.
Google ускладнює встановлення APK на Android