אימות למפתחי Android: מסלולים ל-Play, למפיצי אפליקציות של צד שלישי ולחובבים

ברוכים הבאים להרצאה שלנו ב-ADS 2026 בנושא אימות מפתחים.

אני רוב קליפורד מצוות קשרי המפתחים של Android, ואיתי נמצא נהיד וורה, מנהל מוצר מצוות האמון באפליקציות ובסביבה העסקית.

היום נעבור על כמה מהפרטים הכי חשובים שצריך לדעת על אימות למפתחי Android כדי לוודא שהאפליקציות שלכם עומדות בדרישות.

המטרה שלנו פשוטה.

אנחנו רוצים לתת לכל המפתחים דרך ברורה לאימות, בין אם אתם מנהלים אפליקציות ב-Google Play שמניבות מיליוני דולרים, מפרסמים בחנויות אפליקציות אחרות כמו Samsung,‏ Oppo,‏ Vivo,‏ Honor ו-Xiaomi, או מפתחים כלים בקוד פתוח ואבות טיפוס של סטודנטים בסופי שבוע.

אנחנו רוצים להודות לכם על השאלות והמשוב שלכם, כי הם השפיעו ישירות על חוויית השימוש באפליקציה ועל הכלים החדשים שנועדו להקל על כל המפתחים לעמוד בדרישות האלה.

השימוש בהם נרחב.

מאז שפתחנו את האימות לכולם במרץ, מיליוני אפליקציות נרשמו ברחבי העולם. גם ההשקה האזורית האחרונה שלנו עברה בצורה חלקה, והאפליקציות הרשומות מהוות יותר מ-99% מהתקנות האפליקציות במדינות שבהן התחלנו להשיק את אמצעי ההגנה האלה: ברזיל, אינדונזיה, סינגפור ותאילנד.

בסוף המפגש הזה, תדעו בדיוק איזה מסלול אימות מתאים לתהליך העבודה שלכם, איך לנצל את היתרונות של תביעות בעלות אוטומטיות ללא מגע יד אדם, איך פועל המאמת בזמן ההתקנה במכשיר ומהן אבני הדרך העיקריות להשקה לקראת האכיפה הגלובלית בשנה הבאה.

נהיד יתחיל בסיכום של האופן שבו אימות המפתחים נועד להגן על הסביבה העסקית, וסקירה כללית של קבוצות המפתחים המושפעות ומה הן צריכות.

נהיד, הבמה שלך.

תודה, רוב.

כדי להבין למה אנחנו משיקים את האימות למפתחי Android, צריך להסתכל על האיומים שקיימים בסביבה העסקית שלנו.

כיום, הונאות פיננסיות, הונאות תשלום קבוע וסוסים טרויאניים בבנקאות גורמים לנזק של מיליארדי דולרים למשתמשים.

כשאנחנו מנתחים את האיומים האלה, יש דפוס אחד שחוזר על עצמו.

ארגוני פשע זדוניים מנצלים את האנונימיות כדי להפיץ במהירות ובאופן חוזר אפליקציות מזיקות, הונאות פיננסיות ותרמיות, שנדרש מאמץ עצום כדי לזהות אותן.

עד שאנחנו מזהים אותם, הם כבר עוברים ליעד הבא ולחבילה הבאה.

האימות משנה את המצב הזה, כי הוא מקשר כל אפליקציה שמופצת לישות משפטית או למפתח מאומתים שאחראים לה.

האימות מגדיל באופן משמעותי את המחסום הכלכלי הזה לרמאים ומשבש את הכדאיות של רשתות התוכנות הזדוניות החד-פעמיות האלה.

אנחנו בונים שכבת בסיס לכל הסביבה העסקית של Android, ומשתפים פעולה עם מפיצים בכל העולם כדי לשפר את אבטחת הפלטפורמה תוך שמירה על הבסיס הפתוח של Android.

כדי לעזור לכם לעמוד בדרישות, יצרנו ארבעה מסלולים שונים.

