Google почала розгортати advanced flow — навмисно ускладнений спосіб встановлення застосунків від розробників, які не пройшли верифікацію. Процедура передбачає режим розробника, біометричне підтвердження, перезавантаження смартфона й добу очікування. Це компроміс, до якого компанія прийшла після майже року критики з боку спільноти вільного програмного забезпечення.
Коротко про головне
- Google змінює правила встановлення файлів APK на сертифікованих пристроях Android.
- «Розширений процес» вимагає окремого підтвердження, що користувача ніхто не примушує вмикати це налаштування.
- Між активацією налаштування й першим встановленням має минути 24 години.
- Обовʼязкову верифікацію розробників почнуть застосовувати 30 вересня 2026 року лише у чотирьох країнах. Глобальне розгортання заплановане на 2027 рік.
Що таке сайдлоадинг
Сайдлоадингом називають встановлення застосунку із завантаженого файлу APK — поза офіційним магазином. Найближча аналогія у світі Windows — запуск інсталятора .exe або .msi: файл завантажують, відкривають і дочікуються завершення встановлення.
Ця можливість була однією з ключових відмінностей Android від iOS і роками залишалася майже незмінною. Водночас саме вона стала зручним каналом поширення шкідливого ПЗ: APK з невідомого сайту може містити банківський троян або шпигунський модуль, а наслідком стає компрометація пристрою й викрадення даних.
Чому Google переписує правила
У серпні 2025 року компанія оголосила про програму верифікації розробників, яка привʼязує кожен застосунок на сертифікованому пристрої до підтвердженої особи автора. Ідея полягає в тому, щоб позбавити зловмисників анонімності: після блокування одного шкідливого застосунку створити новий обліковий запис і швидко перевипустити його стає значно складніше. Деталі Google описала у березневому дописі для розробників.
Компанія обґрунтовує жорсткість посиланням на масштаб шахрайства. За звітом Global State of Scams 2025 від Global Anti-Scam Alliance і Feedzai, який спирається на опитування 46 тисяч дорослих у 42 країнах, 57% респондентів стикалися з шахрайством упродовж року, а 23% втратили гроші. Google оцінює світові збитки споживачів у 442 мільярди доларів.
Розширений процес компанія називає «одноразовим процесом для досвідчених користувачів», спроєктованим так, щоб завадити шахраям під психологічним тиском змусити жертву встановити шкідливе ПЗ. Типовий сценарій, який описує Google: зловмисники залякують фінансовим крахом, проблемами із законом або загрозою близьким, залишаються на звʼязку й покроково інструктують жертву обходити попередження системи, доки та не встигла обміркувати ситуацію чи попросити допомоги.
Терміни й географія
За оновленим графіком Google, перевірка реєстрації розробників почне діяти 30 вересня 2026 року для користувачів Бразилії, Індонезії, Сінгапуру й Таїланду. На старті вона охопить сім магазинів: Google Play, HONOR App Market, OPPO App Market, Galaxy Store, Palm Store, V-Appstore і GetApps. Поширення вимоги на всі сертифіковані пристрої в решті країн заплановане на 2027 рік.
Для українських користувачів це означає, що найближчими місяцями встановлення APK працює у звичному режимі. Розширений процес уже доступний як опція, але примусового блокування незареєстрованих застосунків в Україні поки немає.
Як увімкнути розширений процес
Про початок розгортання повідомив у спільноті r/Android менеджер зі звʼязків з Android-спільнотою Мішал Раман. Функцію викочують поступово, тому потрібне налаштування зʼявляється не на всіх пристроях одночасно.
- Увімкнути параметри розробника: «Налаштування» → «Про телефон» → «Інформація про ПЗ» → сім разів торкнутися рядка «Номер збірки».
- Відкрити «Налаштування» → «Система» → «Параметри розробника» → «Застосунки від неперевірених розробників».
- Активувати перемикач «Дозволити застосунки від неперевірених розробників» і підтвердити особу способом розблокування екрана — відбитком, обличчям або PIN-кодом.
- У наступному вікні підтвердити, що ніхто не просив вмикати це налаштування. Саме цей крок розрахований на розпізнавання ситуації, коли людину інструктує шахрай.
- Перезавантажити пристрій. Перезапуск розриває активне віддалене підключення або дзвінок, через який зловмисник міг спостерігати за екраном.
