Weryfikacja dewelopera aplikacji na Androida: ścieżki dla Google Play, dystrybutorów aplikacji innych firm i hobbystów

Witamy wszystkich na prezentacji ADS 2026 dotyczącej weryfikacji deweloperów.

Nazywam się Rob Clifford i jestem członkiem zespołu ds. relacji z programistami aplikacji na Androida. Jest ze mną mój kolega Naheed Vora, menedżer produktu z zespołu ds. zaufania do aplikacji i ekosystemu.

Dzisiaj omówimy najważniejsze informacje dotyczące weryfikacji deweloperów aplikacji na Androida, które pomogą Ci zapewnić zgodność aplikacji z zasadami.

Nasza misja jest prosta.

Chcemy, aby każdy deweloper – niezależnie od tego, czy zarządza aplikacjami w Google Play, które generują wielomilionowe przychody, publikuje aplikacje w innych sklepach z aplikacjami, takich jak Samsung, Oppo, Vivo, Honor i Xiaomi, czy też w weekendy tworzy narzędzia open source i prototypy studenckie – miał jasną ścieżkę weryfikacji.

Dziękujemy za pytania i opinie, ponieważ miały one bezpośredni wpływ na wrażenia użytkowników aplikacji i nowe narzędzia, dzięki którym spełnienie tych wymagań jest jeszcze łatwiejsze dla każdego dewelopera.

I jest on bardzo popularny.

Od marca, kiedy weryfikacja stała się dostępna dla wszystkich, na całym świecie zarejestrowano miliony aplikacji. Niedawne wprowadzenie tej funkcji w wybranych regionach również przebiegło bezproblemowo – zarejestrowane aplikacje stanowią ponad 99% instalacji aplikacji w krajach, w których zaczęliśmy wprowadzać te zabezpieczenia (Brazylia, Indonezja, Singapur i Tajlandia).

Po zakończeniu tej sesji będziesz dokładnie wiedzieć, która ścieżka weryfikacji pasuje do Twojego przepływu pracy, jak korzystać z automatycznych deklaracji bezdotykowych, jak działa weryfikator czasu instalacji na urządzeniu oraz jakie są kluczowe etapy wdrażania przed globalnym egzekwowaniem w przyszłym roku.

Naheed zacznie od podsumowania, jak weryfikacja deweloperów ma chronić ekosystem, oraz omówienia grup deweloperów, których dotyczy ten proces, i ich potrzeb.

Naheed, oddaję Ci głos.

Dziękuję, Rob.

Aby zrozumieć, dlaczego wprowadzamy weryfikację deweloperów aplikacji na Androida, musimy przyjrzeć się zagrożeniom, z którymi mierzy się nasz ekosystem.

Obecnie oszustwa finansowe, oszukańcze abonamenty i trojany bankowe powodują szkody dla użytkowników o wartości miliardów dolarów.

Analizując te zagrożenia, zauważyliśmy pewien wzorzec.

Szkodliwe syndykaty wykorzystują anonimowość, aby szybko i wielokrotnie rozpowszechniać szkodliwe aplikacje, oszustwa finansowe i inne oszustwa, których wykrycie wymaga ogromnego wysiłku.

Zanim je zidentyfikujemy, przenoszą się już na kolejny cel i do kolejnego pakietu.

Weryfikacja przerywa ten schemat, tę asymetrię, łącząc każdą rozpowszechnianą aplikację ze zweryfikowaną, odpowiedzialną osobą prawną lub deweloperem.

Weryfikacja znacznie podnosi tę barierę ekonomiczną dla oszustów i zakłóca działanie sieci złośliwego oprogramowania.

Tworzymy warstwę podstawową dla całego ekosystemu Androida i współpracujemy z dystrybutorami na całym świecie, aby zwiększyć bezpieczeństwo platformy, zachowując jednocześnie otwartą podstawę Androida.

Aby zapewnić zgodność z tymi zasadami, utworzyliśmy 4 różne ścieżki.

Pierwsza dotyczy deweloperów w Google Play.

Ponad 99% z Was ma już identyfikator przedsiębiorcy, a ponad 99% Waszych aplikacji jest już zarejestrowanych w Google Play.

Po drugie, dla deweloperów, którzy rozpowszechniają aplikacje poza Google Play, utworzyliśmy specjalny portal, o którym za chwilę opowiemy. Można się w nim zidentyfikować, a następnie zarejestrować pakiety.

Trzecia kategoria to studenci i hobbyści.

Konto z ograniczoną dystrybucją jest dostępne bez dodatkowych opłat.

To jest bezpłatne.

Nie ma weryfikacji tożsamości, a proces jest prosty – możesz autoryzować urządzenia, którym chcesz udostępniać treści, za pomocą prostego kodu QR lub uzgadniania.

