Come Android cambia il sideloading: 24 ore per sbloccare tutti gli APK

Installare un APK fuori dal Play Store è da sempre una delle caratteristiche che distinguono Android dai sistemi mobili più chiusi. Google, però, sta cambiando profondamente il modo in cui il sistema gestisce questa libertà: ne abbiamo ampiamente parlato in passato. A partire dal 30 settembre 2026, sui dispositivi Android certificati entra in funzione un nuovo meccanismo che collega le applicazioni all’identità reale dei rispettivi sviluppatori. Non significa la fine del sideloading, ovvero la possibilità di installare app Android senza passare per lo store ufficiale, dal pacchetto APK, ma caricare software pubblicato da uno sviluppatore che ha scelto di non identificarsi richiederà una procedura aggiuntiva.

La novità si chiama advanced flow e Google ha iniziato a distribuire l'”infrastruttura di riferimento, Android Developer Verifier, sui terminali degli utenti, già da luglio 2026.

Con un messaggio chiarificatore, i tecnici di Mountain View hanno adesso spiegato nel dettaglio il flusso delle operazioni da seguire per installare applicazioni da file APK.

Come non perdere il sideloading senza usare ADB

Le app non verificate restano installabili via ADB (Android Debug Bridge) ma la procedura rimane piuttosto scomoda perché il dispositivo mobile deve essere collegato con un PC, su quest’ultimo va aperta una finestra del terminale quindi bisogna autorizzare il computer sullo smartphone dopo aver attivato il debug USB.

A quel punto, dopo aver verificato che il dispositivo sia correttamente rilevato con adb devices, l’APK può essere installato con il comando adb install nomeapp.apk. Per aggiornare un’app già presente mantenendone i dati si può invece usare adb install -r nomeapp.apk.

L’advanced flow proposto da Google serve invece agli utenti che vogliono continuare a installare applicazioni non registrate senza ricorrere ad ADB. La procedura, però, non consiste in un semplice interruttore: richiede l’accesso alle Opzioni sviluppatore, l’autenticazione tramite il blocco schermo, un riavvio del telefono e soprattutto un’attesa obbligatoria di 24 ore.

La scelta nasce da un problema che Android affronta da anni. Consentire l’installazione di APK provenienti da siti web, servizi di messaggistica e store indipendenti offre grande libertà, ma permette anche agli autori di malware di creare rapidamente nuove identità e distribuire altre applicazioni dopo la rimozione di quelle già individuate.

Google prova a rendere più costoso questo comportamento collegando ogni sviluppatore verificato alle applicazioni che firma e distribuisce. Da marzo 2026, secondo l’azienda, milioni di app risultano già registrate; la copertura comprende quasi tutte le installazioni provenienti da Google Play e una larga maggioranza di quelle effettuate da sorgenti esterne. F-Droid ha però pesantemente criticato Google vedendo un rischio concreto travestito da difesa.

Android non blocca il sideloading, ma cambia il requisito

Per capire la modifica bisogna distinguere due concetti che rischiano facilmente di confondersi. La verifica dello sviluppatore non stabilisce se un’applicazione sia sicura, priva di malware oppure conforme alle regole del Play Store. Google verifica invece l’identità della persona o dell’organizzazione che distribuisce il software e associa a tale identità le applicazioni registrate.

Il meccanismo ricorda, per certi versi, l’identificazione dell’autore di un eseguibile (file EXE) Windows: sapere chi ha distribuito un programma non significa poter garantire che quel programma sia innocuo. Il vantaggio è che se un soggetto identificato distribuisce software dannoso, diventa molto più difficile ripresentarsi immediatamente con decine di nuove app e una nuova identità.

La prima applicazione concreta delle nuove regole partirà il 30 settembre 2026 in Brasile, Indonesia, Singapore e Thailandia. La verifica riguarderà inizialmente le installazioni provenienti da 7 store: Google Play, HONOR App Market, OPPO App Market, Galaxy Store, Palm Store, V-Appstore e Xiaomi GetApps.

Google prevede poi di ampliare il controllo nel corso del 2027 fino a interessare globalmente le installazioni sui dispositivi Android certificati, compresi i device utilizzati in Italia. Per “certificato” si intende un dispositivo che ha superato i requisiti previsti da Google per utilizzare i suoi servizi e le applicazioni Google preinstallate.

Come si abilita l’installazione delle app non verificate

Google ha volutamente reso l’attivazione meno immediata rispetto al tradizionale permesso “Installa app sconosciute“. Per caricare, sul suo dispositivo, un APK Android senza passare da uno store ufficialmente supportato, l’utente deve innanzitutto aprire le Opzioni sviluppatore e cercare la nuova sezione dedicata alle app provenienti da sviluppatori non verificati.

All’interno di Apps from unverified developers si trova Allow apps from unverified developers (Consenti app da sviluppatori non verificati).

