Verificação de desenvolvedor Android: caminhos para o Google Play, distribuidores de App Distribution de terceiros e amadores

Olá, pessoal! Sejam bem-vindos à nossa palestra do ADS 2026 sobre verificação de desenvolvedores.

Sou Rob Clifford, da equipe de relações com desenvolvedores Android, e estou aqui com meu colega Naheed Vora, gerente de produtos da equipe de confiança do app e do ecossistema.

Hoje, vamos falar sobre algumas das informações mais importantes que você precisa para a verificação de desenvolvedor Android, garantindo que seus apps permaneçam em conformidade.

Nossa missão aqui é simples.

Queremos que todos os desenvolvedores, seja gerenciando apps multimilionários no Google Play, publicando em outras app stores, como Samsung, Oppo, Vivo, Honor e Xiaomi, ou criando ferramentas de código aberto e protótipos de estudantes nos fins de semana, tenham um caminho claro para a verificação.

Agradecemos suas perguntas e feedback, porque eles influenciaram diretamente nossa experiência no app e as novas ferramentas para facilitar ainda mais esses requisitos para todos os desenvolvedores.

E a adoção tem sido forte.

Milhões de apps foram registrados globalmente desde que a verificação foi aberta para todo mundo em março, e nosso lançamento regional recente também foi tranquilo, com os apps registrados representando mais de 99% das instalações nos países em que começamos a lançar essas proteções, que são Brasil, Indonésia, Singapura e Tailândia.

Ao final desta sessão, você vai saber exatamente qual caminho de verificação corresponde ao seu fluxo de trabalho, como aproveitar as declarações automatizadas sem toque, como o verificador de tempo de instalação funciona no dispositivo e os principais marcos de lançamento que levam à aplicação global no próximo ano.

Naheed vai começar com uma recapitulação de como a verificação de desenvolvedores protege o ecossistema, além de uma visão geral dos grupos de desenvolvedores afetados e o que eles precisam.

Naheed, é com você.

Obrigado, Rob.

Para entender por que estamos introduzindo a verificação de desenvolvedor Android, precisamos analisar o cenário de ameaças que nosso ecossistema enfrenta.

Hoje, fraudes financeiras, fraudes de cobrança e trojans bancários causam bilhões de dólares em prejuízos para os usuários.

Quando analisamos essas ameaças, um padrão se destaca.

Sindicatos mal-intencionados exploram o anonimato para disseminar apps nocivos, fraudes financeiras e golpes de forma rápida e repetida, o que exige um grande esforço para identificar.

E, quando os identificamos, eles já passaram para o próximo alvo e o próximo pacote.

A verificação quebra esse padrão, essa assimetria, ao vincular cada app distribuído a uma pessoa jurídica ou desenvolvedor verificado e responsável.

A verificação aumenta substancialmente essa barreira econômica para os golpistas e interrompe a viabilidade dessas redes de malware descartáveis.

Estamos criando uma camada de base para todo o ecossistema Android e fazendo parcerias com distribuidores do mundo todo para aumentar a segurança da plataforma, mantendo a base aberta do Android.

Para garantir essa conformidade, criamos quatro caminhos diferentes para você.

A primeira é para os desenvolvedores no Google Play.

Mais de 99% de vocês já concluíram o ID de comerciante, e mais de 99% dos seus apps já estão registrados no Google Play.

Em segundo lugar, para os desenvolvedores que distribuem fora do Google Play, criamos um portal dedicado, sobre o qual falaremos em breve, onde você pode se identificar e registrar seus pacotes.

Terceiro, estudantes e entusiastas.

Nossa conta de distribuição limitada está disponível sem custo financeiro adicional.

Não há custo financeiro.

Não há confirmação de identidade com documento, e o fluxo é fácil para você autorizar os dispositivos com que quer compartilhar usando um QR code ou um handshake simples.

E, graças ao seu feedback, estamos anunciando que vamos aumentar o limite hoje de 20 para 50, e isso será lançado em breve.

E o último é para usuários avançados.

Para usuários avançados e desenvolvedores de código aberto, vamos oferecer uma maneira de ter liberdade com avisos transparentes, e falaremos sobre isso mais adiante.

Vamos fazer uma investigação na primeira vertical, os desenvolvedores do Google Play.

Como eu disse antes, a maioria de vocês e dos seus pacotes já foi verificada.

Além disso, o Play Console registra automaticamente qualquer pacote que você registrar pelo back-end.

No entanto, há um cenário crítico que você precisa verificar imediatamente.

Muitos de vocês distribuem apps fora do Google Play, para variantes corporativas ou para outras lojas.

Se você estiver usando um nome de pacote ou uma chave de assinatura diferente, não vamos reconhecer esses apps.

Por isso, você precisa garantir que eles estejam registrados. Veja o que você precisa fazer.

Há uma guia "Verificação de desenvolvedor" no Play Console, onde você pode registrar esses apps.

Agora, vamos analisar o segundo setor.

São apps distribuídos fora do Google Play.

Para ajudar você sem depender do Google Play Console, criamos um console dedicado.

É android.google.com/developerconsole.