Dzięki Waszym opiniom ogłaszamy, że dzisiaj zwiększamy limit z 20 do 50 osób. Ta zmiana zostanie wprowadzona już wkrótce.

Ostatnia opcja jest przeznaczona dla doświadczonych użytkowników.

Doświadczeni użytkownicy i osoby eksperymentujące z oprogramowaniem open source będą mogli korzystać z tej swobody dzięki przejrzystym ostrzeżeniom. O tym również opowiemy później.

Przyjrzyjmy się bliżej pierwszej branży, czyli deweloperom w Google Play.

Jak już wspominałem, większość z Was i Waszych pakietów została już zweryfikowana.

Ponadto Konsola Play automatycznie zarejestruje każdy pakiet, który zarejestrujesz, w rejestrze backendu.

Istnieje jednak jeden krytyczny scenariusz, który należy natychmiast sprawdzić.

Wielu z Was rozpowszechnia aplikacje poza Google Play, na przykład w wersjach dla firm lub w innych sklepach.

Pamiętaj, że jeśli używasz innej nazwy pakietu lub klucza podpisywania, nie rozpoznamy tych aplikacji.

Musisz więc upewnić się, że są zarejestrowane. Oto, co musisz zrobić.

W Konsoli Play pojawi się karta Weryfikacja dewelopera, na której będzie można zarejestrować te aplikacje.

Przyjrzyjmy się teraz drugiej branży.

Są to aplikacje rozpowszechniane poza Google Play.

Aby zapewnić Ci wsparcie bez konieczności korzystania z Konsoli Google Play, utworzyliśmy specjalną konsolę.

To android.google.com/developerconsole.

Proces rejestracji składa się z 3 prostych kroków.

Pierwszym krokiem jest utworzenie konta.

Możesz zarejestrować się jako organizacja lub osoba fizyczna.

Po drugie, możesz przejść weryfikację tożsamości.

Jeśli więc reprezentujesz organizację, musisz mieć numer DUNS.

Jeśli nie masz takiego numeru, musisz go zarejestrować i rozpocząć ten proces natychmiast, ponieważ zajmuje to co najmniej 30 dni.

Ostatnim krokiem jest zarejestrowanie pakietów i kluczy. Istnieje bardzo prosty sposób na przesłanie pakietu i udowodnienie, że klucz podpisywania należy do Ciebie.

To wszystko.

Teraz przekażę głos Robowi, który opowie o narzędziach i interfejsach API, które ułatwią Wam życie.

Dziękuję.

W miarę jak organizacje przygotowują się do wdrożenia tego rozwiązania w całym ekosystemie, automatyzacja staje się jeszcze ważniejsza, zwłaszcza w przypadku dużych studiów i zewnętrznych dystrybutorów, którzy zarządzają od kilkudziesięciu do tysięcy aplikacji.

Musimy uwzględnić te przypadki użycia, dlatego stworzyliśmy interfejs API Konsoli programisty Androida, aby umożliwić bezproblemową, automatyczną rejestrację w przypadkach, gdy ręczne przejście przez ten proces byłoby znacznym utrudnieniem.

Na początek omówmy model integracji interfejsu API.

Weryfikacja dewelopera aplikacji na Androida dotyczy aplikacji nie tylko w Google Play, ale też w innych sklepach. Interfejs API Konsoli programisty Androida zapewnia niezbędne ramy, dzięki którym inne sklepy mogą łatwo zintegrować proces sprawdzania zgodności bezpośrednio ze swoimi usługami.

Dzięki interfejsowi API Konsoli programisty Androida możesz potwierdzić, że konto jest zweryfikowane, automatycznie zarządzać kryteriami generowania i realizacji, zarządzać rejestracjami, w tym obsługą nowych pakietów, lub powiązać dowolny publiczny klucz podpisywania, aby obsługiwać pakiety, które zostały już zarejestrowane, lub istniejące pakiety, w przypadku których interfejs API wymaga kryptograficznego dowodu własności za pomocą tokena weryfikacyjnego.

Jeśli zarządzasz kluczami w imieniu deweloperów, backend sklepu może całkowicie zautomatyzować ten proces bez konieczności ręcznej interwencji dewelopera.

Interfejs API zawiera też reguły rozwiązywania konfliktów oparte na rzeczywistej liczbie instalacji, dzięki czemu klucze reprezentujące ponad 50% znanych instalacji mają priorytet, co zapobiega nieautoryzowanemu przejmowaniu ustalonych nazw pakietów.

Interfejs API Konsoli programisty Androida zawiera też przydatny model uwierzytelniania, który korzysta ze standardowego przepływu serwera WWW OAuth 2.0 z zakresem Konsoli programisty Androida.

Weryfikacja dewelopera jest powiązana ze zweryfikowaną osobą prawną na koncie Google, dlatego nie można używać tradycyjnych kont usługi ani kluczy interfejsu API.

