ハクソク

世界を動かす技術を、日本語で。

Google、Androidアプリのインストールおよびサイドロードに開発者の確認を必須化

273日前原文(9to5google.com)

概要

Googleは2026年から、認証済み開発者のアプリのみが認定Android端末にインストール可能となる新要件を発表。 この要件はGoogle Playだけでなく、サードパーティストアやAPKファイルのサイドローディングにも適用。 目的はマルウェアや金融詐欺アプリの抑制と、悪質な開発者の再流通防止。 学生やホビイスト向けには商用開発者とは異なるワークフローを用意。 2026年9月から一部国で先行導入、2027年以降はグローバル展開予定。

Google、認証済み開発者アプリのみインストール許可へ

  • 2026年より、 認証済み開発者 のアプリのみが 認定Android端末 でインストール可能となる新要件
  • 対象は Google Play Protect搭載かつGoogleアプリプリインストール済み の公式認定端末
  • 2023年からPlayストアでは同様の要件を導入済み、今回は 全てのインストール方法 （サードパーティストア、APKサイドローディング含む）に拡大
  • 例： 空港のIDチェック のように、開発者の身元確認のみを実施し、アプリ内容や配布元の審査は行わない
  • 主な狙いは 偽アプリ対策 と、悪質な開発者による再配布の困難化

背景と導入理由

  • Google調査で インターネット経由のサイドローディングアプリはGoogle Play経由の50倍以上のマルウェア発生率
  • サイドローディングやサードパーティストアの利用自由度は引き続き維持
    • 認証済み開発者 であれば、どの配布経路も選択可能
  • 新要件により、 Android Developer Console（Google Play外配信専用） を新設
    • 商用開発者はD-U-N-S番号など、既存のPlay Consoleと類似の認証手順
    • 学生・ホビイストは 別ワークフロー を用意
  • Google Play経由配信済み開発者は既に要件クリア済みの場合が多い

導入スケジュールと地域展開

  • 2024年10月：一部開発者向けに認証プロセス提供開始
  • 2026年3月：全開発者向けに認証手続きオープン
  • 2026年9月： ブラジル、インドネシア、シンガポール、タイ で先行導入
    • これらの国は 詐欺アプリ被害が特に深刻
  • 2027年以降： グローバル展開 開始、全世界の認定Android端末で適用

関係各所からの反応

  • インドネシア通信・情報省 ：「ユーザー保護とAndroidのオープン性維持のバランスが取れた施策」と評価
  • タイデジタル経済社会省 ：「国家デジタル安全政策に合致する積極的な対策」とコメント
  • ブラジル銀行連盟（FEBRABAN） ：「ユーザー保護と開発者責任の促進に大きく貢献」と称賛

まとめ

  • Googleの新要件により、 マルウェアや詐欺アプリ の流通が大幅に抑制される見込み
  • サードパーティストアやサイドローディングの 自由度は維持 しつつ、開発者の身元確認を強化
  • 段階的な導入 で各国の事情に対応しつつ、グローバルなモバイルセキュリティ向上を目指す方針

Hackerたちの意見

公式発表: https://android-developers.googleblog.com/2025/08/elevating-... 詳細情報: https://developer.android.com/developer-verification https://support.google.com/googleplay/android-developer/answ... 個人的には…Playストアは悪質なゴミで溢れてるから、そこでの認証要件なんてユーザーを守る役には立たないよね。俺が見る限り、これは単なる権力の奪取で、GoogleがRevancedみたいなアプリを完全に潰すための手段だと思う。もし彼らが気に入らないことをしたら、適当な理由をつけて開発者アカウントを停止するだけだし。Googleの人たちが「安全性」について言及するたびに、Androidには95%の悪質なアプリを無力化できる隠れたインターネット権限があることを思い出すよ。でも、それは隠されてるみたいで、ユーザーが広告をブロックするために使うのを防ぐことが、Googleにとっては安全を守るよりも重要なんだろうね。 > 「我々は開発者が誰であるかを確認するが、アプリの内容や出所をレビューすることはない」 これはすごく変な発言だよね。アプリの内容をどこかでレビューするつもりはないのかな（実際にマルウェアを作っている開発者のアカウントを停止するためだけでも）。そうでなければ、この一連の流れはただの摩擦を生むだけだよ。TFAは制限を回避する方法がPlay Protectを無効にすることかもしれないと信じさせたけど、公式情報にはそのことについての言及がないから、どうやらそうではないみたい。一方で、これで自分のプロジェクトをサポートするプラットフォームが一つ減ったってことだね。魂を売るつもりがないなら、LinuxとWindowsだけになるよ（ああ、Googleアカウントは作らないから）。

