Vérification des développeurs Android : ce que cela change si vous partagez des APK en dehors de Google Play

Pendant la plus grande partie de l'histoire d'Android, partager une application était simple. Vous compiliez un APK, l'envoyiez à quelqu'un, il autorisait les installations depuis des sources inconnues, et c'était tout. Personne n'avait besoin de savoir qui avait créé l'application.

Cela change. Google déploie la vérification des développeurs Android, une exigence selon laquelle les applications installées sur des appareils Android certifiés doivent provenir de développeurs ayant vérifié leur identité et enregistré leurs applications. Si vous publiez uniquement sur Google Play, vous ne remarquerez peut-être pas grand-chose. Si vous partagez des APK directement, sur votre site web, dans un groupe de discussion ou via une autre boutique, il vaut la peine de comprendre ce qui a réellement été annoncé.

Cet article s'en tient à ce que Google a dit sur ses pages officielles. Certains détails ont changé depuis la première annonce et peuvent encore changer, alors consultez les liens en fin d'article avant de prendre de grandes décisions.

Ce que Google a annoncé

En août 2025, Google a publié sur l'Android Developers Blog un article intitulé A new layer of security for certified Android devices. L'idée : Android exigerait que les applications soient enregistrées par des développeurs vérifiés avant que les utilisateurs puissent les installer sur des appareils certifiés.

Le raisonnement de Google porte sur les logiciels malveillants. Les acteurs malveillants se cachent souvent derrière l'anonymat, publient une application, se font prendre et reviennent sous un nouveau nom. Associer les applications à une identité de développeur vérifiée rend cela plus difficile. Google a été clair : la vérification porte sur l'identité du développeur. Ce n'est pas un examen du contenu de l'application elle-même.

La formulation actuelle du guide de vérification des développeurs de Google est qu'Android exige que toutes les applications soient enregistrées par des développeurs vérifiés pour que les utilisateurs puissent les installer sur des appareils Android certifiés.

Le calendrier officiel

Selon la présentation de la vérification des développeurs de Google, le déploiement se présente ainsi :

• Août 2026 : lancement des API pour développeurs, des comptes à distribution limitée et du « parcours avancé » pour les utilisateurs avertis.
• 30 septembre 2026 : les protections commencent pour les utilisateurs qui installent des applications depuis des boutiques participantes au Brésil, en Indonésie, à Singapour et en Thaïlande, sur les appareils certifiés équipés d'Android 7 ou d'une version plus récente.
• 2027 et au-delà : Google indique qu'il étendra la vérification au monde entier pour toutes les applications sur les appareils Android certifiés.

Les boutiques participantes citées dans le guide de Google pour cette première phase sont Google Play, HONOR App Market, OPPO App Market, Samsung Galaxy Store, Palm Store de Transsion, vivo V-Appstore et Xiaomi GetApps.

À ce jour, l'application des règles est donc active dans quatre pays et concerne ces boutiques. La FAQ de Google indique que l'échéance du 30 septembre ne s'applique qu'aux boutiques participantes, et que les applications d'autres boutiques ou installées directement ne sont pas encore concernées par les nouvelles exigences. Le mot « encore » compte : le plan annoncé est une couverture mondiale de toutes les applications sur les appareils certifiés à partir de 2027. Google n'a pas publié de date exacte.

Deux types de comptes

Google propose deux voies d'accès, selon l'endroit où vous distribuez :

• Google Play Console, si vous publiez sur Google Play, que vous partagiez aussi l'application ailleurs ou non. Google indique que la Play Console sera l'endroit unique pour gérer la vérification, y compris pour les copies de votre application distribuées en dehors de Play.
• Android Developer Console, une nouvelle console pour les développeurs qui distribuent uniquement en dehors de Google Play.

L'Android Developer Console propose deux options. Un compte à distribution complète exige une vérification d'identité et vous permet de distribuer via n'importe quelle boutique ou canal ; la FAQ de Google mentionne des frais de 25 $. Un compte à distribution limitée est destiné aux étudiants, aux amateurs et à un usage personnel : pas de pièce d'identité et pas de frais, mais les applications ne peuvent être partagées qu'avec 20 appareils au maximum. Google indique que vous pouvez passer d'un compte limité à un compte complet, mais pas l'inverse.

