Verifica dello sviluppatore Android: percorsi per Play, distributori di app di terze parti e hobbisti

Ciao a tutti e benvenuti al nostro intervento all'ADS 2026 sulla verifica degli sviluppatori.

Sono Rob Clifford del team Android Developer Relations, insieme al mio collega Naheed Vora, product manager del team App and Ecosystem Trust.

Oggi esamineremo alcune delle informazioni più importanti necessarie per la verifica degli sviluppatori Android, in modo da garantire che le tue app rimangano conformi.

La nostra missione è semplice.

Vogliamo offrire a ogni sviluppatore, che gestisca app da milioni di dollari su Google Play, pubblichi su altri store come Samsung, Oppo, Vivo, Honor e Xiaomi o crei strumenti open source e prototipi per studenti nei fine settimana, un percorso chiaro per la verifica.

Vogliamo ringraziarti per le tue domande e il tuo feedback, perché hanno influenzato direttamente la nostra esperienza con l'app e i nuovi strumenti per rendere questi requisiti ancora più semplici per ogni sviluppatore.

E l'adozione è stata massiccia.

Da quando la verifica è stata aperta a tutti a marzo, sono state registrate milioni di app a livello globale e anche il nostro recente lancio regionale è andato a buon fine, con le app registrate che rappresentano oltre il 99% delle installazioni di app nei paesi in cui abbiamo iniziato a lanciare queste protezioni, ovvero Brasile, Indonesia, Singapore e Thailandia.

Al termine di questa sessione, saprai esattamente quale percorso di verifica corrisponde al tuo flusso di lavoro, come sfruttare le rivendicazioni automatiche zero-touch, come funziona il sistema di verifica al momento dell'installazione sul dispositivo e i principali traguardi di implementazione che precedono l'applicazione globale il prossimo anno.

Naheed inizierà con un riepilogo di come la verifica degli sviluppatori mira a proteggere l'ecosistema e una panoramica dei gruppi di sviluppatori interessati e delle loro esigenze.

Naheed, a te la parola.

Grazie, Rob.

Per capire perché stiamo introducendo la verifica dello sviluppatore Android, dobbiamo esaminare il panorama degli avversari che minacciano il nostro ecosistema.

Oggi, le frodi finanziarie, le frodi tariffarie e i trojan bancari costano miliardi di dollari in danni agli utenti.

Quando analizziamo queste minacce, emerge un pattern.

Le organizzazioni criminali sfruttano l'anonimato per diffondere rapidamente e ripetutamente app dannose, frodi finanziarie e truffe, che richiedono un enorme sforzo per essere identificate.

E quando li identifichiamo, sono già passati al target e al pacchetto successivi.

La verifica interrompe questo schema, questa asimmetria, collegando ogni app distribuita a un soggetto giuridico o a uno sviluppatore verificato e responsabile.

La verifica aumenta notevolmente questa barriera economica per i truffatori e interrompe la fattibilità di queste reti di malware usa e getta.

Stiamo creando un livello di base per l'intero ecosistema Android e collaboriamo con i distributori di tutto il mondo per aumentare la sicurezza della piattaforma, mantenendo al contempo la base aperta per Android.

Per garantire questa conformità, abbiamo creato quattro diversi percorsi.

Il primo è per gli sviluppatori su Google Play.

Oltre il 99% di voi ha già completato l'ID commerciante e oltre il 99% delle vostre app è già registrato su Play.

In secondo luogo, per gli sviluppatori che distribuiscono al di fuori di Play, abbiamo creato un portale dedicato, di cui parleremo tra poco, dove puoi identificarti e poi registrare i tuoi pacchetti.

Terzo, studenti e appassionati.

Il nostro account con distribuzione limitata è disponibile senza costi aggiuntivi.

È senza costi.

Non è prevista la verifica tramite documento d'identità e la procedura è semplice per autorizzare i dispositivi con cui vuoi condividere i contenuti tramite un semplice codice QR o un handshake.

E grazie al vostro feedback, oggi annunciamo che aumenteremo il limite da 20 a 50 e che questa modifica verrà implementata molto presto.

L'ultimo è per gli utenti esperti.