└

その隠れたインターネットアクセス制御設定について、もう少し詳しく教えてくれない？

└

でも、隠されてるみたいで、ユーザーがアプリの広告をブロックするのを防ぐことが、Googleにとっては人々の安全を守るよりも重要みたい。インターネットの権限は広告とは関係ないの？隠された権限なのは、1) インターネット接続があまりにも一般的すぎて表示するとただの雑音になるから 2) それが強固じゃないから、インターネット権限がないアプリでも、他のアプリを使ってデータを簡単に抜き取ることができるから。

└

Play Protectを無効にすれば制限を回避できるかもって思ってたけど、公式情報にはそのことが全然書かれてないから、どうやらそうじゃないみたい。実際に変更が行われるまで、確実にはわからないと思う。Play Protectを通すのが一番簡単な実装方法だろうね。「Play Protectが既知のマルウェアを拒否する」から「Play Protectが適切に公証されていないアプリを拒否する」っていう単純な変更になる。これで、異なるパッケージIDを持つ新しいマルウェアのバリエーションが出てきても、既存のマルウェアチェックが無効化される問題に狭く対処できる。ただ、エコシステムにとっては大きな変化だよ。既存の開発者は「正当な」アプリを公開するために認証登録が必要になるから、一般的なAndroidデバイスで拒否されないようにしないといけない。公式発表の言い回しもこれを正確に反映してる。でも、これがパワーユーザーがこれらのチェックを積極的に無効にできるかどうかについては、まだ何も言ってないね（今でもPlay Protectをオフにできるけど、実際にやってる人は少ないし）。

└

これはすごく変な発言だね。アプリの内容をどこかで確認する必要があるはずだと思う（実際にマルウェアを作っている開発者のアカウントを停止するためだけでも）。そうじゃないと、この問題はただ摩擦を生むだけだよ。企業の確認を要求することで、正当な機関、例えば銀行が作ったアプリを装ったものに対抗できるし、パッケージ名の公開鍵登録を要求することで、マルウェアを使ったパッケージの改変を防げる。典型的な問題として、「自分の国では利用できないアプリをダウンロードしたい」ってことがある。休暇中で現地のアプリを試したいのに、「プレイストアの国」がクレジットカードに紐づいていて、開発者が外国人には無意味だと思って自国だけでしか公開してない。私はいつもAPKMirrorからダウンロードしようとするけど、APKMirrorでも見つからないことがあって、怪しいサイトでしか見つからないこともある。怪しいサイトは署名確認をしてないかもしれないから、オリジナルの改変されてないAPKをダウンロードしたのか、マルウェアが注入されたオリジナルAPKをダウンロードしたのか分からない。これらはパッケージの内容を実際にスキャンしなくてもできることなんだ。要するに、EV SSL証明書やTLSのDANE/TLSAの同等物みたいなもんだね。

じゃあ、これで決まりだね。もしこれが実現したら、契約関係なしにアプリをインストールできるOSと、メインストリームで安全なアプリ（銀行アプリなど）を使えるOSの選択肢がモバイルOS市場にはなくなるってことだ。

└

時間が経つにつれて、承認されたOSとブラウザを使わないとデスクトップからしか銀行にアクセスできなくなるよ。

└

それなら、無効にしてブラウザで使える銀行アプリを選ぶしかないね。俺のアプリのほとんどはサイドロードしてるし、いくつかはPlayストアにあるか、開発者が詳細をアップロードするかもしれない。

開発者は、サイドロードを通じてユーザーに直接アプリを配布する自由や、好みのアプリストアを利用する自由を持つことになります。我々は、選択肢を守りながら、全員の安全性を高めることがオープンシステムのあり方だと信じています。 言葉の意味がなくなってしまったのかな。閉じ込めることについての発表で、どうしてオープンシステムを主張できるの？このことを支持しているのが企業や政府だっていうのも興味深いね。「Developer's Alliance」が何なのかは知らないけど、開発者のことをあまり気にしてないみたいだし、ただ「お金を払ってくれれば、あなたのやってることは開発者にとって良いことだと言うよ」みたいな存在だったら驚かないな。

└

デベロッパーアライアンスの住所はワシントンDCのコワーキングスペースだよ。公的なテクノロジー政策の専門家たちのためのアストロターフかもしれないって評価するなら、そこも考慮してね。

記事ではアカウント承認プロセスについてあまり触れられてなかったけど、見た感じGoogleは好きなように申請を受け入れたり取り消したりできるみたいだね。オープンプラットフォームなんて言っても、結局はゲートキーピングだよ！個人的には、署名のないアプリはインストール前にユーザーが通知をクリックする必要があるとか、署名のないアプリを有効にする設定があってもいいと思う。Windowsでは、署名のないバイナリにはポップアップ警告が出るけど、署名のあるものはすぐに実行されるからね。

最近の技術にとってこれ以上の悪いことはないよ。主要な電話OSは2つしかないのに、暗号化を禁止することはできないから、政府はこういう手法でセキュリティやプライバシーを削っていくしかないんだ。出典: https://developer.android.com/developer-verification 「公式の政府IDをアップロードする必要があるかもしれません。」 これが実現したら、Googleや関係する政府にとって良い結果にはならないだろうね。人々が怒りすぎて、これを撤回せざるを得なくなると思うよ。代わりの電話OSに切り替えよう。

