Google begint met de uitrol van een nieuwe manier om apps van niet-geverifieerde ontwikkelaars op Android te installeren. De zogenoemde advanced flow geeft ervaren gebruikers die mogelijkheid nog steeds, maar koppelt daar wel een eenmalige procedure en een wachttijd van 24 uur aan.
Sideloaden verandert
Google voert de nieuwe procedure in als onderdeel van zijn Android Developer Verification. Daarmee wil het bedrijf ontwikkelaars aan een echte identiteit koppelen, zodat kwaadwillenden minder eenvoudig steeds nieuwe apps kunnen verspreiden nadat een eerdere app is verwijderd.
De eerste versie van de advanced flow wordt nu uitgerold. Dat meldt Android-ontwikkelaar en journalist Mishaal Rahman op Reddit, waarbij hij verwijst naar de uitleg van Google over de nieuwe functie.
De wijziging geldt specifiek voor apps die afkomstig zijn van ontwikkelaars die ervoor kiezen hun identiteit niet bij Google te verifiëren. Voor geregistreerde apps verandert er niets. Dat geldt ook voor apps van geverifieerde ontwikkelaars die via alternatieve appwinkels of bijvoorbeeld een website worden aangeboden. Ook installaties via ADB (Android Debug Bridge) vallen buiten de nieuwe procedure.
24 uur wachten
Wie toch een niet-geregistreerde app rechtstreeks wil installeren, moet de advanced flow eenmalig activeren. De gebruiker gaat daarvoor naar de ontwikkelaarsopties en schakelt de optie voor apps van niet-geverifieerde ontwikkelaars in. Android vraagt vervolgens om bevestiging met de schermvergrendeling en waarschuwt dat iemand de gebruiker mogelijk probeert over te halen de beveiliging uit te schakelen.
Daarna moet de smartphone opnieuw worden gestart. Vanaf dat moment begint een wachttijd van 24 uur. Volgens Google is die vertraging vooral bedoeld om slachtoffers van telefonische en andere vormen van oplichting te beschermen. Een oplichter kan iemand bijvoorbeeld tijdens een telefoongesprek onder druk zetten om beveiligingsmaatregelen uit te schakelen. Door de herstart wordt een eventuele actieve verbinding verbroken en geeft de wachttijd het slachtoffer tijd om na te denken en de situatie onafhankelijk te controleren.
Na 24 uur kan de gebruiker de procedure afronden. Daarbij kan worden gekozen om de mogelijkheid zeven dagen of onbeperkt beschikbaar te maken. Vervolgens kunnen apps van niet-geverifieerde ontwikkelaars gewoon worden geïnstalleerd, zij het met een extra waarschuwing.
Geen blokkade van ADB
Voor Android-gebruikers die gewend zijn apps buiten de Play Store te installeren, is vooral van belang dat ADB buiten deze beperking blijft. Apps die via Android Debug Bridge worden geïnstalleerd, zijn niet onderworpen aan de nieuwe verificatie en de wachttijd van 24 uur geldt daar dus niet voor.
Ook hoeft de ontwikkelaarsmodus niet permanent ingeschakeld te blijven nadat de advanced flow eenmaal is geactiveerd. Dat is relevant omdat sommige apps, waaronder bepaalde bankapps, weigeren te werken wanneer ontwikkelaarsopties zijn ingeschakeld.
Wel is er een consequentie voor niet-geregistreerde apps die al op een toestel staan. Als de advanced flow wordt uitgeschakeld, kunnen dergelijke apps niet meer worden bijgewerkt. Dat kan alleen wanneer de advanced flow weer actief is of via ADB.
Uitrol begint
De advanced flow wordt geleidelijk beschikbaar gemaakt. Daardoor zullen niet alle Android-gebruikers de optie meteen zien. Google installeert hiervoor de nieuwe systeemdienst Android Developer Verifier. Volgens Google kan het installeren van deze dienst vanuit Google Play ervoor zorgen dat gebruikers de functie eerder krijgen.
De bredere verplichting voor ontwikkelaars wordt vanaf 30 september 2026 voor het eerst gehandhaafd. Dat gebeurt aanvankelijk op gecertificeerde Android-apparaten in Brazilië, Indonesië, Singapore en Thailand en voor apps uit onder meer Google Play, HONOR App Market, OPPO App Market en de Galaxy Store. In 2027 wil Google de verificatie wereldwijd invoeren voor installaties op gecertificeerde Android-apparaten.
Google benadrukt dat het merendeel van de gebruikers niets van de verandering zal merken. Sinds de introductie van de verificatie in maart zijn volgens het bedrijf miljoenen apps geregistreerd. Daarmee zou volgens Google vrijwel het gehele aantal installaties uit Google Play en het grootste deel van de installaties buiten Google Play al worden gedekt.
Keuze blijft bestaan
Met de advanced flow probeert Google een compromis te vinden tussen veiligheid en de openheid die Android van oudsher kenmerkt. Ervaren gebruikers kunnen apps van niet-geverifieerde ontwikkelaars blijven installeren, maar moeten daar voortaan nadrukkelijker voor kiezen.
Voor ontwikkelaars die hun software slechts met een beperkte groep willen delen, komt daarnaast een zogenoemd limited distribution-account. Daarmee kunnen studenten en hobbyisten hun apps met maximaal twintig apparaten delen zonder een identiteitsbewijs van de overheid te hoeven aanleveren of registratiekosten te betalen.
De nieuwe aanpak zal vooral gevolgen hebben voor Android-gebruikers die regelmatig onbekende APK-bestanden installeren. Voor hen verdwijnt het laagdrempelige karakter van sideloaden gedeeltelijk: wie een niet-geverifieerde app buiten ADB om wil installeren, moet voortaan eerst een eenmalige procedure doorlopen en 24 uur wachten.