Ce qu'implique l'enregistrement d'une application

La vérification comporte deux parties. D'abord, vous vérifiez votre identité. Ensuite, vous enregistrez vos applications, c'est-à-dire que vous associez chaque nom du package à votre compte et à votre clé de signature. Selon le guide de Google, vous prouvez que vous en êtes propriétaire en fournissant un APK signé avec votre clé privée.

Deux conséquences pratiques en découlent :

• Votre clé de signature compte plus que jamais. La FAQ de Google est directe : si vous perdez votre clé de signature, vous ne pourrez pas enregistrer vos packages.
• Les noms de package sont réservés. Si quelqu'un utilise déjà un nom du package, vous ne pourrez peut-être pas le revendiquer, et Google suggère d'en utiliser un autre. Évitez les noms génériques comme com.example.app ; utilisez quelque chose qui vous appartient clairement.

Si vous publiez sur Google Play et utilisez la signature d'application Play, la FAQ indique que les applications éligibles sont incluses dans l'enregistrement automatique, et Google affirme que Play enregistre automatiquement 99 % des applications.

Ce qui change pour les personnes qui installent des APK

Sur un appareil certifié où les règles s'appliquent, une application d'un développeur non enregistré ne s'installera pas par la voie normale. Selon Google, il existe deux façons de contourner cela :

• ADB. L'installation par câble USB avec Android Debug Bridge ne nécessite pas de vérification. Elle est destinée aux développeurs qui testent leurs propres versions.
• Le parcours avancé. Une configuration unique pour les utilisateurs avertis qui acceptent le risque. Il faut activer les options pour les développeurs, confirmer que personne ne vous guide, redémarrer, attendre un jour et confirmer avec votre empreinte digitale, votre visage ou votre PIN. Même ensuite, les applications non vérifiées affichent un avertissement avant l'installation.

Google précise aussi que les mises à jour d'applications non enregistrées ne s'installeront que via le parcours avancé ou ADB. Pour les utilisateurs ordinaires, c'est beaucoup de friction : si vous voulez que les gens installent facilement votre application sur le long terme, prévoyez de vous faire vérifier.

Étapes pratiques si vous partagez des APK

1. Publiez un AAB sur Google Play si vous le pouvez. C'est la voie la plus simple : votre compte Play Console gère la vérification, et la plupart des applications sur Play sont enregistrées automatiquement. Vous pouvez toujours partager l'APK directement avec des testeurs.
2. Gardez la même clé de signature, et sauvegardez-la. Utilisez une seule clé pour chaque mise à jour. Conservez-en une copie en lieu sûr. Si vous utilisez la signature d'application Play et partagez aussi votre propre APK, rappelez-vous que votre APK est signé avec votre clé d'importation, pas avec la clé de signature d'application de Google ; la FAQ de Google indique que l'Android Developer Console permet d'ajouter et de vérifier plusieurs clés de signature pour un même package, alors vérifiez que chaque clé utilisée est bien enregistrée.
3. Choisissez un nom du package qui vous appartient. Utilisez votre propre domaine ou nom, par exemple com.yourstudio.menu, et ne le changez jamais après la publication.
4. Choisissez le bon compte. Vous partagez seulement avec quelques personnes ? Un compte à distribution limitée peut suffire. Vous distribuez largement en dehors de Play ? Prévoyez un compte à distribution complète et une vérification d'identité.
5. Surveillez les pages officielles. Les dates et les détails ont déjà changé. Consultez-les chaque fois que vous préparez une nouvelle version.

La place de Free HTML to APK

Free HTML to APK ne vérifie pas les développeurs et n'enregistre pas les applications pour vous ; cela se fait dans les consoles de Google. Ce qu'il fait, c'est vous fournir les deux fichiers dont le processus a besoin : un APK signé pour les installations directes et les tests, et un AAB pour Google Play. Compiler avec la même clé à chaque fois est facile, puisque le générateur du site web et l'application Android permettent tous deux de réutiliser un fichier de clé existant. Côté Play, suivez le guide de publication sur Google Play, et lisez APK ou AAB si ces deux formats sont nouveaux pour vous.

Sources officielles

• Présentation de la vérification des développeurs Android
• Guide de vérification des développeurs
• FAQ sur la vérification des développeurs
• Android Developers Blog, annonce d'août 2025