Validation des développeurs Android : parcours pour Play, les distributeurs d'applications tiers et les développeurs amateurs

Bienvenue à toutes et à tous à notre conférence ADS 2026 sur la validation des développeurs.

Je m'appelle Rob Clifford et je fais partie de l'équipe Relations avec les développeurs Android. Je suis accompagné de mon collègue Naheed Vora, responsable produit dans l'équipe App and Ecosystem Trust.

Aujourd'hui, nous allons passer en revue certaines des informations les plus importantes dont vous avez besoin pour la validation des développeurs Android afin de vous assurer que vos applications restent conformes.

Notre mission est simple.

Nous voulons que tous les développeurs, qu'ils gèrent des applications générant des millions de dollars sur Google Play, qu'ils publient sur d'autres magasins d'applications comme Samsung, Oppo, Vivo, Honor et Xiaomi, ou qu'ils créent des outils Open Source et des prototypes d'étudiants le week-end, puissent suivre un parcours de validation clair.

Nous tenons à vous remercier pour vos questions et vos commentaires, car ils ont directement influencé l'expérience dans l'application et les nouveaux outils que nous avons créés pour faciliter encore plus le respect de ces exigences pour tous les développeurs.

et l'adoption a été forte.

Des millions d'applications ont été enregistrées dans le monde entier depuis que la validation a été ouverte à tous en mars. Notre récent lancement régional s'est également déroulé sans problème, les applications enregistrées représentant plus de 99 % des installations d'applications dans les pays où nous avons commencé à déployer ces protections, à savoir le Brésil, l'Indonésie, Singapour et la Thaïlande.

À la fin de cette session, vous saurez exactement quelle méthode de validation correspond à votre workflow, comment profiter des revendications automatisées sans contact, comment fonctionne le vérificateur au moment de l'installation sur l'appareil et quelles sont les étapes clés du déploiement avant l'application globale l'année prochaine.

Naheed commencera par rappeler comment la validation des développeurs vise à protéger l'écosystème, et présentera les groupes de développeurs concernés et leurs besoins.

Naheed, à vous la parole.

Merci, Rob.

Pour comprendre pourquoi nous introduisons la validation des développeurs Android, nous devons examiner le paysage des menaces auquel notre écosystème est confronté.

Aujourd'hui, la fraude financière, la fraude à la facturation par l'opérateur et les chevaux de Troie bancaires coûtent des milliards de dollars aux utilisateurs.

Lorsque nous analysons ces menaces, un schéma se dégage.

Les syndicats malveillants exploitent l'anonymat pour diffuser rapidement et de manière répétée des applications dangereuses, des fraudes financières et des escroqueries, qui sont très difficiles à identifier.

Et le temps que nous les identifions, ils sont déjà passés à la cible et au package suivants.

La validation brise ce schéma, cette asymétrie, en associant chaque application distribuée à une entité juridique ou à un développeur validé et responsable.

La validation augmente considérablement cette barrière économique pour les escrocs et perturbe la viabilité de ces réseaux de logiciels malveillants jetables.

Nous créons une couche de base pour l'ensemble de l'écosystème Android et nous collaborons avec des distributeurs du monde entier pour renforcer la sécurité de la plate-forme tout en conservant la base ouverte d'Android.

Pour vous aider à respecter cette conformité, nous avons créé quatre parcours différents.

Le premier est destiné aux développeurs sur Google Play.

Plus de 99 % d'entre vous ont déjà fourni leur ID de professionnel, et plus de 99 % de vos applications sont déjà enregistrées sur Play.

Ensuite, pour les développeurs qui distribuent leurs applications en dehors de Play, nous avons créé un portail dédié (nous en reparlerons plus tard) sur lequel vous pouvez vous identifier, puis enregistrer vos packages.

Troisièmement, les étudiants et les amateurs.

Notre compte à distribution limitée est disponible sans frais supplémentaires.

C'est sans frais.

Aucune validation de l'identité n'est requise, et le processus est simple : vous pouvez autoriser les appareils avec lesquels vous souhaitez partager des données à l'aide d'un simple QR code ou d'un handshake.

Grâce à vos commentaires, nous annonçons aujourd'hui que nous allons augmenter cette limite de 20 à 50. Ce changement sera déployé très prochainement.

