Depuis sa création, Android se distinguait de l’iPhone par une promesse simple : installer ce qu’on veut, quand on veut. À partir de septembre, cette liberté tiendra en dix étapes, un redémarrage obligatoire et une attente de 24 heures.
Google vient de détailler son « advanced flow », le mécanisme qui permettra aux utilisateurs avancés de contourner la vérification des développeurs imposée à toutes les applications installées en dehors du Play Store. Le processus, révélé par Ars Technica dans une interview exclusive de Sameer Samat, président de l’écosystème Android, ressemble moins à une option de sécurité qu’à un parcours de dissuasion.
Redémarrage, code PIN, minuterie de 24 heures
Voici ce qui attend concrètement les utilisateurs Android qui voudraient installer une application provenant d’un développeur non vérifié par Google.
Première étape : activer les options développeur en tapant sept fois sur le numéro de build dans les paramètres du téléphone. Ensuite, naviguer jusqu’au menu « Allow Unverified Packages » dans les options développeur, activer l’interrupteur, puis confirmer que personne ne vous force à le faire. Saisir votre code PIN ou mot de passe. Redémarrer le téléphone. Attendre 24 heures. Revenir dans le même menu. Faire défiler une série d’avertissements supplémentaires. Choisir entre une autorisation temporaire de sept jours ou une autorisation permanente. Cocher une dernière case confirmant que vous comprenez les risques.
Dix étapes au total. L’effort réel ne prend que quelques secondes, mais le minuteur de 24 heures rend l’opération impossible dans l’urgence. C’est précisément l’objectif, selon Samat : « Pendant ces 24 heures, on pense qu’il devient bien plus difficile pour les attaquants de maintenir leur pression. Dans ce laps de temps, vous pouvez probablement découvrir que votre proche n’est pas vraiment retenu en prison ou que votre compte bancaire n’est pas réellement attaqué. »
442 milliards de dollars volés par an
La mesure vise directement les arnaques par manipulation psychologique. Le scénario est rodé : un escroc appelle sa victime, invente une urgence (amende, compte bloqué, proche en danger) et la guide pas à pas pour installer une application malveillante. Selon un rapport 2025 de la Global Anti-Scam Alliance (GASA), 57 % des adultes interrogés dans le monde ont été confrontés à une tentative d’arnaque au cours de l’année précédente. Le préjudice global estimé : 442 milliards de dollars.
Google avance un chiffre pour justifier le verrouillage : les utilisateurs auraient 50 fois plus de chances de tomber sur un logiciel malveillant en dehors du Play Store qu’à l’intérieur. Depuis 2023, la vérification d’identité des développeurs sur le Play Store a contribué à réduire les incidents, d’après l’entreprise. Play Protect, son système de détection intégré, analyse 350 milliards d’applications par jour sur l’ensemble des appareils Android certifiés.
Mais ces statistiques ne convainquent pas tout le monde. Marc Prud’hommeaux, membre du conseil d’administration de F-Droid, le catalogue d’applications libres et open source, estime les chiffres de Google trop vagues. « Ces scénarios me semblent vraiment peu plausibles, mais Google n’a révélé aucun chiffre précis sur le nombre de personnes réellement touchées », a-t-il confié à Ars Technica. « Ils ne citent que des statistiques très vagues disant qu’il y a 50 fois plus de malwares hors du Play Store. »
L’ombre d’Apple derrière la décision
Pour Christoph Hebeisen, directeur de recherche en sécurité chez Lookout, le virage de Google ne s’explique pas uniquement par la lutte contre les malwares. « Je pense que Google a probablement regardé Apple et s’est demandé « pourquoi ça marche pour eux ? » » a-t-il confié à Ars Technica. Les deux systèmes d’exploitation ne présentent pas de différence de sécurité fondamentale, selon lui. Ce qui change, c’est l’écosystème de distribution : quand n’importe qui peut publier et distribuer une application, les logiciels malveillants se propagent plus facilement.
Le timing de cette annonce mérite attention. La justice américaine a ordonné à Google d’ouvrir le Play Store à la concurrence, dans le cadre du procès antitrust porté par Epic Games. L’appel de Google ayant été rejeté en juillet 2025, l’entreprise doit désormais autoriser les boutiques d’applications tierces et permettre le réhébergement de ses contenus. Plus d’applications installées hors du Play Store signifie un écosystème potentiellement moins protégé. La vérification des développeurs arrive pile au moment où cette ouverture forcée pourrait faire exploser le volume de sideloading.
Étudiants épargnés, pays sous sanctions dans le flou
Google tente de nuancer le dispositif. Les étudiants et amateurs pourront créer des comptes de distribution limitée, gratuits, sans pièce d’identité gouvernementale ni frais d’inscription. Ces comptes permettront de partager une application avec 20 appareils au maximum, selon le blog officiel Android Developers.
Pour les développeurs classiques souhaitant distribuer en dehors du Play Store, la vérification exige une pièce d’identité, les clés de signature de l’application et 25 dollars de frais. Google assure que cette vérification porte uniquement sur l’identité, pas sur le contenu des apps. Sameer Samat a précisé à Ars Technica qu’un client YouTube alternatif contournant la publicité ne poserait pas de problème pour la vérification, même si l’entreprise n’a commenté aucune application spécifique.
Reste le cas des développeurs dans des pays sous sanctions (Cuba, Iran). Google reconnaît que le processus « pourrait varier selon les pays » et affirme que le système « n’a pas été créé pour bloquer ces développeurs ». Les défenseurs de la vie privée s’inquiètent de la base de données d’identités que la vérification va créer. Fournir son nom réel et une pièce d’identité à Google pour publier un logiciel libre expose les développeurs indépendants à d’éventuelles pressions judiciaires. Google indique qu’il « conteste les demandes judiciaires abusives », sans détailler la durée de conservation des données collectées.
Le Brésil en éclaireur, le monde en 2027
Le déploiement commence en douceur. En septembre 2026, la vérification sera appliquée au Brésil, à Singapour, en Indonésie et en Thaïlande, quatre pays où les arnaques par ingénierie sociale sévissent avec une intensité particulière. L’extension mondiale est prévue pour 2027. Le mécanisme de contournement et les comptes de distribution limitée seront disponibles dès août, avant l’entrée en vigueur des restrictions.
Android a bâti sa réputation sur la flexibilité. Pendant près de 20 ans, installer une application hors du Play Store relevait d’un simple interrupteur dans les paramètres. Ce simple interrupteur va devenir un parcours de dix étapes avec délai de réflexion imposé. Google parie que la sécurité de ses 3 milliards d’appareils actifs justifie cette contrainte. Les communautés open source, F-Droid en tête, attendent des données concrètes pour les convaincre.
