Comment évaluer les sources APK en toute sécurité : une liste de contrôle de sécurité

Si vous chargez des applications Android pour des raisons légitimes, en installant une version bêta fournie par le développeur, en réinstallant une application open source dont le projet héberge ses propres versions ou en restaurant une sauvegarde d'une application que vous possédez légalement, vous devez toujours vérifier le fichier avant de l'installer. Ce guide explique les signaux techniques qui distinguent un APK fiable d'un APK falsifié, sans nommer ni promouvoir une plate-forme de téléchargement spécifique.

1. Commencez par la source la plus fiable

Pour presque tous les utilisateurs, la réponse est le Google Play Store. Les applications qui y sont distribuées sont signées par leurs développeurs d'origine, analysées par Google Play Protect et surveillées pour détecter tout comportement malveillant. Si une application souhaitée est sur Play, installez-la à partir de là, point final.

Les exceptions légitimes à la règle « Jouer en premier » sont limitées :

• L'application est open source et le projet distribue des versions signées à partir de son propre site officiel, de la page GitHub Releases ou d'un serveur de mise à jour auto-hébergé.
• Vous êtes un développeur testant vos propres versions internes.
• Vous restaurez un APK que vous avez exporté depuis un appareil que vous possédez.
• L'éditeur distribue une version bêta ou spécifique à une région directement à partir de son domaine officiel (et vous pouvez confirmer que le domaine correspond à la marque vérifiée du développeur).

Tout ce qui sort de ces cas, et en particulier les copies « gratuites » d’applications payantes, doit être traité comme à haut risque et constitue presque toujours une violation du droit d’auteur.

2. Vérifiez la signature numérique

Chaque APK est signé cryptographiquement par son éditeur. Si la signature d'un fichier ne correspond pas au certificat de signature connu de l'éditeur, le fichier a été modifié et ne doit pas être installé. Même un seul octet malveillant injecté dans un APK invalidera la signature.

Que rechercher :

• Schéma de signature v2/v3/v4 présent (Android moderne l’exige).
• Empreinte digitale du certificat (SHA-256) correspond à une empreinte digitale publiée par le développeur ou correspond à une copie précédemment installée de la même application.
• Le certificat est pas expiré et la chaîne de signature est intacte.

Vous pouvez exécuter cette vérification entièrement hors ligne à l'aide de notre Vérificateur APK : faites glisser le .apk, consultez le certificat de signature et l'empreinte digitale SHA-256, et comparez-le à la valeur publiée par le développeur.

3. Comparez le hachage SHA-256

Un hachage SHA-256 est une empreinte digitale fixe de 64 caractères du contenu du fichier. Si même un octet change, le hachage change complètement. Des développeurs réputés publient le SHA-256 de chaque version parallèlement au téléchargement.

Processus:

1. Calculez le SHA-256 de l'APK sur votre machine (la plupart des systèmes d'exploitation incluent une commande sha256sum ou équivalente ; vous pouvez également utiliser notre vérificateur APK).
2. Comparez-le caractère par caractère à la valeur publiée par le développeur sur son site officiel.
3. Si les valeurs correspondent, le fichier est identique en octets à celui publié par le développeur. S'ils diffèrent, n'installez pas.

4. Vérifiez le manifeste et les autorisations avant l'installation

Le système d'autorisation d'Android constitue votre dernière ligne de défense. Avant d'installer quoi que ce soit en dehors du Play Store, ouvrez le package avec notre outil Informations sur l'APK et lisez le manifeste. Surveillez :

• Autorisations disproportionnées. Une simple calculatrice hors ligne n'a pas besoin de SMS, de contacts, de service d'accessibilité ou d'accès administrateur de l'appareil. Tout ce qui demande bien plus que ce que son travail exige est suspect.
• Le logiciel malveillant Abus du service d’accessibilité. abuse fréquemment de BIND_ACCESSIBILITY_SERVICE pour lire le contenu de l'écran et cliquer sur les boutons au nom de l'utilisateur. Accordez-le uniquement aux applications en qui vous avez confiance et qui en ont réellement besoin (lecteurs d'écran, gestionnaires de mots de passe, etc.).
• Administrateur de l'appareil/propriétaire de l'appareil. Presque aucune application grand public n’en a légitimement besoin. If a sideloaded app requests it, stop.
• Nom du package incompatible. Si le nom du package (par exemple, com.example.app ne correspond pas au package de l'application d'origine, le fichier usurpe l'identité d'un produit réel).
• Composants exportés inconnus. Les activités, services ou récepteurs de diffusion exportés et qui semblent déplacés peuvent constituer une porte dérobée.

5. Drapeaux rouges communs aux sources non fiables

Qu'une source soit un site Web, un groupe de discussion ou une pièce jointe à un e-mail, considérez-la comme non fiable si vous voyez l'un des éléments suivants :

• Copies gratuites d'applications payantes ou versions « premium déverrouillées » des applications commerciales. Ceux-ci sont piratés, souvent modifiés et contiennent fréquemment des logiciels malveillants.
• Marquage « Mod » ou « cracké ». Les APK modifiés, par définition, échouent à la vérification de la signature et peuvent contenir tout ce que le moddeur a ajouté.
• Plusieurs boutons "Télécharger" déroutants qui s'avèrent être des publicités.
• Popups agressifs, fausses alertes de « virus détecté » ou redirections forcées.
• Pas de HTTPS. Si la source n'est pas diffusée via une connexion cryptée, votre téléchargement peut être échangé silencieusement pendant le transit.
• Aucune information sur l'éditeur, aucun détail de signature, aucun journal des modifications. Une version légitime possède tout cela.
• Pression pour désactiver Play Protect ou pour accorder l'accessibilité / administrateur de l'appareil "pour que cela fonctionne".

6. Après l'installation : surveillez

La vérification n’est pas un événement ponctuel. Après une installation téléchargée :

• Laissez Google Play Protection activé. Il analyse périodiquement les packages installés.
• Surveillez l'épuisement inattendu de la batterie, l'utilisation du réseau ou les superpositions contextuelles, signatures de logiciels malveillants classiques.
• Ouvrez périodiquement Paramètres → Applications et examinez toutes les applications que vous n'utilisez plus ; désinstallez-les.
• Si une application se met à jour en dehors du Play Store, vérifiez que la signature de la nouvelle version correspond à celle précédemment installée. Une inadéquation est une urgence.

7. Ce que ce site propose (et ne fournit pas)

XAPK vers APK est un ensemble de convertisseurs et inspecteurs de formats de fichiers basés sur un navigateur. Nous n'hébergeons pas de fichiers APK, nous n'établissons pas de liens vers des sites de téléchargement d'APK et nous ne facilitons pas le piratage. Chaque outil de ce site traite les fichiers localement dans votre navigateur, sans téléchargement, ni copie, ni conservation. Consultez nos Clause de non-responsabilité et politique de confidentialité pour plus de détails.

Règles d'or pour vérifier les téléchargements d'APK tiers

Le chargement latéral est une fonctionnalité légitime et puissante de la plate-forme Android, mais il transfère la responsabilité de la sécurité des évaluateurs de Google vers vous. En vous en tenant au Play Store officiel pour les applications payantes et grand public, en limitant le chargement latéral aux versions de développeur propriétaires de logiciels auxquels vous avez déjà légalement accès et en vérifiant la signature et le hachage de chaque package avant l'installation, vous pouvez profiter de cette flexibilité sans compromettre la sécurité ni enfreindre la loi.