Le dernier est destiné aux utilisateurs expérimentés.

Les utilisateurs expérimentés et les testeurs de l'open source pourront bénéficier d'une certaine liberté grâce à des avertissements transparents. Nous en reparlerons plus tard.

Examinons de plus près le premier secteur d'activité, les développeurs Google Play.

Comme je l'ai déjà dit, la plupart d'entre vous sont déjà validés, et la plupart de vos packages le sont aussi.

De plus, la Play Console enregistre automatiquement tout package que vous enregistrez via le registre de backend.

Toutefois, il existe un scénario critique que vous devez examiner immédiatement.

Vous êtes nombreux à distribuer des applications en dehors de Play, pour des variantes d'entreprise ou pour d'autres plates-formes.

Si vous utilisez un nom de package ou une clé de signature différents, nous ne reconnaîtrons pas ces applications.

Vous devez donc vous assurer qu'ils sont enregistrés. Voici comment procéder :

Un onglet "Validation du développeur" est disponible dans la Play Console. Vous pouvez y enregistrer ces applications.

Examinons maintenant le deuxième secteur.

Il s'agit d'applications distribuées en dehors de Google Play.

Pour vous aider sans dépendre de la Google Play Console, nous avons créé une console dédiée.

Il s'agit de android.google.com/developerconsole.

Le workflow d'intégration ne comporte que trois étapes simples.

La première étape consiste à créer votre compte.

Vous pouvez vous inscrire en tant qu'organisation ou en tant que particulier.

Ensuite, vous pouvez valider votre identité.

Si vous êtes une organisation, vous devez donc disposer d'un numéro D-U-N-S.

Si vous n'en avez pas, vous devez vous inscrire et lancer la procédure immédiatement, car elle prend au moins 30 jours.

La dernière étape consiste à enregistrer vos packages et vos clés. Il existe un moyen très simple d'importer un package et de prouver que cette clé de signature vous appartient.

C'est aussi simple que ça.

Je vais maintenant laisser la parole à Rob, qui va vous parler des outils et des API qui vous faciliteront la vie.

Merci, Naheed.

Alors que les organisations se préparent à une adoption à l'échelle de l'écosystème, l'automatisation devient encore plus essentielle, en particulier pour les grands studios et les distributeurs tiers qui gèrent entre des dizaines et des milliers d'applications.

Nous devons prendre en compte ces cas d'utilisation. Pour ce faire, nous avons conçu l'API Android Developer Console afin de permettre un enregistrement programmatique fluide pour les cas d'utilisation où un processus manuel créerait un goulot d'étranglement important.

Pour commencer, parlons du modèle d'intégration de l'API.

Étant donné que la validation des développeurs Android s'applique aux applications, non seulement sur Play, mais aussi sur d'autres plates-formes, l'API Android Developer Console fournit le framework nécessaire pour que les autres plates-formes puissent facilement intégrer le workflow de conformité directement dans leur expérience utilisateur.

Ainsi, l'API Android Developer Console vous permet de confirmer que le compte est validé, de gérer de manière programmatique les critères de génération et de finalisation, de gérer les enregistrements (y compris la gestion des nouveaux packages), d'associer n'importe quelle clé de signature publique pour gérer les packages déjà enregistrés, ou de gérer les packages existants pour lesquels l'API applique une preuve cryptographique de propriété via le jeton de validation.

Si vous gérez les clés pour le compte de vos développeurs, le backend de votre magasin peut automatiser entièrement ce processus sans intervention manuelle des développeurs.

Enfin, l'API inclut des règles de résolution des conflits basées sur le volume d'installations réel. Ainsi, les clés représentant plus de 50 % des installations connues sont prioritaires, ce qui empêche l'utilisation non autorisée de noms de packages établis.

L'API Android Developer Console inclut également un modèle d'authentification utile qui utilise le flux de serveur Web OAuth 2.0 standard avec le champ d'application Android Developer Console.

La validation du développeur étant liée à une entité juridique validée sous un compte Google, les comptes de service et les clés API traditionnels ne peuvent pas être utilisés.

