Prawie każdy, kto dłużej używa Androida, ma za sobą taką sytuację. Aplikacji nie było w sklepie, więc plik APK pobrało się ze strony producenta albo dostało od znajomego. Telefon zapytał o zgodę na instalację z tego źródła i po chwili program działał. Ta ścieżka nie znika, ale przestaje być anonimowa. W dokumentacji dla deweloperów Google opisuje program wiążący każdą aplikację z tożsamością jej autora. Telefon sprawdza to powiązanie przed instalacją.
Cztery kraje, siedem sklepów i data 30 września
Dokumentacja podaje jedno zdanie, od którego zależy reszta. Ochrona rusza 30 września 2026 roku w Brazylii, Indonezji, Singapurze i Tajlandii. Urządzenie musi mieć certyfikat Google i Androida w wersji 7 albo nowszej. Sama funkcja przychodzi przez usługi Google Play, nie przez aktualizację systemu, więc starsze telefony też ją dostaną.
Zakres tego pierwszego etapu warto od razu zawęzić, bo w omówieniach rozlewa się on na cały system. Wrześniowe egzekwowanie obejmuje wyłącznie instalacje z siedmiu wskazanych sklepów, o których za chwilę. Aplikacja pobrana prosto ze strony twórcy albo ze sklepu spoza tej listy jeszcze mu nie podlega. Kto rozdaje program przez którykolwiek z siedmiu sklepów i nie zarejestruje się do tego czasu, ten zobaczy skutek opisany bez owijania: jego aplikacje zostaną zablokowane przed instalacją na urządzeniach z certyfikatem w objętych regionach.
Polski nie ma w tej czwórce i nie ma jej też w żadnym harmonogramie z nazwy. Jest za to zdanie o roku 2027, kiedy Google zapowiada rozszerzenie zasady globalnie na wszystkie aplikacje. Globalnie oznacza także Polskę. Dnia ani miesiąca dokumentacja jednak nie podaje, więc każda konkretna data krążąca po sieci jest cudzym domysłem.
Blokada nie kończy się na sklepie Google
Tu leży rzecz, która zmienia skalę zdarzenia, a w polskich omówieniach schodzi na dalszy plan. Weryfikacja nie jest prywatną sprawą Google Play. Dokumentacja wylicza siedem sklepów z pierwszej fazy i podaje przy każdym właściciela. Są to Google Play, HONOR App Market, OPPO App Market od OPlusa i Galaxy Store Samsunga. Listę zamykają Palm Store należący do Transsionu, V-Appstore firmy vivo oraz GetApps Xiaomi.
Dla polskiego czytelnika to nie jest lista egzotyczna. Na liście stoją Galaxy Store i GetApps, czyli sklepy wgrane fabrycznie na telefonach Samsunga i Xiaomi, a te dwie marki trudno w Polsce przeoczyć. Sklep producenta bywał dotąd naturalnym obejściem, gdy czegoś nie było u Google. Po zmianie te kanały stoją po tej samej stronie bramki.
Google dopisuje jeszcze, że możliwość weryfikacji zostanie “wkrótce” rozszerzona na wszystkie zewnętrzne sklepy z aplikacjami na Androida. Terminu przy tym zdaniu nie ma żadnego.
Co się stanie z plikiem APK pobranym ze strony producenta
Docelowo weryfikacja nie pyta, skąd wziąłeś plik. Pyta, czy jego autor jest zarejestrowany. Ujmuje to jedno zdanie ze słownika pojęć: jeśli aplikacja działa na urządzeniu z certyfikatem, wymagania obowiązują niezależnie od źródła pobrania. To jest opis stanu docelowego, a nie tego, co wydarzy się 30 września, i właśnie na myleniu tych dwóch rzeczy polega największe nieporozumienie wokół całej zmiany.
Program pobrany bezpośrednio ze strony twórcy zainstaluje się więc normalnie, pod warunkiem że twórca przeszedł rejestrację. Dokumentacja mówi wprost, że przy pełnej dystrybucji dla użytkownika nie zmienia się nic. Kłopot dotyczy aplikacji, których autor rejestracji nie przeszedł, i narasta stopniowo. We wrześniu obejmie instalacje z siedmiu sklepów, a od 2027 wszystkie aplikacje na urządzeniach z certyfikatem.
