Per anni installare un APK su Android ha significato soprattutto una cosa: accettare un avviso, autorizzare quella specifica fonte e procedere. Questa settimana Google ha iniziato a distribuire un meccanismo molto più rigido per un caso preciso: le app firmate da sviluppatori che non hanno completato la nuova verifica dell'identità.
La novità ha fatto parecchio rumore perché nel nuovo “advanced flow” compare davvero un'attesa di 24 ore. Ma dire semplicemente che “Android blocca il sideloading per un giorno” è impreciso. Il cambiamento non riguarda ogni APK, non elimina gli store alternativi e non impedisce a un utente esperto di installare software non verificato. Introduce invece una frizione intenzionale, pensata per rendere molto più difficile convincere una persona al telefono a disattivare una protezione e installare subito un'app malevola.
Cosa sta arrivando davvero sui telefoni Android
Google ha chiamato il nuovo percorso “advanced flow”. Serve quando vuoi installare un'app proveniente da uno sviluppatore non registrato nel sistema di verifica Android e non vuoi passare da ADB.
La procedura è volutamente più macchinosa del vecchio interruttore “consenti da questa fonte”. Bisogna attivare le opzioni sviluppatore, scegliere l'autorizzazione per le app da sviluppatori non verificati, confermare che nessuno ci stia spingendo a farlo, autenticarsi, riavviare il telefono e poi attendere 24 ore. Finito il conto alla rovescia, si torna nelle impostazioni e si può abilitare il flusso per sette giorni oppure a tempo indeterminato.
Il dettaglio importante è che si tratta di una configurazione una tantum del permesso avanzato, non di una pausa obbligatoria di 24 ore per ogni singolo APK. Una volta completata la procedura e lasciata attiva l'autorizzazione, non parte un nuovo timer ogni volta che installi un'app non verificata.
Google aveva annunciato il meccanismo nei mesi scorsi, ma il motivo per cui se ne parla adesso è concreto: il 18 agosto è iniziato il rollout graduale della prima versione del flusso. Non tutti i dispositivi lo vedranno nello stesso momento.
Il sideloading non sparisce, ma cambia la distinzione che conta
La vera linea di confine non è più soltanto “Play Store contro tutto il resto”. È “sviluppatore verificato contro sviluppatore non verificato”.
Un'app può essere distribuita da un sito web, da uno store indipendente o con un link diretto e continuare a installarsi normalmente se il suo sviluppatore è registrato e l'app è associata correttamente alla sua identità. Il nuovo percorso ad alta frizione entra in gioco quando lo sviluppatore sceglie di non verificarsi oppure quando l'app non risulta registrata.
Questo punto è essenziale perché evita una conclusione troppo facile: Android non sta vietando gli store alternativi e non sta imponendo Google Play come unica origine del software. Sta però rendendo Google parte del processo di fiducia anche per molte installazioni che avvengono fuori dal Play Store, almeno sui dispositivi Android certificati.
Per gli utenti più tecnici resta poi ADB. Google specifica che le installazioni effettuate con Android Debug Bridge non sono soggette all'attesa di 24 ore. È una via perfettamente coerente per sviluppo, test e uso consapevole, ma richiede un computer e un minimo di dimestichezza: non è il sostituto pratico del vecchio “scarico l'APK e lo apro” per il pubblico generale.
Perché Google ha scelto proprio 24 ore
La spiegazione ufficiale non riguarda tanto il malware tradizionale quanto le truffe basate sulla coercizione. Immagina la telefonata del falso operatore bancario o del finto tecnico: la vittima viene guidata passo passo, sotto pressione, a installare un'app che permette di rubare credenziali o controllare il dispositivo.
Un semplice avviso può essere superato mentre il truffatore è ancora in linea. Un riavvio e soprattutto una pausa di 24 ore spezzano quella dinamica: l'attaccante non può ottenere tutto nello stesso momento e la persona ha tempo per ripensarci, chiedere aiuto o verificare la storia.