Os fluxos de trabalho de integração têm apenas três etapas simples.

A primeira etapa é criar sua conta.

Você pode se registrar como organização ou pessoa física.

Em seguida, você pode concluir a confirmação de identidade com documento.

Portanto, se você é uma organização, precisa de um número D-U-N-S.

Se você não tiver isso, precisará de pelo menos 30 dias. Portanto, registre-se e inicie esse processo imediatamente.

A última etapa é registrar seus pacotes e chaves. Há uma maneira muito simples de fazer upload de um pacote e provar que a chave de assinatura pertence a você.

Pronto.

Agora, vou passar a palavra para o Rob, que vai falar sobre ferramentas e APIs para facilitar sua vida.

Obrigada, Naheed.

Por isso, conforme as organizações se preparam para a adoção em todo o ecossistema, a automação se torna ainda mais essencial, especialmente para grandes estúdios e distribuidores terceirizados que gerenciam de dezenas a milhares de apps.

Precisamos acomodar esses casos de uso. Para isso, criamos a API Android Developer Console, que permite o registro programático e sem complicações para os casos em que o processo manual criaria um gargalo significativo.

Para começar, vamos falar sobre o modelo de integração da API.

Como a verificação de desenvolvedor Android se aplica a apps no Google Play e em outras lojas, a API Android Developer Console existe para fornecer a estrutura necessária para que outras lojas integrem facilmente o fluxo de trabalho de compliance diretamente à experiência do usuário.

Portanto, usando a API Android Developer Console, é possível confirmar que a conta foi verificada, gerenciar de forma programática os critérios de geração e conclusão, gerenciar registros, o que inclui o processamento de novos pacotes, ou associar qualquer chave de assinatura pública para lidar com pacotes que já foram registrados ou com pacotes atuais em que a API está aplicando a prova criptográfica de propriedade pelo token de verificação.

Se você gerencia chaves em nome dos desenvolvedores, o back-end da sua loja pode automatizar esse processo sem interação manual.

Por fim, a API inclui regras de resolução de conflitos com base no volume real de instalações. Assim, as chaves que representam mais de 50% das instalações conhecidas têm prioridade, o que evita o uso não autorizado de nomes de pacotes estabelecidos.

A API Android Developer Console também inclui um modelo de autenticação útil que usa o fluxo padrão do servidor da Web OAuth 2.0 com o escopo do Android Developer Console.

Como a verificação de desenvolvedor está vinculada a uma pessoa jurídica verificada em uma Conta do Google, não é possível usar contas de serviço e chaves de API tradicionais.

Em vez disso, em ambientes de CI/CD, como o GitHub Actions ou o Cloud Build, você realiza um fluxo de consentimento único com o tipo de acesso off-line, armazena o token de atualização com segurança no Secret Manager e gera tokens de acesso de curta duração sob demanda.

Por fim, a API Android Developer Console não está disponível apenas para distribuidores de apps além do Google Play.

As lojas podem usar essa funcionalidade para melhorar o fluxo de compliance dos desenvolvedores, mas ela também está disponível diretamente para os desenvolvedores criarem fluxos como acharem melhor, seja para integração com fluxos de CI/CD ou para editores que gerenciam grandes catálogos de apps diferentes e precisam desenvolver soluções personalizadas para gerenciar o status de verificação de todo o portfólio.

A API Android Developer Console oferece ferramentas robustas para facilitar o cumprimento das regras.

Para começar a usar a API Developer Console, confira nossa documentação para desenvolvedores usando o QR code mostrado aqui.

Além da API Android Developer Console, também lançamos a API Android Developer Status para que você possa verificar se o nome de um pacote do app Android já está registrado para um desenvolvedor Android verificado.

Se você cria ferramentas para desenvolvedores de software, IDEs ou fluxos de trabalho automatizados de CI/CD, pode integrar essa API de servidor para servidor para ajudar os usuários a verificar o status de registro do pacote, validar se o certificado de assinatura de apps corresponde às credenciais registradas e solicitar que eles registrem apps não reconhecidos.

Para quem está aqui no ADS, se você conferir as sessões de demonstração da plataforma Android, poderá ver como essa API pode verificar o registro dos seus pacotes ativos.

Agora, vamos analisar a terceira vertical: contas de distribuição limitada.

Criamos esse caminho especificamente para garantir que estudantes, entusiastas e criadores independentes possam continuar criando e compartilhando apps no Android com amigos, familiares, colegas de classe e de trabalho.

O uso desse fluxo é 100% sem custo financeiro.

Não há taxa anual, número D-U-N-S nem burocracia de registro comercial.

Tudo o que você precisa é de uma Conta do Google.

É simples registrar um pacote para uso em distribuição limitada.

Basta acessar o Android Developer Console, registrar um nome de pacote válido, como Camera Magic, e dar um nome amigável a ele.

Depois de inserir o nome do pacote, conclua o registro adicionando uma chave SHA-256 pública gerada durante a etapa de build. Isso vai vincular o pacote e o nome do build à sua conta, registrando-os como seus.