Dla samych deweloperów zostaje furtka, o którą pytają najczęściej. Instalacja przez narzędzie deweloperskie ADB, czyli kablem z komputera, działa bez weryfikacji i dokumentacja potwierdza to w dwóch osobnych miejscach. Kto modyfikuje aplikacje na własny telefon albo testuje coś, czego nie zamierza rozdawać, robi to dalej tak samo.
Firma z własną aplikacją: kiedy wyjątek działa, a kiedy nie
Ten kawałek dokumentacji jest dla firm najciekawszy, a w polskich omówieniach dotąd go nie widzieliśmy. Odpowiada na pytanie, które prędzej czy później zada każdy dział IT rozdający pracownikom własny program.
Dwa warunki, które trzeba spełnić naraz
Wyjątek istnieje i jest wyraźny. Aplikacje rozprowadzane przez firmowy sklep na urządzeniach zarządzanych nie muszą przechodzić weryfikacji. Sprawdził je już administrator, jak tłumaczy Google. Warunek jest jednak podwójny i oba jego człony muszą być spełnione naraz: firmowy sklep oraz urządzenie zarządzane. Firma, która zarządza flotą telefonów i wydaje aplikację przez własny sklep organizacji, mieści się więc w wyjątku. Samo zarządzanie telefonami nie wystarczy.
Gorzej wygląda to w układzie, który u nas spotyka się często. Aplikacja idzie do pracowników linkiem albo mailem, a telefony są prywatne i nikt nimi centralnie nie zarządza. Wyjątek nie obejmuje wtedy niczego. Taka firma jest w świetle dokumentacji zwykłym deweloperem i musi się zarejestrować.
Czego wymaga rejestracja firmy w konsoli Google
Rejestracja organizacji to nie jest formularz na dwie minuty. Google wymaga numeru D-U-N-S nadawanego przez Dun & Bradstreet, strony firmowej zweryfikowanej w Google Search Console oraz oficjalnych dokumentów organizacji. Ich dokładny rodzaj zależy od kraju, a dokumentacja podaje przykłady amerykańskie i zaznacza, że gdzie indziej lista może wyglądać inaczej. Sam proces szacuje na jakieś dziesięć minut, ale to czas wypełniania formularza, a nie czas skompletowania papierów. Firma bez numeru D-U-N-S będzie musiała najpierw o niego wystąpić.
Do tego dochodzi opłata. Konto pełnej dystrybucji w konsoli dla deweloperów kosztuje 25 dolarów, czyli tyle samo co rejestracja w Google Play, i Google tłumaczy ją kosztami administracyjnymi. Kwota sama w sobie nikogo nie zaboli, ale warto o niej wiedzieć wcześniej niż w dniu, w którym trzeba zdążyć z rejestracją.
Osobna ścieżka czeka tych, którzy dzielą się aplikacją w małej skali. Konto o ograniczonej dystrybucji jest darmowe i nie wymaga dowodu tożsamości. Pozwala rozdać program na maksymalnie 20 urządzeń, które użytkownicy wcześniej autoryzują przez kod QR albo link. Trzeba mieć konto Google z uwierzytelnianiem dwuskładnikowym i podpięty profil płatności, bo z niego Google bierze imię, nazwisko i adres. Dokumentacja opisuje to konto jako rozwiązanie dla uczniów, studentów i hobbystów. Dwadzieścia sztuk wystarczy na projekt zaliczeniowy i na aplikację dla rodziny, ale nie wystarczy na firmę zatrudniającą trzydzieści osób.
Pierwsza Misja AI · Kodożercy
Używasz AI codziennie, ale czy robisz to dobrze?
Kurs Pierwsza Misja AI pokaże Ci techniki promptowania, które naprawdę działają. Praktyczne ćwiczenia na prawdziwym modelu, gamifikacja i certyfikat.
Sprawdź program kursu →
Jak zainstalować aplikację od niezweryfikowanego autora
Ścieżka dla zaawansowanych zostaje, a Google opisuje ją w pięciu krokach. Nazywa ją jednorazową konfiguracją dla osób, które chcą podejmować świadome ryzyko.