Zamiast tego w środowiskach CI/CD, takich jak GitHub Actions czy Cloud Build, przeprowadzasz jednorazowy proces wyrażania zgody z typem dostępu offline, bezpiecznie przechowujesz token odświeżania w Secret Managerze i generujesz krótkotrwałe tokeny dostępu na żądanie.

Interfejs Android Developer Console API jest dostępny nie tylko dla dystrybutorów aplikacji poza Google Play.

Sklepy mogą wykorzystać tę funkcję, aby ułatwić deweloperom proces zapewniania zgodności. Jest ona też dostępna bezpośrednio dla deweloperów, którzy mogą ją wbudować w procesy według własnego uznania, np. w procesy CI/CD, lub dla wydawców, którzy zarządzają dużymi katalogami różnych aplikacji i muszą opracować niestandardowe rozwiązania do zarządzania stanem weryfikacji całego portfolio.

Interfejs API Konsoli programisty Androida udostępnia zaawansowane narzędzia, które ułatwiają zachowanie zgodności z zasadami.

Aby zacząć korzystać z interfejsu API Konsoli Play, zapoznaj się z dokumentacją dla deweloperów, którą znajdziesz, skanując ten kod QR.

Oprócz interfejsu Konsola programisty Androida API wprowadziliśmy też interfejs Android Developer Status API, który umożliwia sprawdzenie, czy nazwa pakietu aplikacji na Androida jest już zarejestrowana na zweryfikowanego programistę aplikacji na Androida.

Jeśli tworzysz narzędzia do tworzenia oprogramowania, IDE lub zautomatyzowane przepływy pracy CI/CD, możesz zintegrować ten interfejs API typu serwer-serwer, aby pomóc użytkownikom sprawdzać stan rejestracji pakietu, sprawdzać, czy certyfikat podpisywania aplikacji jest zgodny z zarejestrowanymi danymi logowania, i prosić ich o zarejestrowanie nierozpoznanych aplikacji.

Jeśli uczestniczysz w ADS, możesz obejrzeć sesje demonstracyjne platformy Androida, aby zobaczyć, jak ten interfejs API może sprawdzać rejestrację aktywnych pakietów.

Teraz przyjrzyjmy się trzeciej kategorii, czyli kontom z ograniczoną dystrybucją.

Zaprojektowaliśmy tę ścieżkę specjalnie po to, aby uczniowie, hobbyści i niezależni twórcy mogli nadal tworzyć i udostępniać aplikacje na Androida znajomym, rodzinie, kolegom z klasy i współpracownikom.

Korzystanie z tego procesu jest całkowicie bezpłatne.

Nie ma opłaty rocznej, numeru D-U-N-S ani dokumentów rejestracyjnych firmy.

Wystarczy mieć konto Google.

Rejestracja pakietu do użytku w ramach ograniczonej dystrybucji jest prosta.

Wystarczy, że wejdziesz do Konsoli programisty Androida i zarejestrujesz prawidłową nazwę pakietu, np. Camera Magic, i podasz przyjazną nazwę.

Po wpisaniu nazwy pakietu dokończ rejestrację, dodając publiczny klucz SHA-256 wygenerowany podczas kompilacji. Spowoduje to powiązanie tego pakietu i nazwy kompilacji z Twoim kontem i zarejestrowanie ich jako Twoich.

Po zarejestrowaniu pakietu możesz go udostępnić innej osobie, dodając jej urządzenie jako powiązane z Twoim kontem dewelopera.

Aby to zrobić, utwórz nowe powiązane urządzenie w konsoli programisty, przypisz mu przyjazną nazwę, a następnie wygeneruj kod QR i link, który możesz udostępnić właścicielowi tego nowego urządzenia.

Gdy otworzą link, pojawi się pytanie, czy jesteś deweloperem, którego znają i któremu ufają, oraz czy chcą zezwolić na instalowanie Twoich aplikacji na ich urządzeniu.

Gdy użytkownik wyrazi zgodę, otrzyma wygenerowany kod, który musi Ci przesłać. Po wpisaniu tego kodu na urządzeniu użytkownika będzie można instalować aplikacje powiązane z Twoim kontem dewelopera.

Oprócz ograniczonej dystrybucji jako alternatywy dla deweloperów oferujemy też zaawansowany proces dla doświadczonych użytkowników, którzy chcą nadal instalować niezarejestrowane pakiety według własnego uznania.

Opracowaliśmy tryb zaawansowany, aby umożliwić doświadczonym użytkownikom instalowanie niezarejestrowanych aplikacji, gdy zdecydują się zaakceptować ryzyko, a jednocześnie chronić zwykłych użytkowników przed oszustwami związanymi z inżynierią społeczną.