הראשון מיועד למפתחים ב-Google Play.

יותר מ-99% מכם כבר השלימו את תהליך האימות של מזהה המוכר, ויותר מ-99% מהאפליקציות שלכם כבר רשומות ב-Play.

השינוי השני: למפתחים שמפיצים אפליקציות מחוץ ל-Play, יצרנו פורטל ייעודי שבו אפשר להזדהות ולרשום את החבילות. נדבר על זה בהמשך.

הקבוצה השלישית היא סטודנטים וחובבים.

החשבון עם הפרסום המוגבל זמין ללא עלות נוספת.

השירות הזה ניתן בחינם.

אין אימות זהות, והתהליך פשוט: אתם מאשרים את המכשירים שאתם רוצים לשתף באמצעות קוד QR פשוט או לחיצת יד.

ובזכות המשוב שלכם, אנחנו מכריזים היום על הגדלת המגבלה מ-20 ל-50, והשינוי הזה יושק בקרוב.

והאחרון מיועד למשתמשים מתקדמים.

למשתמשים מתקדמים ולמפתחים שמתנסים בקוד פתוח, תהיה דרך ליהנות מחופש פעולה באמצעות אזהרות שקופות, ונדבר גם על זה בהמשך.

אז בואו נתעמק בתחום הראשון, מפתחים ב-Google Play.

כמו שאמרתי קודם, רובכם כבר מאומתים, ורוב החבילות שלכם כבר מאומתות.

בנוסף, כל חבילה שתרשמו ב-Play Console תירשם באופן אוטומטי דרך המרשם לקצה העורפי.

עם זאת, יש תרחיש קריטי אחד שצריך לבדוק מיד.

הרבה מכם מפיצים אפליקציות מחוץ ל-Play, לגרסאות ארגוניות או לחנויות אחרות.

חשוב לזכור שאם אתם משתמשים בשם חבילה או במפתח חתימה אחרים, לא נזהה את האפליקציות האלה.

לכן, אתם צריכים לוודא שהם רשומים. כך עושים את זה:

ב-Play Console תהיה כרטיסייה בשם "אימות מפתחים", שבה אפשר לרשום את האפליקציות האלה.

עכשיו נבחן את הענף השני.

אלה אפליקציות שמופצות מחוץ ל-Google Play.

כדי לתמוך בכם בלי תלות ב-Google Play Console, יצרנו בשבילכם קונסולה ייעודית.

הכתובת היא android.google.com/developerconsole.

תהליך ההצטרפות כולל רק שלושה שלבים פשוטים.

השלב הראשון הוא ליצור חשבון.

אתם יכולים להירשם כארגון או כאדם פרטי.

בשלב השני, אתם יכולים להשלים את אימות הזהות.

לכן, אם אתם ארגון, אתם צריכים מספר D-U-N-S.

אם אין לכם את המסמך הזה, אתם צריכים להירשם ולהתחיל את התהליך באופן מיידי, כי הוא נמשך לפחות 30 יום.

השלב האחרון הוא לרשום את החבילות והמפתחות. יש דרך פשוטה מאוד להעלות חבילה ולהוכיח שמפתח החתימה הזה שייך לכם.

וזהו.

עכשיו אעביר את רשות הדיבור לרוב, שידבר על כלים וממשקי API שיכולים להקל עליכם.

תודה, Naheed.

לכן, כשארגונים מתכוננים לאימוץ של המערכת, האוטומציה הופכת לחיונית עוד יותר, במיוחד עבור אולפנים גדולים ומפיצים של צד שלישי שמנהלים בין עשרות לאלפי אפליקציות.

אנחנו צריכים לתת מענה לתרחישי השימוש האלה, ולכן פיתחנו את Android Developer Console API כדי לאפשר רישום פרוגרמטי חלק בתרחישי השימוש שבהם ביצוע התהליך הזה באופן ידני היה יוצר צוואר בקבוק משמעותי.

כדי להתחיל, נדבר על מודל השילוב של ה-API.

