Android Developer Verification: il nuovo sistema di Google che minaccia F-Droid e il sideloading libero

Da settembre 2026, in Brasile, Indonesia, Singapore e Thailandia, Google avvierà il programma Android Developer Verification (ADV): ogni sviluppatore che vuole distribuire un'app al di fuori del Play Store dovrà registrarsi centralmente, fornire documento d'identità e consegnare le chiavi crittografiche di firma delle proprie applicazioni. Il sistema partirà in quei quattro paesi e si estenderà globalmente entro il 2027. L'obiettivo dichiarato è combattere il malware. Il problema, secondo chi lo critica, è che lo strumento è molto più potente dello scopo.

Marc Prud'hommeaux, membro del board di F-Droid e sviluppatore dell'App Fair Project, ha pubblicato una lettera aperta in cui descrive l'ADV come un trojan horse che "gira in background come servizio di sistema con privilegi root completi, in silenziosa attesa di un segnale di attivazione" e che "non può essere bloccato, disabilitato o rimosso". Il paradosso, sottolinea, è che Play Protect, il sistema antimalware preinstallato su tutti i dispositivi certificati, non solo non segnala l'ADV come minaccia: è proprio il canale attraverso cui viene installato. È una descrizione volutamente drammatica, ma il nodo giuridico che solleva è reale.

Il punto più delicato riguarda i termini di servizio della Android Developer Console. La clausola 6.5 prevede che Google possa revocare l'accesso al programma in caso di distribuzione di "malware o altre applicazioni dannose", ma il termine malware non viene definito da nessuna parte nel documento. F-Droid lo dice esplicitamente: l'assenza di una definizione formale significa che "malware" potrebbe voler dire tutto o niente. Gli ad blocker, ad esempio, sono stati già banditi dal Play Store e in alcuni casi classificati come malware da Google. Il timore è che la definizione si allarghi progressivamente fino a comprendere qualsiasi app scomoda per il modello di business di Google.

F-Droid non nega che il problema dei malware esista, ma contesta la proporzionalità della risposta: secondo la lettera, il sistema non impedisce a un malintenzionato di distribuire malware, l'unico risultato pratico è costringerlo a creare un nuovo account. Un deterrente minimo, a fronte di un meccanismo di controllo molto più ampio.

Per capire perché l'ADV colpisce F-Droid in modo specifico, vale la pena spiegare come funziona questo store. A differenza del Play Store, F-Droid non distribuisce APK già compilati dagli sviluppatori: riceve il codice sorgente delle applicazioni e le compila autonomamente sui propri server, in un ambiente controllato e riproducibile. Il risultato è un APK firmato con le chiavi di F-Droid, non con quelle dello sviluppatore originale. Con l'ADV, tutte le app di F-Droid rischierebbero di essere bloccate sui dispositivi degli utenti, indipendentemente dal loro contenuto, semplicemente perché nessuno sviluppatore registrato le ha firmate.

Esisterebbe una via di mezzo teorica: F-Droid potrebbe mantenere la propria infrastruttura di compilazione ma richiedere agli sviluppatori di registrarsi e cedere la propria chiave verificata per la firma finale. Il problema è duplice: da un lato si sgretolerebbe la catena di fiducia attuale, dall'altro molti sviluppatori scelgono F-Droid proprio per evitare di registrarsi con documento d'identità presso Google, perché non vogliono essere ricondotti a una singola app.

A questo punto la domanda diventa: cosa c'è concretamente su F-Droid, e perché queste app non sono sul Play Store? L'analisi delle 7.084 app disponibili, incrociata con i dati di download reali dai server di F-Droid, racconta una storia abbastanza chiara. Circa il 70% delle app attive su F-Droid non ha un corrispettivo sul Play Store. Tra le 25 più scaricate escluse dal Play Store, quasi tutte hanno un motivo preciso per non esserci.

Le categorie principali sono queste:

• App per YouTube senza API ufficiali: NewPipe, InnerTune, Seal e YTDLnis permettono di accedere ai contenuti di YouTube bypassando pubblicità e tracciamento, o di scaricare video e audio. Il README ufficiale di NewPipe lo dichiara esplicitamente: metterlo sul Play Store violerebbe i termini di Google. InnerTune offre streaming gratuito di YouTube Music senza abbonamento Premium.
• Aurora Store: un client non ufficiale che accede alle API di Google Play usando account anonimi, permettendo di scaricare app dal Play Store senza un account Google. Il wiki ufficiale ammette che viola i ToS di Google Play.
• Ad blocker di sistema: AdAway e DNS66 bloccano la pubblicità a livello di sistema tramite modifica del file hosts o VPN locale. Google ha rimosso tutti gli ad blocker dal Play Store nel 2013 per violazione delle policy.
• Strumenti di sistema avanzati: app come Shelter, Canta e DSU Sideloader operano a livello di sistema con permessi elevati. Canta, in particolare, permette di disinstallare bloatware preinstallato, comprese le app Google.
• App borderline: Bluetooth LE Spam replica le funzionalità dei Flipper Zero per inviare pacchetti BLE falsi, con un potenziale di abuso evidente.

Il quadro è abbastanza trasparente: quando Prud'hommeaux dice che la sicurezza diventa un pretesto per il controllo, è ben consapevole di quali siano le app più scaricate da F-Droid. Anche ammettendo che Google blocchi solo i malware veri e ignori ogni altra categoria, un APK senza sviluppatore verificato, come un client non ufficiale di YouTube che nessuno si sognerebbe di firmare con il proprio nome, sarebbe agli occhi del sistema identico a un qualsiasi malware: un pacchetto di cui nessuno vuole prendersi la responsabilità.

F-Droid potrebbe in teoria firmare le app come se le avesse sviluppate lei, ma a quel punto diventerebbe legalmente responsabile di ciascuna di esse, offrendo a Google un nome da portare in tribunale. In ogni altra configurazione, l'installazione di queste app resterebbe tecnicamente possibile, ma solo attraverso una procedura lunga e non semplice, il che nella pratica equivale a renderle inaccessibili alla maggior parte degli utenti. Il sideloading su Android sta per diventare un percorso a ostacoli, e F-Droid è la prima vittima di questa strategia.

L'articolo Android Developer Verification: il nuovo sistema di Google che minaccia F-Droid e il sideloading libero sembra essere il primo su Smartworld.