W przypadku oszustw finansowych i oszustw związanych z przekierowywaniem połączeń przestępcy wykorzystują poczucie pilności, strach i presję, aby zmusić ofiary do instalowania złośliwego oprogramowania z nieznanych źródeł.

Wymagając ponownego uruchomienia urządzenia i niepomijalnego 24-godzinnego odliczania, proces zaawansowany przerywa tę presję, dając potencjalnym ofiarom czas i przestrzeń na podjęcie świadomej decyzji o tym, o co są proszone.

Aby włączyć tę opcję, najpierw przełącz urządzenie w tryb programisty. W tym celu otwórz Ustawienia, Informacje o telefonie i 7 razy kliknij numer kompilacji.

Jeśli oglądasz ten film, a nie jesteś jeszcze deweloperem, gratulujemy nowej roli.

Dziękuję za śmiech.

Gdy urządzenie jest w trybie programisty, możemy uzyskać dostęp do opcji trybu zaawansowanego, przechodząc do sekcji System, Opcje programisty i włączając opcję zezwalania na aplikacje od niezweryfikowanych deweloperów.

Po włączeniu tej opcji może być konieczne podanie kodu PIN, a następnie potwierdzenie, że zapoznano się z ostrzeżeniem, że jeśli ktoś prosi o wykonanie tej czynności, prawdopodobnie jest to oszustwo.

Następnie uruchamiasz ponownie urządzenie, aby rozpocząć 24-godzinny okres opóźnienia.

Ten krok jest kluczowy, ponieważ pomaga ofiarom oszustw uniknąć presji wywieranej przez oszustów i uzyskać pomoc w powstrzymaniu próby wyłudzenia.

W ciągu tych 24 godzin w Ustawieniach wyświetla się aktywny licznik czasu, który pokazuje, ile czasu pozostało, zanim będzie można skorzystać z procesu zaawansowanego.

Po upływie 24 godzin użytkownik może wybrać, czy chce tymczasowo wyłączyć weryfikację na 7 dni, czy na stałe.

Użytkownik musi jeszcze raz potwierdzić, że rozumie ryzyko związane z usunięciem tego domyślnego środka bezpieczeństwa, a następnie kliknąć Gotowe, aby zakończyć konfigurację urządzenia w trybie zaawansowanym.

Od tego momentu użytkownicy mogą instalować niezarejestrowane aplikacje.

Dzięki temu doświadczeni użytkownicy mają nieograniczoną kontrolę nad aplikacjami, które chcą zainstalować, a codzienni użytkownicy są bezpieczni.

Teraz omówimy harmonogram wdrażania weryfikacji deweloperów.

Etap 1 rozpoczął się w marcu 2026 r. wraz z wprowadzeniem Konsoli programisty Androida.

Faza 2 rozpoczęła się 5 miesięcy później, gdy narzędzia dla programistów stały się ogólnie dostępne.

Etap 3 to ostatni ważny etap, który zakończył się 30 września 2026 r.

Tego dnia zaczęliśmy egzekwować te zasady na 4 rynkach, o których wspomnieliśmy wcześniej: w Brazylii, Indonezji, Singapurze i Tajlandii.

Na tych rynkach 7 głównych sklepów partnerskich egzekwuje wymagania dotyczące zweryfikowanych deweloperów.

W ramach fazy 4 planujemy rozszerzyć to wymaganie dotyczące ochrony użytkowników w 2027 roku.

Na koniec warto zauważyć, że jeśli Twoja firma ma siedzibę w Chinach, ale rozpowszechniasz aplikacje w tych regionach, musisz też zarejestrować aplikacje, które będą rozpowszechniane.

Przekażę głos Naheed, która podsumuje nasze spotkanie i przypomni, co należy zrobić.

OK.

OK.

Dziękuję, Rob.

Podsumowując najważniejsze kroki: deweloperzy, którzy rozpowszechniają aplikacje w Google Play, powinni już dziś sprawdzić swoje aplikacje w Konsoli Play i upewnić się, że są one zarejestrowane i przypisane do ich kont, zwłaszcza te, które są rozpowszechniane poza Google Play.

Po drugie, w przypadku aplikacji, które rozpowszechniasz wyłącznie poza Google Play, utwórz konto w Konsoli programisty Androida, klikając ten link.

Uczniowie i hobbysty mogą utworzyć bezpłatne konto i rozpowszechniać aplikacje na maksymalnie 50 urządzeniach.

Dziękuję za udział w dzisiejszej sesji.

Cieszymy się, że możemy z Tobą współpracować i tworzyć bezpieczniejszy ekosystem Androida dla miliardów użytkowników na całym świecie.

Na następnym slajdzie znajdziesz kod QR, który umożliwia dostęp do dokumentacji dla deweloperów.

Nie możemy się doczekać, co stworzysz w przyszłości.

Życzymy udanego Android Dev Summit.

Dziękujemy.