Najpierw włącza się tryb dewelopera w ustawieniach systemu, co ma zapobiec przypadkowym uruchomieniom i obejściom “jednym dotknięciem”. Potem telefon zadaje kontrolne pytanie, czy nikt nas do tej zmiany nie namawia. Trzeci krok to restart telefonu i ponowne zalogowanie, bo przerywa to zdalny dostęp albo trwającą rozmowę. Czwarty jest najciekawszy: jednorazowe, jednodniowe oczekiwanie, po którym potwierdza się tożsamość odciskiem palca, skanem twarzy albo PIN-em. Dopiero wtedy można instalować, z wyborem między włączeniem na siedem dni a bezterminowo. Ostrzeżenie o niezweryfikowanym autorze i tak wyświetli się przy każdej instalacji.
Sens tej doby Google tłumaczy wprost i trudno z tym wytłumaczeniem polemizować. Oszuści naciskają na ofiary, żeby zmieniały ustawienia bezpieczeństwa w trakcie rozmowy telefonicznej. Dwudziestoczterogodzinna przerwa rozbraja wrażenie pilności i daje czas na sprawdzenie sprawy niezależnie. To jest dokładnie ten scenariusz, który polska policja i banki opisują od lat: ktoś dzwoni, podszywa się pod bank i prowadzi rozmówcę krok po kroku przez instalację programu, który zaraz opróżni konto.
Dwie rzeczy przy tej ścieżce łatwo przeoczyć, a mają praktyczne skutki. Okres oczekiwania nie dotyczy instalacji przez ADB, a komendy pozwalającej go pominąć Google nie przewiduje i pisze, że rozważy to w przyszłych wersjach. Druga rzecz dotyczy aktualizacji. Niezarejestrowaną aplikację da się zaktualizować wyłącznie przy włączonej ścieżce zaawansowanej albo przez ADB, więc po jej wyłączeniu aktualizacje takich programów zaczną się nie udawać.
Warto przy tym przyciąć skalę całej zmiany, bo narosło wokół niej sporo przesady. Google odpowiada wprost na pytanie, czy Android staje się systemem zamkniętym, i odpowiada “nie”. Wrześniowe egzekwowanie obejmuje wyłącznie siedem wymienionych sklepów, więc kto rozdaje aplikację poza nimi, tego w tym roku nie dotyczy nic. Prawdziwą cezurą jest rok 2027.
Dlaczego to nie jest wyłącznie sprawa Google
Kierunek widać w całej branży i akurat ten tekst nie jest o nim pierwszy. Pisaliśmy o prowizjach App Store, które regulatorzy zaczęli realnie rozmontowywać, oraz o oknie zgody na śledzenie, które Apple musiało przebudować pod naciskiem niemieckiego urzędu. Tam presja szła z zewnątrz i zmuszała platformę do otwierania się. Tu jest odwrotnie: właściciel systemu sam zacieśnia zasady, powołując się na oszustwa i złośliwe oprogramowanie.
Podobny mechanizm dotknął zresztą przeglądarek, gdzie zmiana reguł rozszerzeń odbiła się na blokowaniu reklam. Wspólny wzór jest prosty. Najpierw pojawia się rejestr, potem wymóg tożsamości, a swoboda instalowania czegokolwiek schodzi z ustawienia domyślnego do trybu dla świadomych. Rzecz w tym, że argument o bezpieczeństwie jest w tym przypadku prawdziwy, a nie wymyślony na potrzeby komunikatu.
Podsumowanie
Od 30 września 2026 roku Android wymaga, żeby autor aplikacji był zarejestrowany, a jego tożsamość potwierdzona. Ten pierwszy etap obejmuje cztery kraje i instalacje z siedmiu sklepów, wśród nich Galaxy Store Samsunga i GetApps Xiaomi, więc rzecz nie kończy się na Google Play. Dopiero w 2027 zasada obejmie wszystkie aplikacje na urządzeniach z certyfikatem, globalnie i tym samym w Polsce, choć konkretnej daty Google nie podaje. Plik APK ze strony twórcy zainstaluje się dalej, o ile autor przeszedł rejestrację, a przy niezweryfikowanym autorze zostaje ścieżka zaawansowana z dobą oczekiwania. Instalacja kablem przez ADB pozostaje bez zmian i nie podlega temu opóźnieniu. Najwięcej pracy czeka firmy rozdające własne aplikacje poza sklepem i poza systemem zarządzania telefonami, bo firmowy wyjątek ich nie obejmuje, a rejestracja organizacji wymaga numeru D-U-N-S, strony w Search Console i opłaty 25 dolarów.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
