Android e sideloading: cos'è cambiato dal 30 settembre 2026

Le nuove regole sulla verifica degli sviluppatori Android sono entrate in vigore, come stabilito, il 30 settembre 2026. La prima fase riguarda Brasile, Indonesia, Singapore e Tailandia e coinvolge gli utenti che installano applicazioni attraverso 7 store partecipanti, sui dispositivi Android certificati che eseguono Android 7 o versioni successive.

Quella appena superata è una data importante perché segna l’inizio di una restrizione importante, dopo oltre un anno di annunci, test e modifiche al progetto.

Su IlSoftware.it abbiamo già analizzato nel dettaglio come Google sta modificando il sideloading Android, il funzionamento di Android Developer Verifier e la procedura che consente agli utenti esperti di installare comunque APK di sviluppatori non verificati. Adesso il punto interessante è un altro: capire che cosa succede concretamente dal 30 settembre e quali installazioni di app Google ha iniziato davvero a controllare.

In questa prima fase Google non sta bloccando indiscriminatamente ogni APK non registrato e non ha applicato la nuova regola a tutti i Paesi. L’enforcement parte in forma circoscritta, mentre il passaggio successivo arriverà nel 2027 con un’estensione molto più ampia.

Dal 30 settembre la verifica Android è realmente attiva

Google conferma nella documentazione aggiornata che le protezioni precedentemente presentate sono adesso operative per gli utenti dei Paesi citati in apertura. I controlli comprendono le app presenti non soltanto su Google Play ma anche quelle veicolate attraverso HONOR App Market, OPPO App Market, Samsung Galaxy Store, Palm Store di Transsion, vivo V-Appstore e Xiaomi GetApps. Google ha insomma coinvolto alcuni tra i principali produttori e distributori Android, soprattutto nei mercati asiatici.

Quando l’utente installa un’app attraverso uno di questi canali, Android può verificare se il pacchetto risulta associato a uno sviluppatore riconosciuto e registrato. Se lo sviluppatore non ha completato la procedura prevista, l’app non può seguire la normale esperienza di installazione offerta dallo store.

Fino al 29 settembre gran parte dell’infrastruttura esisteva già sui dispositivi, ma preparava solamente “il terreno”: ora Google ha cominciato a usarla per prendere una decisione durante l’installazione delle app Android.

Attenzione: il sideloading diretto non è ancora soggetto allo stesso blocco

Una delle precisazioni più importanti arriva dalle FAQ aggiornate di Google. Se un’app è distribuita tramite uno store non compreso nell’elenco iniziale, oppure attraverso un download diretto dell’APK, i requisiti introdotti il 30 settembre non si applicano ancora nello stesso modo.

Google lo dice esplicitamente: durante questa prima fase, il requisito riguarda soltanto gli store partecipanti. Chi scarica un APK direttamente da un sito web o utilizza un altro store Android non vede quindi cambiare l’esperienza di installazione semplicemente perché abbiamo superato la “data fatidica” del 30 settembre.

È una precisazione importante rispetto all’idea, piuttosto diffusa, secondo cui da questa data Android avrebbe cominciato a rifiutare qualsiasi applicazione proveniente da uno sviluppatore non verificato. Non è ciò che sta accadendo oggi.

La situazione è destinata però a evolvere: Google afferma che nel corso del 2027 la capacità di verifica si estenderà globalmente a tutte le app installate sui dispositivi Android certificati (sarà quindi estesa anche all’Italia). L’azienda precisa inoltre che il sistema raggiungerà progressivamente anche gli altri store Android di terze parti.

Cosa controlla Android durante l’installazione

Il nuovo meccanismo non certifica che un’app sia sicura e non effettua una revisione equivalente a quella richiesta per la pubblicazione sul Play Store. La verifica riguarda principalmente l’identità di chi distribuisce il software e la sua relazione con l’app registrata.