האימות למפתחי Android חל על אפליקציות ב-Play וגם בחנויות אחרות. לכן, ה-API של Android Developer Console מספק את המסגרת הנדרשת לחנויות אחרות כדי לשלב בקלות את תהליך העבודה של התאימות ישירות בחוויית המשתמש שלהן.

לכן, באמצעות Android Developer Console API, אתם יכולים לוודא שהחשבון מאומת, לנהל באופן פרוגרמטי את הקריטריונים ליצירה ולהשלמה, לנהל את הרישומים, כולל טיפול בחבילות חדשות, או לשייך כל מפתח חתימה ציבורי כדי לטפל בחבילות שכבר נרשמו, או לטפל בחבילות קיימות שבהן ה-API אוכף הוכחת בעלות קריפטוגרפית באמצעות אסימון האימות.

אם אתם מנהלים מפתחות בשביל המפתחים שלכם, ה-back-end של החנות יכול לבצע את התהליך הזה באופן אוטומטי לחלוטין, בלי אינטראקציה ידנית של המפתחים.

ולבסוף, ה-API כולל כללים לפתרון מחלוקות על סמך נפח ההתקנות בפועל, כך שמפתחות שמייצגים יותר מ-50% מההתקנות הידועות מקבלים עדיפות, מה שמונע השתלטות לא מורשית על שמות חבילות קיימים.

‫Android Developer Console API כולל גם מודל אימות שימושי שמשתמש בתהליך הרגיל של שרת אינטרנט OAuth 2.0 עם ההיקף של Android Developer Console.

אימות המפתחים קשור לישות משפטית מאומתת בחשבון Google, ולכן אי אפשר להשתמש בחשבונות שירות רגילים ובמפתחות API.

במקום זאת, בסביבות CI/CD כמו GitHub Actions או Cloud Build, אתם מבצעים תהליך הסכמה חד-פעמי עם סוג גישה אופליין, מאחסנים את טוקן הרענון באופן מאובטח במנהל הסודות שלכם ויוצרים טוקני גישה קצרי-מועד לפי דרישה.

ולבסוף, ה-Android Developer Console API לא זמין רק למפיצי אפליקציות מלבד Play.

חנויות יכולות להשתמש בפונקציונליות הזו כדי לשפר את תהליך התאימות של המפתחים שלהן, אבל היא זמינה גם ישירות למפתחים כדי לשלב אותה בתהליכים לפי הצורך, בין אם זה לשילוב בתהליכי CI/CD של מפתחים, או לבעלי תוכן דיגיטלי שמנהלים קטלוגים גדולים של אפליקציות שונות וצריכים לפתח פתרונות מותאמים אישית לניהול סטטוס האימות של כל תיק האפליקציות שלהם.

ה-API של Android Developer Console מספק כלים יעילים שמאפשרים לעמוד בדרישות בקלות.

כדי להתחיל להשתמש ב-Developer Console API, כדאי לעיין במאמרי העזרה למפתחים באמצעות קוד ה-QR שמוצג כאן.

בנוסף ל-Android Developer Console API, השקנו גם את Android Developer Status API שמאפשר לבדוק אם שם חבילת APK של אפליקציה ל-Android כבר רשום אצל מפתח מאומת.

אם אתם מפתחים כלים לפיתוח תוכנה, סביבות פיתוח משולבות (IDE) או תהליכי עבודה אוטומטיים של CI/CD, אתם יכולים לשלב את ה-API הזה בין שרתים כדי לעזור למשתמשים לבדוק את סטטוס הרישום של החבילה, לוודא שאישור חתימת האפליקציה תואם לפרטי הכניסה הרשומים, ולבקש מהם לרשום אפליקציות לא מזוהות.

אם אתם משתתפים בסדנאות ההדגמה של פלטפורמת Android כאן ב-ADS, אתם יכולים לראות איך ה-API הזה יכול לבדוק את הרישום של החבילות הפעילות שלכם.