└

プライバシーやセキュリティに少しでも気を使ってる人は、財布で抗議するためにAndroidフォンの購入をやめるべきだよ。そうしないと、Googleがサイドローディングを禁止するのも時間の問題で、匿名やエンドツーエンドの暗号化通信ソフトが動く電話を買うのが不可能になっちゃう。

└

Play Protect認証されていない代替OSを読み込むのが何か問題あるの？

└

人々が怒りすぎて、これを元に戻さざるを得なくなる。これは政治的なファンタジーだよ。「人々」が誰かに元に戻させるメカニズムなんてない。グーグルが所有する候補者に投票するか、またグーグルが所有する候補者に投票するかのどちらかだ。別の候補者を探したいなら、グーグルを使わないといけない。

└

現在のファシズムがすぐに消えるなんて、かなり楽観的だね。

いろんなF-Droidリポジトリからのパッケージをどう扱うのか、楽しみだね。F-Droidは自分たちでアプリをビルドして署名してるから、F-Droid全体が一つの署名キーと開発者アカウントでカバーされるのかな？それとも、いろんな人からアプリを取ってるから、アカウントの取得が難しくなるのかな？

└

彼らは単に禁止するだろうね。要は、ユーザーが承認されてないアプリを自分の電話で動かすのを止めることだから。

└

F-Droidは各アプリごとにユニークなキーを生成して、それをそのアプリのすべてのビルドで再利用するんだ。これって、Googleにパッケージ名と一緒にF-Droidの公開キーを登録するだけで済むと思う。

Googleは、Playストアを通じて配布する開発者だけでなく、Androidデバイスでアプリを配布する開発者の身元を確認し始める。これは絶対に受け入れられない。Windowsでプログラムを実行するために、Microsoftに個人情報を提出しなきゃならないようなもんだ。完全におかしいし、彼らが考えてるようにはいかないだろう。

└

彼らはエコシステムを完全に支配してるね。最近の電話メーカーは、デバイスのアンロックや改造をますます難しくしてるし、Googleやアプリ開発者は、ハードウェアにTPM相当のものを実装して、システムがGoogle承認のものであることを署名・確認することで、改造デバイスに対して厳しくなってる。代替品はアプリエコシステムに関しては何十年も遅れてるし、彼らはこれをうまくやり過ごすかもしれない。

└

問題なのは、通常ならこういうクソみたいなことを止める希望になるはずのEUが、これを好んでるみたいなことだね。

└

これってAppleがもうやってることじゃない？Googleでもうまくいかない理由がないよね？

└

「電話」プログラミングにはあんまりハマらなかったな。いつも騒ぎが収まるのを待ってたけど、なんか今はその騒ぎがひどくなってる気がする。世界のかなりの部分の人たちにとって、電話が唯一の計算機器になってるんだよね。

└

誰かapkをエミュレートするウェブサイト作って！

この10年で、AndroidとiOSの両方に対してますます嫌悪感が募ってきた。プラットフォーム自体がユーザーに優しくなくなってきてるし、アプリストアにはプライバシーを侵害するような、テレメトリを集める、ドーパミンを刺激する、広告だらけの、見た目だけのゴミアプリが溢れてる。昔のPalm Pilotの時代が懐かしい。これを改善しようとしてる人、いるのかな？もっと良くできるはずなのに。

└

Windows 10 Mobileは良かったよ。開発者体験は素晴らしかったし、ダメになったのは上層部がデュオポリーに対抗できないと感じたからだと思う。

└

GrapheneOSとF-Droidの組み合わせは、私にとっては使っていて楽しい。今、他の人のスマホを使うとちょっと驚くよ。もし彼らが自分たちのデバイスを売り始めたら、絶対買うし（私の期待通りになれば）、強くおすすめするよ。

└

ドイツのVollaは、https://volla.online/ で、カスタムAndroidかUbuntu Touchを搭載した素敵なデバイスを売ってるよ。彼らのカスタムAndroidには、いい感じのUIやプライバシー機能がたくさんある。オランダのFairphoneも、https://www.fairphone.com/ で同様のことをやってるよ。

これが多分、ノキアが衰退した理由だね。シンビアンの開発はすでに面倒で、アプリの展開にはそんな手続きが必要だった。中国のフォーラムで共同作業があって、私たちの多くが自分の電話用の証明書とキーを手に入れたのを覚えてる。ノキアの幹部たちの追悼記事を読んでたけど、シンビアンの開発やアプリ展開の悲惨な状態は原因として考えられてなかった。だから、若い幹部たちが単純で破壊的な戦略を繰り返してるんだ。IBM、ゼロックス、ノキア、インテルはきっと誇りに思ってるだろうね。

[遅延]