Android mette in relazione lo sviluppatore, il package name e il certificato con cui l’applicazione risulta firmata. La firma digitale rappresenta da tempo un elemento fondamentale del modello di sicurezza Android: permette al sistema, tra le altre cose, di verificare che un aggiornamento provenga dallo stesso soggetto che controllava la versione precedente.

Con Android Developer Verification, Google aggiunge a questa catena anche un’identità verificata. L’obiettivo dichiarato consiste nel rendere più difficile per gli autori di malware o di applicazioni utilizzate nelle frodi ricomparire continuamente con nuovi account dopo un intervento di blocco.

La verifica dello sviluppatore non va quindi confusa con Google Play Protect: questo componente di sicurezza, parte integrante di Android, analizza le app alla ricerca di comportamenti pericolosi; Developer Verification risponde invece a una domanda differente: chi controlla questo pacchetto e la sua chiave di firma?

Per Google Play il 30 settembre porta anche un’altra scadenza

C’è un particolare meno visibile agli utenti finali ma molto importante per gli sviluppatori. Google dichiara che circa il 99% delle applicazioni presenti su Google Play è stato registrato automaticamente utilizzando le informazioni già disponibili nella Play Console.

Gli sviluppatori devono però verificare lo stato delle app che Google non ha automaticamente verificato: la documentazione ufficiale indica il 30 settembre come scadenza per registrare i package che si desiderano continuare a distribuire: in caso contrario Google avverte del rischio di rimozione globale da Google Play.

Per un’app appena creata tramite Play Console il passaggio diventa sostanzialmente automatico: alla creazione del progetto, Google registra il package name e lo collega all’account dello sviluppatore. La questione può diventare più delicata per applicazioni vecchie, software distribuiti contemporaneamente dentro e fuori dal Play Store oppure package gestiti con configurazioni di firma particolari.

Chi distribuisce esclusivamente fuori da Google Play deve invece utilizzare la Android Developer Console. Anche qui Google permette di associare applicazioni, package name e certificati di firma all’identità dello sviluppatore.

Cosa succede agli APK non registrati

L’entrata in vigore delle nuove regole non elimina tutte le possibilità di installare software non registrato: Android mantiene due percorsi destinati agli utenti più esperti.

• Il primo è Android Debug Bridge. Google continua a consentire l’installazione attraverso ADB senza richiedere la registrazione dell’app. Ne avevamo parlato già nel 2025 analizzando l’installazione di app Android non verificate tramite ADB.
• Il secondo percorso è l’advanced flow introdotto nel 2026. L’utente può abilitare esplicitamente l’installazione di software proveniente da sviluppatori non verificati dopo una serie di controlli aggiuntivi progettati per ostacolare soprattutto le truffe basate sulla coercizione. La procedura comprende anche un’attesa di 24 ore.

Abbiamo descritto separatamente come funziona l’advanced flow e perché Google impone un periodo di attesa. Ripeterne qui tutti i passaggi aggiungerebbe poco: ciò che conta, rispetto alla novità del 30 settembre, è che Google lo considera ormai una delle vie ufficiali per installare app non registrate.

Il 30 settembre è l’inizio dell’enforcement, non la fine del sideloading

La fotografia al 1° ottobre 2026 è quindi ben diversa da un “blocco del sideloading“: Google ha acceso il nuovo sistema di verifica, ma soltanto in quattro Paesi, sui dispositivi Android certificati con Android 7 o versioni successive e, per ora, limitatamente agli store partecipanti.

I quattro Paesi scelti per la prima fase hanno rappresentato un terreno importante per le frodi telefoniche nelle quali la vittima riceve istruzioni per installare un’app. In casi del genere il malware non deve necessariamente superare un sofisticato exploit: è l’utente stesso, sotto pressione, ad autorizzarne l’installazione.

Android Developer Verification cerca quindi di intervenire a monte: un operatore malevolo può cambiare APK, dominio di download e nome commerciale, ma se deve continuare a dimostrare una nuova identità verificabile ogni volta che viene espulso il costo dell’operazione aumenta. Che inizia a diventare sempre più impraticabile.