עכשיו נבחן את הקטגוריה השלישית, חשבונות עם פרסום מוגבל.

יצרנו את המסלול הזה במיוחד כדי לוודא שלסטודנטים, לחובבים וליוצרים עצמאיים תהיה דרך להמשיך לפתח ולשתף אפליקציות ב-Android עם חברים, בני משפחה, חברים לכיתה וקולגות.

השימוש בתהליך הזה הוא בחינם לגמרי.

אין עמלה שנתית, אין מספר D-U-N-S ואין מסמכי רישום עסק.

כל מה שצריך זה חשבון Google.

קל לרשום חבילה לשימוש בהפצה מוגבלת.

כל מה שצריך לעשות הוא להיכנס ל-Android Developer Console, לרשום שם חבילה תקין, כמו Camera Magic, ולתת לו שם ידידותי.

אחרי שמזינים את שם החבילה, מסיימים את הרישום על ידי הוספת מפתח SHA-256 ציבורי שנוצר במהלך שלב ה-build. הפעולה הזו תקשר את החבילה ואת שם ה-build לחשבון שלכם, ותגדיר אותם כשייכים לכם.

אחרי שרשמתם את החבילה, אתם יכולים לשתף אותה עם מישהו אחר על ידי הוספת המכשיר שלו כשותף לחשבון הפיתוח שלכם.

כדי לעשות את זה, יוצרים מכשיר משויך חדש ב-Play Console, נותנים לו שם ידידותי ואז יוצרים קוד QR וקישור שאפשר לשתף עם הבעלים של המכשיר החדש.

כשהם יפתחו את הקישור, הם יתבקשו לענות אם אתם מפתחים שהם מכירים וסומכים עליהם, ואם הם רוצים לאפשר להתקין את האפליקציות שלהם במכשיר שלכם.

אחרי שהמשתמש יאשר, הוא יקבל קוד שנוצר בשבילו וישלח אותו אליכם. אחרי שתזינו את הקוד, המכשיר שלו יורשה להתקין אפליקציות שמשויכות לחשבון הפיתוח שלכם.

בנוסף להפצה מוגבלת כחלופה למפתחים, יש לנו גם את התהליך המתקדם כאפשרות למשתמשים מתקדמים שרוצים להמשיך להתקין חבילות לא רשומות לפי שיקול דעתם.

פיתחנו את התהליך המתקדם כדי לאפשר למשתמשים מנוסים להתקין אפליקציות לא רשומות כשהם בוחרים לקבל על עצמם את הסיכון, תוך שמירה על אמצעי הגנה קריטיים מפני תרמיות של הנדסה חברתית למשתמשים רגילים.

בהונאות פיננסיות ובהונאות של העברת שיחות בעולם האמיתי, פושעים מסתמכים על דחיפות, פחד וכפייה בלחץ גבוה בטלפון כדי לאלץ את הקורבנות לטעון מטענים ייעודיים (payload) זדוניים ממקורות לא מורשים.

התהליך המתקדם דורש הפעלה מחדש של המכשיר וספירה לאחור של 24 שעות שאי אפשר לדלג עליה. כך הוא משבש את הלחץ הזה, ונותן לקורבנות פוטנציאליים את הזמן והמרחב לקבל החלטה מושכלת לגבי מה שמבקשים מהם לעשות.

כדי להפעיל את האפשרות הזו, צריך קודם להעביר את המכשיר למצב פיתוח. לשם כך, עוברים אל "הגדרות", "מידע על הטלפון" ולוחצים על מספר ה-Build‏ 7 פעמים.

אם אתם צופים בסרטון הזה ועדיין לא הייתם מפתחים, מזל טוב על התפקיד החדש.

תודה שצחקתם.

עכשיו, כשהמכשיר במצב פיתוח, אפשר לגשת לאפשרות Advanced Flow (תהליך מתקדם) דרך "מערכת", "אפשרויות למפתחים" ולהפעיל את האפשרות "אפשר להוריד אפליקציות ממפתחים לא מאומתים".