Google sostiene inoltre, citando una propria analisi, di aver rilevato oltre 90 volte più malware nelle fonti di sideloading rispetto a Google Play. È un dato aziendale, quindi va letto per quello che è e non come una misura indipendente dell'intero ecosistema Android. Però chiarisce il ragionamento dietro la scelta: per Google il problema non è soltanto capire se un APK contiene codice malevolo, ma rendere più difficile per un autore dannoso cambiare identità e ripresentarsi continuamente.
La contropartita è evidente. Una protezione progettata per fermare chi viene guidato da un truffatore rende più scomoda anche la vita di chi sa perfettamente cosa sta facendo.
Cosa cambia per chi usa APK, F-Droid e store alternativi
Per la maggior parte delle persone, nell'immediato, poco o nulla. Le app di sviluppatori verificati possono continuare a essere distribuite anche fuori dal Play Store, e il primo enforcement obbligatorio non parte oggi in Italia.
Dal 30 settembre 2026 la prima fase riguarda Brasile, Indonesia, Singapore e Thailandia e inizialmente coinvolge gli store partecipanti indicati da Google. L'espansione globale del sistema di verifica è prevista dal 2027.
Per gli store alternativi la situazione dipenderà quindi soprattutto dagli sviluppatori che ospitano. Se un'app è registrata da un autore verificato, il fatto che venga scaricata da una fonte diversa da Google Play non la rende automaticamente “non verificata”. Se invece il progetto sceglie di restare fuori dal sistema di identità di Google, l'utente dovrà aver completato l'advanced flow oppure usare ADB quando l'enforcement arriverà nel suo mercato.
È qui che la novità potrebbe pesare di più sul software open source più piccolo, sui progetti amatoriali e sulle app distribuite a gruppi ristretti. Google ha previsto account di distribuzione limitata che permettono di condividere un'app fino a 20 dispositivi senza documento governativo e senza tariffa, ma non è una soluzione universale per un progetto pubblico che vuole restare anonimo o indipendente dal sistema di registrazione.
Sicurezza contro apertura: il compromesso è più serio di quanto sembri
La parte interessante non è stabilire se Google abbia “ragione” o “torto” in assoluto. Il meccanismo affronta un problema reale con una tecnica che ha senso: introdurre tempo e attrito riduce l'efficacia delle truffe basate sull'urgenza.
Allo stesso tempo, Android ha costruito una parte importante della propria identità sulla possibilità di installare software senza chiedere il permesso a un unico negozio. La nuova verifica non cancella formalmente quella libertà, ma sposta il punto di controllo. Non conta più soltanto chi distribuisce il file: conta anche se Google riconosce l'identità dello sviluppatore o se l'utente ha esplicitamente sbloccato il percorso per ignorare quella verifica.
Per un utente normale può essere un buon affare: quasi nessun fastidio nelle installazioni comuni e una barriera aggiuntiva contro una classe di truffe molto aggressiva. Per un power user è soprattutto una seccatura da completare una volta. Per alcuni sviluppatori indipendenti, invece, il cambiamento è più sostanziale perché rende la registrazione dell'identità il percorso predefinito per raggiungere facilmente un pubblico ampio.
Cosa conviene fare adesso
Non c'è motivo di attivare il nuovo flusso preventivamente se non installi app da sviluppatori non verificati. Se scarichi APK solo occasionalmente, puoi continuare a valutare caso per caso e vedere quando la funzione arriverà sul tuo dispositivo.
Se invece usi spesso software distribuito fuori dagli store principali, la cosa più utile è distinguere tra “fuori dal Play Store” e “non verificato”: non sono sinonimi. Molte app esterne continueranno a installarsi senza il percorso avanzato.
E se ti serve davvero un'app di uno sviluppatore non verificato, le opzioni restano due: completare una volta il nuovo advanced flow oppure usare ADB. È meno immediato di prima, senza dubbio. Ma il sideloading su Android non è morto: da questa settimana, semplicemente, Google ha iniziato a mettere una porta molto più pesante davanti alla parte meno verificata dell'ecosistema.
Fonti
- Google Android Help: installare app da sviluppatori non verificati
- Android Developers: FAQ sulla verifica degli sviluppatori
- Android Developers Blog: aggiornamento sul rollout della verifica
- Android Developers Blog: rollout della verifica a tutti gli sviluppatori
- 9to5Google: rollout graduale dell'advanced flow