Gli utenti esperti e gli sperimentatori open source avranno la possibilità di godere di questa libertà tramite avvisi trasparenti, di cui parleremo più avanti.

Esaminiamo nel dettaglio il primo verticale, gli sviluppatori di Google Play.

Come ho già detto, la maggior parte di voi e dei vostri pacchetti è già stata verificata.

Inoltre, Play Console registra automaticamente qualsiasi pacchetto registrato tramite il registry di backend.

Tuttavia, esiste uno scenario critico che dovresti verificare immediatamente.

Molti di voi distribuiscono app al di fuori di Play, per varianti aziendali o anche per altri store.

Se utilizzi un nome del pacchetto o una chiave di firma diversi, non riconosceremo queste app.

Quindi devi assicurarti che siano registrati. Ecco cosa devi fare.

In Play Console sarà presente una scheda Verifica dello sviluppatore, dove potrai registrare le app.

Ora esaminiamo il secondo verticale.

Si tratta di app distribuite al di fuori di Google Play.

Per supportarti senza alcuna dipendenza da Google Play Console, abbiamo creato una console dedicata per te.

L'indirizzo è android.google.com/developerconsole.

I workflow di onboarding prevedono solo tre semplici passaggi.

Il primo passaggio consiste nel creare l'account.

Puoi registrarti come organizzazione o come privato.

In secondo luogo, puoi completare la verifica tramite documento d'identità.

Pertanto, se rappresenti un'organizzazione, devi avere un numero D-U-N-S.

Se non ce l'hai, devi sapere che sono necessari almeno 30 giorni, quindi devi registrarti e avviare immediatamente la procedura.

L'ultimo passaggio consiste nel registrare i pacchetti e le chiavi. Esiste un modo molto semplice per caricare un pacchetto e dimostrare che la chiave di firma ti appartiene.

Questo è tutto.

Ora passo la parola a Rob, che parlerà degli strumenti e delle API che possono semplificarti la vita.

Grazie, Naheed.

Pertanto, mentre le organizzazioni si preparano all'adozione a livello di ecosistema, l'automazione diventa ancora più essenziale, soprattutto per i grandi studi e i distributori di terze parti che gestiscono da decine a migliaia di app.

Dobbiamo supportare questi casi d'uso e, per farlo, abbiamo creato l'API Android Developer Console per consentire una registrazione programmatica e senza interruzioni per i casi d'uso in cui l'esecuzione manuale di questa procedura creerebbe un collo di bottiglia significativo.

Per iniziare, parliamo del modello di integrazione per l'API.

Poiché la verifica dello sviluppatore Android si applica alle app, non solo su Play, ma anche su altre piattaforme, l'API Android Developer Console esiste per fornire il framework necessario ad altri store per integrare facilmente il workflow di conformità direttamente nella loro esperienza utente.

Pertanto, utilizzando l'API Android Developer Console, puoi confermare che l'account è verificato, gestire in modo programmatico i criteri di generazione e completamento, gestire le registrazioni, inclusa la gestione di nuovi pacchetti, oppure puoi associare qualsiasi chiave di firma pubblica per gestire i pacchetti già registrati o i pacchetti esistenti in cui l'API applica la prova crittografica della proprietà tramite il token di verifica.

Se gestisci le chiavi per conto dei tuoi sviluppatori, il backend del tuo store può automatizzare completamente questo processo senza l'interazione manuale degli sviluppatori.

Infine, l'API include regole di risoluzione dei conflitti basate sul volume di installazioni reali, per cui le chiavi che rappresentano oltre il 50% delle installazioni note hanno la priorità, impedendo l'occupazione non autorizzata di nomi di pacchetti consolidati.

L'API Android Developer Console include anche un utile modello di autenticazione che utilizza il flusso del server web OAuth 2.0 standard con l'ambito di Android Developer Console.

Poiché la verifica dello sviluppatore è legata a un soggetto giuridico verificato con un Account Google, non è possibile utilizzare i service account e le chiavi API tradizionali.

Invece, in ambienti CI/CD come GitHub Actions o Cloud Build, esegui un flusso di consenso una tantum con tipo di accesso offline, archivi il token di aggiornamento in modo sicuro nel tuo Secret Manager e generi token di accesso di breve durata on demand.

