La vérification des développeurs Android démarre le 30 septembre

Demandez à la plupart des fondateurs à qui appartient leur app Android, ils citeront leur entreprise. À partir du 30 septembre 2026, la réponse de Google dépend de deux choses. Elle dépend du compte développeur dans lequel se trouve l'app, et de la personne qui détient sa clé de signature.

Google exige désormais que chaque app installée sur un appareil Android certifié soit enregistrée au nom d'un développeur vérifié. Le programme démarre dans quatre pays et devient mondial en 2027.

Quatre pays aujourd'hui, tous les téléphones certifiés en 2027

Google compare le programme de vérification des développeurs Android à un contrôle d'identité à l'aéroport. Il confirme qui est le développeur, pas le contenu de l'app. Google a annoncé le programme en août 2025. Il a ouvert un accès anticipé en novembre 2025, puis l'a rendu accessible à tous les développeurs en mars 2026.

Les contrôles s'appliquent aux appareils Android certifiés équipés d'Android 7 ou d'une version ultérieure. Les appareils certifiés sont les téléphones et tablettes livrés avec les services Google et Play Protect. Selon le décompte de F-Droid, ces appareils représentent plus de 95 % du matériel Android hors de Chine.

Google dit avoir choisi ces quatre premiers pays parce qu'ils sont durement touchés par les arnaques aux applications. Pour la distribution hors Play, l'application de septembre concerne les formats mobile et tablette. Les développeurs Play doivent enregistrer leurs apps sur tous les formats. Les stores absents de la liste ne verront aucun contrôle le 30 septembre. Le sideloading direct depuis des sites web n'est pas non plus concerné pour l'instant.

Google recommande de finaliser la vérification avant le déploiement mondial. Celui de 2027 s'applique à toutes les apps des appareils certifiés, partout dans le monde.

Sur un appareil soumis aux contrôles, une app issue d'un développeur non vérifié n'est plus disponible pour une nouvelle installation. Une app non enregistrée ne s'installe ou ne se met à jour que via ADB ou via le parcours avancé. Ce parcours avancé est disponible dans le monde entier depuis août 2026. Il se configure une seule fois et vise les utilisateurs chevronnés. Il faut activer le mode développeur et confirmer qu'aucun tiers ne dicte la marche à suivre à l'utilisateur.

L'utilisateur doit ensuite redémarrer l'appareil et s'authentifier à nouveau. Il patiente une journée, puis confirme son choix par biométrie ou code PIN. Il peut alors installer des apps non vérifiées pendant sept jours ou sans limite de durée, toujours avec un avertissement. Vos clients ne le feront pas. Pour une app professionnelle, le parcours avancé n'est pas une stratégie de distribution.

F-Droid et la campagne Keep Android Open s'opposent à l'obligation d'identification. La campagne est soutenue par plus de 70 organisations dans 23 pays. Cet article s'en tient aux enjeux pour les entreprises.

L'app est enregistrée au nom de celui qui détient le compte et la clé

La vérification exige deux preuves. D'abord, le développeur justifie de son identité avec un nom légal, une adresse et des coordonnées. Il peut aussi devoir fournir une pièce d'identité officielle. Les entreprises qui s'enregistrent en tant qu'organisation ont besoin d'un numéro D-U-N-S délivré par Dun & Bradstreet. Ce numéro est gratuit, et son obtention peut prendre jusqu'à 28 jours.

Un compte à distribution complète dans l'Android Developer Console coûte 25 dollars, à payer une seule fois. Un compte à distribution limitée est gratuit et ne demande aucune pièce d'identité officielle. Ce compte limité permet aux amateurs et aux étudiants de partager des apps sur 20 appareils maximum.

Ensuite, le développeur prouve qu'il possède chaque app. Pour cela, il soumet un APK signé avec sa clé privée. Plusieurs clés de signature peuvent être ajoutées au registre pour un même package.

Google Play enregistre automatiquement 99 % des apps. Les apps Play qui utilisent Play App Signing sont revendiquées automatiquement. Elles le sont pour le compte développeur Play qui les héberge. Un compte Play Console peut aussi gérer la vérification des apps distribuées hors Play. Si votre agence a publié l'app depuis son propre compte, l'app est enregistrée au nom de l'agence.

Hors Play, l'enregistrement passe par la clé de signature. La FAQ de Google le dit elle-même : un développeur qui perd sa clé de signature ne peut pas enregistrer ses packages.

Si un nom de package est déjà utilisé et que votre clé ne permet pas de le revendiquer, Google suggère d'en choisir un autre. Sinon, un examen supplémentaire est nécessaire, et ce nom de package pourra aussi être utilisé par d'autres développeurs. Pour Android, un nouveau nom de package correspond à une app distincte. Les utilisateurs existants ne reçoivent pas ses mises à jour. Ils doivent réinstaller l'app.

Un point rassurant pour les apps développées sous NDA. La vérification ne collecte aucune information sur le contenu ou les fonctionnalités de l'app. L'enregistrement n'expose aucun élément confidentiel.

Nous publions les apps de nos clients sous leur propre compte développeur Google Play, et le client conserve la clé de signature. Il nous est aussi arrivé de reprendre une app dont le compte Play ou le keystore était resté chez une agence ou un freelance précédent. La récupération faisait partie de la mission. Avec la vérification, ce genre de point en suspens passe du simple désagrément à la dépendance bloquante.

Un contrôle de propriété en six points, à faire cette semaine

Faites ce rapide contrôle avec votre développeur pour vous assurer que la propriété de votre app est bien sécurisée.

1. Regardez le nom du développeur affiché sur votre fiche Play. Si ce n'est pas votre entreprise, demandez à votre développeur de transférer l'app vers votre propre compte développeur Play (Play Console permet de transférer des apps d'un compte à l'autre).
2. Demandez à votre développeur si l'app utilise Play App Signing, et qui détient la clé d'importation et les éventuelles autres clés de signature. Obtenez la réponse par écrit.
3. Listez tous les canaux par lesquels l'APK atteint vos utilisateurs : Play, Galaxy Store, Xiaomi, votre site web, bornes interactives, appareils gérés. Tout ce qui passe hors Play et hors store géré doit être enregistré avant 2027.
4. Si vous comptez vous enregistrer en tant qu'organisation, vous ou votre équipe devez demander le numéro D-U-N-S dès maintenant. L'obtention peut prendre jusqu'à 28 jours.
5. Vérifiez le statut. Play Console l'affiche sur la page de vérification des développeurs Android. L'Android Developer Console affiche, pour chaque package, Registered (enregistré), Not registered (non enregistré) ou Draft (brouillon) dans l'onglet des noms de package. Android Studio Panda 4 et les versions ultérieures l'affichent lorsque vous générez un bundle ou un APK signé. Deux API, l'Android Developer ID Status API et l'Android Developer Console API, permettent l'enregistrement en masse depuis votre CI/CD.
6. Inscrivez-le dans le contrat : le compte développeur, les clés de signature et les noms de package appartiennent au client.

Si votre app est distribuée uniquement sur Play et se trouve dans votre propre compte, il vous suffit de le confirmer. Les autres ont jusqu'au déploiement de 2027, et les vérifications ci-dessus ne prennent qu'un après-midi si vous les faites maintenant.