Depois de registrar o pacote, você pode compartilhá-lo com outra pessoa adicionando o dispositivo dela como associado à sua conta de desenvolvedor.

Para fazer isso, crie um novo dispositivo associado no console para desenvolvedores, atribua um nome fácil a ele e gere um QR code e um link que você pode compartilhar com o proprietário desse novo dispositivo.

Ao abrir o link, eles vão precisar responder se conhecem e confiam em você como desenvolvedor e se querem permitir que os apps sejam instalados no dispositivo.

Depois que o usuário consentir, ele vai receber um código gerado para enviar a você. Quando você inserir esse código, o dispositivo dele poderá instalar apps associados à sua conta de desenvolvedor.

Além da distribuição limitada como alternativa para desenvolvedores, também temos o fluxo avançado como opção para usuários avançados que querem continuar instalando pacotes não registrados por conta própria.

Criamos o Fluxo Avançado para permitir que usuários experientes instalem apps não registrados quando optarem por aceitar o risco, mantendo as proteções essenciais contra golpes de engenharia social para usuários comuns.

Em fraudes financeiras e golpes de encaminhamento de chamadas no mundo real, os criminosos usam urgência, medo e coerção por telefone para forçar as vítimas a fazer o sideload de payloads maliciosos.

Ao exigir uma reinicialização do dispositivo e uma contagem regressiva de 24 horas que não pode ser ignorada, o fluxo avançado interrompe essa pressão, dando às possíveis vítimas o tempo e o espaço necessários para tomar uma decisão informada sobre o que estão sendo solicitadas a fazer.

Para ativar essa opção, comece colocando o dispositivo no modo de desenvolvedor. Para isso, acesse "Configurações", "Sobre o telefone" e toque no número da versão sete vezes.

Se você está assistindo a este vídeo e ainda não era desenvolvedor, parabéns pela sua nova função.

Obrigado por rir.

Agora que o dispositivo está no modo de desenvolvedor, podemos acessar a opção "Fluxo avançado" em "Sistema", "Opções do desenvolvedor" e ativar a opção "Permitir apps de desenvolvedores não verificados".

Depois de ativar essa opção, talvez seja necessário inserir seu PIN e confirmar o aviso de que, se alguém estiver pedindo para você fazer isso, provavelmente é um golpe.

Em seguida, reinicie o dispositivo para iniciar o atraso de segurança de 24 horas.

Essa etapa é fundamental para que as vítimas de golpes tenham a oportunidade de se livrar das táticas de urgência usadas pelos golpistas e, em seguida, receber ajuda para impedir essa tentativa de exploração.

Durante esse período, as Configurações mostram um timer de contagem regressiva do tempo restante até que você possa usar o fluxo avançado.

Depois desse período, o usuário pode escolher entre desativar a verificação temporariamente por sete dias ou de forma permanente.

Por fim, o usuário precisa reconhecer o risco inerente à remoção dessa precaução de segurança padrão antes de tocar em "Concluído" para finalizar a configuração do dispositivo para o fluxo avançado.

A partir desse momento, os usuários podem instalar apps não registrados.

Isso dá aos usuários avançados o controle irrestrito sobre os apps que eles querem instalar, ao mesmo tempo que mantém os usuários comuns seguros.

Agora, vamos analisar o cronograma de lançamento da verificação de desenvolvedor.

A Fase 1 começou em março de 2026 com o lançamento do Android Developer Console.

A Fase 2 começou cinco meses depois, quando as ferramentas para desenvolvedores se tornaram mais disponíveis.

A Fase 3 foi nosso marco crítico mais recente, em 30 de setembro de 2026.

Nessa data, a aplicação regional começou nos quatro mercados de lançamento regional que mencionamos antes: Brasil, Indonésia, Singapura e Tailândia.

Nesses mercados, sete grandes lojas parceiras aplicam os requisitos de verificação de desenvolvedor.

A Fase 4 vai expandir esse requisito de proteção ao usuário de forma cuidadosa e gradual em 2027.

Por fim, é importante observar que, se você estiver na China, mas distribuir para essas regiões, também será necessário registrar os apps que serão distribuídos.

Vou passar a palavra para Naheed, que vai encerrar o evento e recapitular o que você precisa fazer.

Certo.

Certo.

Então, obrigado, Rob.

Para recapitular as etapas mais importantes, os desenvolvedores que distribuem no Google Play precisam auditar os apps no Play Console hoje mesmo e garantir que eles estejam registrados e reivindicados, especificamente os que são distribuídos fora do Google Play.

Em segundo lugar, para apps que você distribui exclusivamente fora do Google Play, crie sua conta do Android Developer Console neste link.

E para estudantes e entusiastas, é possível criar uma conta sem custo financeiro e distribuir para até 50 dispositivos.

Agradecemos demais a presença de vocês hoje.

É um prazer trabalhar com você para tornar o Android um ecossistema mais seguro para bilhões de usuários no mundo todo.

No próximo slide, há um QR code para acessar a documentação para desenvolvedores.

Mal podemos esperar para saber o que você vai criar!

Aproveite o Android Dev Summit.

Nossa equipe agradece.