Infine, l'API Android Developer Console non è disponibile solo per i distributori di app diversi da Play.

Sebbene gli store possano sfruttare questa funzionalità per migliorare il flusso di conformità per i propri sviluppatori, è anche disponibile direttamente per gli sviluppatori per l'integrazione nei flussi come ritengono opportuno, sia per l'integrazione nei flussi CI/CD degli sviluppatori sia per i publisher che gestiscono cataloghi di grandi dimensioni di app diverse e devono sviluppare soluzioni personalizzate per la gestione dello stato di verifica dell'intero portfolio.

L'API Android Developer Console fornisce strumenti efficaci per semplificare il rispetto della conformità.

Per iniziare a utilizzare l'API Developer Console, consulta la nostra documentazione per lo sviluppo utilizzando il codice QR mostrato qui.

Oltre all'API Android Developer Console, abbiamo introdotto anche l'API Android Developer Status per consentirti di verificare se il nome di un pacchetto applicativo per app per Android è già registrato con uno sviluppatore Android verificato.

Se crei strumenti per sviluppatori software, IDE o flussi di lavoro CI/CD automatizzati, puoi integrare questa API server-to-server per aiutare i tuoi utenti a controllare lo stato di registrazione del pacchetto, verificare se il certificato di firma dell'app corrisponde alle credenziali registrate e invitarli a registrare le app non riconosciute.

Per chi è qui con noi all'ADS, se date un'occhiata alle sessioni demo della piattaforma Android, potete vedere come questa API può controllare la registrazione dei vostri pacchetti live.

Ora diamo un'occhiata a questo terzo verticale, gli account con distribuzione limitata.

Abbiamo progettato questo percorso appositamente per garantire che studenti, appassionati e creator indipendenti abbiano un modo per continuare a creare e condividere app su Android con amici, familiari, compagni di classe e colleghi.

L'utilizzo di questo flusso è completamente senza costi.

Non è prevista alcuna quota annuale, nessun numero D-U-N-S e nessuna documentazione di registrazione dell'attività.

Tutto ciò che ti serve è un account Google.

Registrare un pacchetto da utilizzare nella distribuzione limitata è semplice.

Non devi fare altro che andare su Android Developer Console, registrare un nome di pacchetto valido, ad esempio Camera Magic, e assegnargli un nome descrittivo.

Dopo aver inserito il nome del pacchetto, completa la registrazione aggiungendo una chiave SHA-256 pubblica generata durante il passaggio di build. In questo modo, il nome del pacchetto e della build verranno associati al tuo account, registrandoli come tuoi.

Dopo aver registrato correttamente il pacchetto, puoi condividerlo con un'altra persona aggiungendo il suo dispositivo come associato al tuo account sviluppatore.

Per farlo, crea un nuovo dispositivo associato nella Console per sviluppatori, assegnagli un nome facile da ricordare e genera un codice QR e un link che puoi condividere con il proprietario del nuovo dispositivo.

Quando aprono il link, verrà chiesto loro di rispondere se sei uno sviluppatore che conoscono e di cui si fidano e se vogliono consentire l'installazione delle tue app sul loro dispositivo.

Una volta dato il consenso, l'utente riceverà il proprio codice generato da inviarti e, una volta inserito, il suo dispositivo potrà installare le app associate al tuo account sviluppatore.

Oltre alla distribuzione limitata come alternativa per gli sviluppatori, offriamo anche il flusso avanzato come opzione per gli utenti esperti che vogliono continuare a installare pacchetti non registrati a loro discrezione.

Abbiamo creato il flusso avanzato per consentire agli utenti esperti di installare app non registrate quando scelgono di accettare il rischio, mantenendo al contempo misure di protezione fondamentali contro le truffe di ingegneria sociale per gli utenti comuni.

Nelle frodi finanziarie e nelle truffe di deviazione chiamate del mondo reale, i criminali fanno affidamento sull'urgenza, sulla paura e sulla coercizione telefonica ad alta pressione per costringere le vittime a eseguire il sideload di payload dannosi.