Au lieu de cela, dans les environnements CI/CD tels que GitHub Actions ou Cloud Build, vous effectuez un flux de consentement unique avec un type d'accès hors connexion, vous stockez le jeton d'actualisation de manière sécurisée dans votre gestionnaire de secrets et vous générez des jetons d'accès de courte durée à la demande.

Enfin, l'API Android Developer Console n'est pas réservée aux distributeurs d'applications autres que Play.

Les plates-formes peuvent utiliser cette fonctionnalité pour améliorer le processus de conformité de leurs développeurs. Elle est également disponible directement pour les développeurs, qui peuvent l'intégrer à leurs processus comme ils le souhaitent, que ce soit pour l'intégrer à leurs processus CI/CD ou pour les éditeurs qui gèrent de grands catalogues d'applications différentes et doivent développer des solutions personnalisées pour gérer l'état de validation de l'ensemble de leur portefeuille.

L'API Android Developer Console fournit des outils performants pour vous aider à respecter facilement la conformité.

Pour commencer à utiliser l'API Developer Console, consultez notre documentation pour les développeurs à l'aide du QR code affiché ici.

En plus de l'API Android Developer Console, nous avons également lancé l'API Android Developer Status pour vous permettre de vérifier si le nom de package d'une application Android est déjà enregistré auprès d'un développeur validé.

Si vous créez des outils de développement logiciel, des IDE ou des workflows CI/CD automatisés, vous pouvez intégrer cette API de serveur à serveur pour aider vos utilisateurs à vérifier l'état d'enregistrement du package, à vérifier que le certificat de signature d'application correspond aux identifiants enregistrés et à les inviter à enregistrer les applications non reconnues.

Pour ceux qui sont avec nous ici à l'ADS, si vous consultez les sessions de démonstration de la plate-forme Android, vous pouvez voir comment cette API peut vérifier l'enregistrement de vos packages en direct.

Examinons maintenant la troisième catégorie : les comptes à distribution limitée.

Nous avons conçu ce parcours spécifiquement pour permettre aux étudiants, aux amateurs et aux créateurs indépendants de continuer à créer et à partager des applications sur Android avec leurs amis, leur famille, leurs camarades de classe et leurs collègues.

L'utilisation de ce flux est 100 % sans frais.

Il n'y a pas de frais annuels, pas de numéro D-U-N-S et pas de formalités d'immatriculation d'entreprise.

Il suffit d'avoir un compte Google.

L'enregistrement d'un package pour une distribution limitée est simple.

Il vous suffit d'accéder à Android Developer Console, d'enregistrer un nom de package valide, comme "Camera Magic", et de lui attribuer un nom simple.

Une fois que vous avez saisi le nom de votre package, vous terminez l'enregistrement en ajoutant une clé SHA-256 publique générée lors de l'étape de compilation. Cela permet de lier ce package et ce nom de compilation à votre compte, et de l'enregistrer comme étant le vôtre.

Une fois que vous avez enregistré votre package, vous pouvez le partager avec un autre utilisateur en ajoutant son appareil en tant qu'associé de votre compte de développeur.

Pour ce faire, créez un appareil associé dans la Developer Console, attribuez-lui un nom convivial, puis générez un QR code et un lien que vous pourrez partager avec le propriétaire de ce nouvel appareil.

Lorsqu'il ouvrira le lien, il sera invité à indiquer s'il vous connaît et vous fait confiance en tant que développeur, et s'il souhaite autoriser l'installation de ses applications sur votre appareil.

Une fois qu'un utilisateur a donné son consentement, il reçoit un code généré qu'il doit vous renvoyer. Lorsque vous saisissez ce code, son appareil est autorisé à installer les applications associées à votre compte de développeur.

En plus de la distribution limitée comme alternative pour les développeurs, nous proposons également le flux avancé comme option pour les utilisateurs expérimentés qui souhaitent continuer à installer des packages non enregistrés à leur propre discrétion.

Nous avons conçu le flux avancé pour permettre aux utilisateurs expérimentés d'installer des applications non enregistrées lorsqu'ils choisissent d'accepter le risque, tout en maintenant des protections essentielles contre les escroqueries d'ingénierie sociale pour les utilisateurs de tous les jours.

Dans les cas réels de fraude financière et d'escroquerie au transfert d'appel, les criminels s'appuient sur l'urgence, la peur et la coercition téléphonique pour forcer les victimes à charger des charges utiles malveillantes.