אחרי שתפעילו את האפשרות הזו, יכול להיות שתצטרכו להזין את קוד האימות ולאשר את האזהרה שמציינת שאם מישהו אומר לכם לעשות את זה, כנראה שמדובר בתרמית.

בשלב הבא, אתם מפעילים מחדש את המכשיר כדי להתחיל את ההשהיה של 24 שעות לצורך אבטחה.

השלב הזה קריטי כדי לעזור לקורבנות של תרמיות להירגע מהטקטיקות של יצירת תחושת דחיפות שבהן משתמשים הרמאים, ואז לקבל עזרה כדי לסכל את הניסיון לנצל אותם.

במהלך חלון הזמן של 24 השעות, בהגדרות מוצג טיימר לספירה לאחור של הזמן שנותר עד שתוכלו להשתמש בתהליך המתקדם.

אחרי 24 שעות, המשתמש יכול לבחור אם להשבית את האימות באופן זמני למשך 7 ימים או להשבית אותו באופן קבוע.

בפעם האחרונה, המשתמש צריך לאשר את הסיכון הכרוך בהסרת אמצעי הבטיחות הזה שמוגדר כברירת מחדל, לפני שהוא לוחץ על "סיום" כדי להשלים את הגדרת המכשיר לתהליך המתקדם.

מאותו רגע, המשתמשים יכולים להתקין אפליקציות לא רשומות.

כך משתמשים מתקדמים יכולים להתקין אפליקציות בלי הגבלה, ומשתמשים רגילים יכולים להישאר בטוחים.

עכשיו נסקור את לוח הזמנים להשקת אימות המפתחים.

שלב 1 התחיל במרץ 2026 עם ההשקה של Android Developer Console.

שלב 2 התחיל 5 חודשים לאחר מכן, כשכלי הפיתוח הפכו לזמינים יותר לכלל המשתמשים.

שלב 3 היה אבן הדרך הקריטית האחרונה שלנו, ב-30 בספטמבר 2026.

בתאריך הזה התחילה האכיפה האזורית ב-4 השווקים שציינו קודם: ברזיל, אינדונזיה, סינגפור ותאילנד.

בשווקים האלה, 7 חנויות שותפים גדולות אוכפות את הדרישות לאימות מפתחים.

בשלב 4, נרחיב את הדרישה הזו להגנה על המשתמשים באופן הדרגתי ומחושב במהלך שנת 2027.

ולבסוף, חשוב לציין שאם אתם נמצאים בסין אבל מפיצים את האפליקציות שלכם באזורים שבהם חלה חובת הרישום, אתם צריכים לרשום גם את האפליקציות שאתם מתכוונים להפיץ.

אני אעביר את רשות הדיבור לנהיד כדי לסכם את מה שצריך לעשות.

טוב.

טוב.

אז תודה, רוב.

אז כדי לסכם את השלבים הכי חשובים, מפתחים שמפיצים אפליקציות ב-Play צריכים לבדוק את האפליקציות שלהם ב-Play Console עוד היום ולוודא שהאפליקציות רשומות ומוצהרות, במיוחד אלה שמופצות מחוץ ל-Play.

שנית, אם יש לך אפליקציות שמופצות רק מחוץ ל-Play, צריך ליצור חשבון Android Developer Console בקישור הזה.

סטודנטים וחובבים יכולים ליצור חשבון בחינם ולהפיץ את האפליקציה בעד 50 מכשירים.

תודה רבה לכולכם שהצטרפתם אלינו היום.

אנחנו שמחים על השותפות איתך ועל ההזדמנות להפוך את Android לסביבה בטוחה ומאובטחת יותר למיליארדי משתמשים ברחבי העולם.

בשקף הבא יש קוד QR שדרכו אפשר לגשת למאמרי העזרה למפתחים.

אנחנו מצפים לראות את הפיתוחים הבאים שלך.

שיהיה לכם מפגש מפתחי Android נפלא.

תודה.