Richiedendo il riavvio del dispositivo e un conto alla rovescia di 24 ore che non può essere saltato, Advanced Flow interrompe questa pressione, dando alle potenziali vittime il tempo e lo spazio per prendere una decisione informata su ciò che viene loro chiesto di fare.

Per attivare questa opzione, devi innanzitutto attivare la modalità sviluppatore sul dispositivo andando su Impostazioni, Informazioni sullo smartphone e toccando il numero build 7 volte.

Se stai guardando questo video e non eri ancora uno sviluppatore, congratulazioni per il tuo nuovo ruolo.

Grazie per aver riso.

Ora che il dispositivo è in modalità sviluppatore, possiamo accedere all'opzione Flusso avanzato andando su Sistema, Opzioni sviluppatore e attivando Consenti app di sviluppatori non verificati.

Dopo aver attivato questa opzione, potresti dover inserire il PIN e poi dovrai confermare l'avviso che indica che se qualcuno ti sta dicendo di farlo, probabilmente si tratta di una truffa.

Successivamente, riavvia il dispositivo per avviare il ritardo di sicurezza di 24 ore.

Questo passaggio è fondamentale per aiutare le vittime di truffe a sottrarsi alle tattiche di urgenza impiegate dai truffatori e a ricevere assistenza per bloccare questo tentativo di sfruttamento.

Durante la finestra di 24 ore, nelle Impostazioni viene visualizzato un timer conto alla rovescia attivo del tempo rimanente prima di poter utilizzare il flusso avanzato.

Al termine delle 24 ore, l'utente può scegliere se disattivare temporaneamente la verifica per 7 giorni o mantenerla disattivata definitivamente.

Un'ultima volta, l'utente deve confermare di essere a conoscenza del rischio intrinseco della rimozione di questa precauzione di sicurezza predefinita prima di toccare Fine per completare la configurazione dispositivo per il flusso avanzato.

Da quel momento in poi, gli utenti possono installare app non registrate.

In questo modo, gli utenti esperti hanno il controllo illimitato sulle app che vogliono installare, come si aspettano, mentre gli utenti comuni sono al sicuro.

Ora esaminiamo la nostra sequenza temporale di implementazione per la verifica dello sviluppatore.

La Fase 1 è iniziata a marzo 2026 con l'introduzione di Android Developer Console.

La Fase 2 è iniziata 5 mesi dopo, quando gli strumenti per sviluppatori sono diventati più ampiamente disponibili.

La fase 3 è stata il nostro traguardo più recente, il 30 settembre 2026.

In questa data è iniziata l'applicazione a livello regionale nei 4 mercati di lancio regionali che abbiamo menzionato in precedenza: Brasile, Indonesia, Singapore e Thailandia.

In questi mercati, ora 7 importanti store partner applicano i requisiti per gli sviluppatori verificati.

La Fase 4 cercherà di espandere questo requisito di protezione degli utenti in modo ponderato e incrementale l'anno prossimo, nel 2027.

Infine, è importante notare che se la tua sede è in Cina, ma distribuisci in queste regioni, devi registrare anche le app che verranno distribuite.

Passo la parola a Naheed per concludere e riepilogare ciò che devi fare.

Okay.

Okay.

Quindi, grazie, Rob.

Per riepilogare i passaggi più importanti, gli sviluppatori che distribuiscono su Play devono controllare le proprie app su Play Console oggi stesso e assicurarsi che siano registrate e rivendicate, in particolare quelle distribuite al di fuori di Play.

In secondo luogo, per le app che distribuisci esclusivamente al di fuori di Google Play, crea il tuo account Android Developer Console tramite questo link.

Per studenti e appassionati, è possibile creare un account senza costi e distribuire le app su un massimo di 50 dispositivi.

Grazie mille per aver partecipato oggi.

Siamo entusiasti di collaborare con te e di rendere Android un ecosistema più sicuro per miliardi di utenti in tutto il mondo.

Nella prossima slide è presente un codice QR che ti consente di accedere alla documentazione per lo sviluppo.

Non vediamo l'ora di vedere il tuo prossimo progetto.

Buon Android Dev Summit.

Grazie.