- Через 24 години повернутися до того самого розділу й обрати термін дії дозволу: сім днів або безстроково.
Що ще варто знати про розширений процес
Деталі, які Google розкрила разом зі стартом розгортання, суттєво впливають на практику використання.
- Параметри розробника можна вимкнути одразу після активації налаштування — розширений процес продовжить працювати.
- Якщо тимчасово вимкнути дозвіл, є десять хвилин на те, щоб увімкнути його назад без нового 24-годинного очікування.
- Правило поширюється не лише на нові встановлення, а й на оновлення. Поки дозвіл вимкнено, застосунки від незареєстрованих розробників не оновлюватимуться.
- Встановлення через Android Debug Bridge (ADB) залишається винятком і не потребує ані верифікації, ані очікування.
- За роботу механізму відповідає окрема системна служба Android Developer Verifier. Її можна встановити вручну з Google Play, щоб пришвидшити появу нового налаштування.
- Одноразове налаштування переноситься на нові пристрої користувача — повторювати процедуру після зміни смартфона не потрібно.
- Попередження про неперевіреного розробника показуватиметься перед кожним встановленням, але кнопка «Все одно встановити» лишається активною.
Режим посиленого захисту блокує встановлення APK
Окремий барʼєр — режим Advanced Protection, представлений в Android 16. Він вимикає дозвіл «Встановлення невідомих застосунків», тож поки режим активний, встановити APK неможливо в принципі. Одночасно він примусово вмикає Google Play Protect, блокує мережі 2G і WEP, активує захист памʼяті MTE та посилює фільтрацію спаму й фішингу.
Щоб встановити APK, режим доведеться тимчасово вимкнути в налаштуваннях. Одразу після завершення встановлення його варто увімкнути назад: втрата решти захисних механізмів заради одного застосунку — надто висока ціна.
Звідки завантажувати файли APK
Джерело завантаження більше не є вирішальним чинником. Раман окремо наголосив: система не розрізняє, звідки походить APK — з F-Droid, стороннього магазину чи прямого посилання на сайті. Значення має виключно те, чи зареєстрований розробник. Це не скасовує потреби перевіряти репутацію самого джерела, адже шкідливі застосунки здебільшого поширюються саме через сумнівні каталоги.
Серед відносно надійних майданчиків — F-Droid із каталогом вільного та відкритого ПЗ, APKMirror і Uptodown. Варто памʼятати про формати: окрім звичайних APK, деякі каталоги пропонують складені пакети XAPK або APKM, які встановлюються лише через фірмові застосунки відповідних сервісів.
Перед встановленням будь-якого файлу з-поза магазину доцільно перевірити, хто стоїть за застосунком, чи має проєкт публічний репозиторій і чи збігається назва пакета з офіційною. Питання, чи потрібен антивірус на Android, для тих, хто регулярно встановлює APK, має однозначну відповідь.
Критика з боку спільноти
Зміни викликали організований спротив. У лютому 2026 року F-Droid оголосив про підписання відкритого листа проти обовʼязкової верифікації розробників. Серед підписантів — Electronic Frontier Foundation, Free Software Foundation Europe, Software Freedom Conservancy, Tor Project, Proton і десятки інших організацій. Кампанія Keep Android Open наполягає, що централізована реєстрація дає Google можливість вимкнути будь-який застосунок в усій екосистемі, створює ризики стеження та тиску з боку урядів і фактично ставить хрест на незалежних каналах поширення програм.
F-Droid оцінює наслідки як екзистенційні для проєкту: його модель побудована на тому, що розробники не мусять реєструватися централізовано, платити внесок і завантажувати документи, видані державою. У відповідь Google запровадила безкоштовні акаунти з обмеженим поширенням для студентів і аматорів — вони дозволяють роздавати застосунок щонайбільше на 20 пристроїв без ідентифікаційного документа й оплати.
Висновок
Сайдлоадинг на Android формально нікуди не зникає, але перестає бути дією на кілька дотиків. Google перетворила його на процедуру з відкладеним стартом, розрахувавши, що доба очікування зруйнує сценарії соціальної інженерії, у яких усе вирішує вигаданий дефіцит часу. Ціною стала додаткова тертя для тих, хто свідомо встановлює ПЗ від незалежних розробників. Тим, хто хоче посилити захист смартфона без відмови від контролю над ним, варто почати з простіших кроків — наприклад, з приватного режиму DNS.