En imposant un redémarrage de l'appareil et un compte à rebours de 24 heures qu'il n'est pas possible d'ignorer, le flux avancé interrompt cette pression, ce qui donne aux victimes potentielles le temps et l'espace nécessaires pour prendre une décision éclairée sur ce qu'on leur demande de faire.

Pour activer cette option, commencez par passer votre appareil en mode développeur en accédant à "Paramètres", puis "À propos du téléphone", et en appuyant sept fois sur le numéro de version.

Si vous regardez cette vidéo et que vous n'étiez pas encore développeur, félicitations pour votre nouveau rôle.

Merci de rire.

Maintenant que l'appareil est en mode développeur, nous pouvons accéder à l'option "Flux avancé" en accédant à "Système", "Options pour les développeurs", puis en activant l'option "Autoriser les applis de développeurs non validés".

Une fois cette option activée, vous devrez peut-être saisir votre code, puis accepter l'avertissement indiquant que si quelqu'un vous demande de le faire, il s'agit probablement d'une escroquerie.

Ensuite, vous redémarrez l'appareil pour lancer le délai de sécurité de 24 heures.

Cette étape est essentielle pour aider les victimes d'escroqueries à se soustraire aux tactiques d'urgence employées par les escrocs, puis à obtenir de l'aide pour mettre fin à cette tentative d'exploitation.

Pendant cette période de 24 heures, les paramètres affichent un compte à rebours indiquant le temps restant avant que vous puissiez utiliser le flux avancé.

Une fois les 24 heures écoulées, l'utilisateur peut choisir de désactiver temporairement la validation pendant sept jours ou de la désactiver définitivement.

Une dernière fois, l'utilisateur doit accepter le risque inhérent à la suppression de cette mesure de sécurité par défaut avant d'appuyer sur "OK" pour terminer la configuration de l'appareil pour le flux avancé.

À partir de ce moment, les utilisateurs peuvent installer des applications non enregistrées.

Les utilisateurs expérimentés peuvent ainsi contrôler sans restriction les applications qu'ils souhaitent installer, tandis que les utilisateurs standards sont protégés.

Examinons maintenant le calendrier de déploiement de la validation des développeurs.

La phase 1 a débuté en mars 2026 avec l'introduction de l'Android Developer Console.

La phase 2 a commencé cinq mois plus tard, lorsque les outils pour les développeurs sont devenus plus largement disponibles.

La phase 3 correspondait à notre dernière étape critique, le 30 septembre 2026.

À cette date, l'application régionale a commencé sur les quatre marchés de déploiement régional que nous avons mentionnés précédemment : le Brésil, l'Indonésie, Singapour et la Thaïlande.

Dans ces marchés, sept grands magasins partenaires appliquent désormais les exigences de validation des développeurs.

La phase 4 visera à étendre cette exigence de protection des utilisateurs de manière réfléchie et progressive l'année prochaine, en 2027.

Enfin, il est important de noter que si vous êtes basé en Chine, mais que vous distribuez vos applications dans ces régions, vous devez également enregistrer les applications qui seront distribuées.

Je vais maintenant laisser la parole à Naheed pour conclure et récapituler ce que vous devez faire.

Très bien.

Très bien.

Merci, Rob.

Pour récapituler les étapes les plus importantes, les développeurs qui distribuent leurs applications sur Play doivent les auditer dès aujourd'hui dans la Play Console et s'assurer qu'elles sont enregistrées et revendiquées, en particulier celles qu'ils distribuent en dehors de Play.

Deuxièmement, pour les applications que vous distribuez exclusivement en dehors de Play, créez votre compte Android Developer Console en cliquant sur ce lien.

Les étudiants et les amateurs peuvent créer un compte sans frais et distribuer leurs applications sur un maximum de 50 appareils.

Merci beaucoup de votre participation.

Nous sommes ravis de collaborer avec vous pour faire d'Android un écosystème plus sûr et sécurisé pour des milliards d'utilisateurs dans le monde.

Vous trouverez un QR code sur la diapositive suivante pour accéder à la documentation pour les développeurs.

Nous avons hâte de découvrir vos futures créations.

Nous vous souhaitons un excellent Sommet des développeurs Android.

Merci.