Android richiede la conferma tramite il sistema di blocco del dispositivo, così da impedire a un’applicazione malevola di automatizzare silenziosamente l’operazione.

Segue poi una schermata piuttosto insolita: il sistema domanda esplicitamente se qualcuno stia chiedendo all’utente di modificare l’impostazione. Google ricorda che banche, forze dell’ordine, enti pubblici e aziende legittime non chiedono mai a una persona di disattivare protezioni di sicurezza per installare un’applicazione.

A questo punto occorre riavviare lo smartphone. Il riavvio non rappresenta un requisito tecnico necessario per registrare semplicemente un flag nelle impostazioni; Google lo usa come misura contro le truffe guidate a distanza. Una chiamata telefonica in corso termina, così come può interrompersi una sessione di assistenza remota attraverso la quale il truffatore sta seguendo passo dopo passo la vittima.

Perché Android impone un’attesa di 24 ore

Dopo il riavvio del dispositivo parte un periodo di attesa di 24 ore: l’utente non può completare immediatamente l’abilitazione e deve tornare alla stessa schermata il giorno successivo. È probabilmente l’elemento più discusso dell’intero sistema, ma rivela chiaramente il tipo di attacco che Google vuole contrastare.

Molte frodi telefoniche fanno leva su pressione psicologica e urgenza (ne abbiamo parlato nell’articolo dedicato al vishing): “il conto verrà bloccato“, “è in corso un pagamento“, “deve installare subito questa applicazione“. Il truffatore accompagna la vittima durante tutte le operazioni necessarie a installare un APK malevolo.

Un avviso può essere ignorato in pochi secondi; un’attesa di un giorno cambia invece completamente la dinamica dell’attacco. La vittima ha tempo per terminare la conversazione, controllare autonomamente quanto le è stato raccontato e magari contattare direttamente la propria banca.

Va detto però che si tratta anche di una limitazione davvero eccessiva per l’utente esperto: Android introduce una barriera temporale non aggirabile attraverso la normale interfaccia (se non, come ricordato in precedenza, usando ADB).

Dopo le 24 ore si può scegliere tra 7 giorni e tempo indefinito

Trascorso il periodo previsto, l’utente torna nella sezione relativa alle app non verificate e completa l’attivazione. Il sistema permette di autorizzare l’installazione di pacchetti APK arbitrari per 7 giorni oppure a tempo indefinito.

Anche dopo l’abilitazione Android non elimina completamente gli avvisi: quando si tenta di installare o aggiornare un’app associata a uno sviluppatore non verificato, compare ancora un messaggio di sicurezza; l’utente può tuttavia proseguire scegliendo “Installa comunque“.

Esiste inoltre una piccola tolleranza utile nelle modifiche temporanee: dopo aver disattivato l’advanced flow, l’utente dispone di una finestra di 10 minuti durante la quale può riattivarlo senza affrontare nuovamente le 24 ore di attesa.

Una volta conclusa la configurazione non occorre mantenere permanentemente attive le Opzioni sviluppatore. È un aspetto certamente non secondario perché alcune app, soprattutto quelle bancarie o dedicate alla gestione di dati riservati, possono adottare controlli propri e reagire alla presenza della modalità sviluppatore.

Bloccati anche gli aggiornamenti delle app Android non registrate

Se sul dispositivo è già presente un’app non registrata, disattivare l’advanced flow non permette di continuare ad aggiornarla normalmente.

Android richiede che la modalità avanzata sia attiva sia per una nuova installazione sia per l’aggiornamento di un’app non registrata. Non basta insomma aver installato una volta il software: ogni nuovo APK che deve sostituire la versione presente passa nuovamente attraverso il controllo imposto da Google.

La firma dell’APK permette già ad Android di verificare che un aggiornamento provenga dalla stessa chiave utilizzata per la versione installata, ma ciò risolve un problema diverso: impedisce a un altro soggetto di sostituire arbitrariamente l’app. Android Developer Verifier aggiunge invece l’associazione tra quella distribuzione software e un’identità verificata.

Qui emerge anche una delle possibili critiche tecniche. Per un utente che conservasse sul suo smartphone, a fronte di varie necessità, soltanto una o due applicazioni non registrate, mantenere indefinitamente attiva la modalità avanzata potrebbe sembrare eccessivo; disattivarla, però, impedisce poi gli aggiornamenti ordinari.

Il sideloading resta, ma non è più una semplice casella da spuntare

La prima versione dell’advanced flow su Android chiarisce meglio di qualsiasi annuncio precedente la direzione scelta da Google.

Android conserva la possibilità di installare software non registrato e mantiene ADB completamente fuori dai controlli; allo stesso tempo rende deliberatamente difficile convincere una persona inesperta a disattivare in pochi secondi le nuove protezioni.

Per chi sa esattamente cosa sta facendo, la limitazione principale consiste in una configurazione iniziale di 24 ore. Completata quella fase, la possibilità di installare applicazioni non verificate può rimanere attiva indefinitamente.

Il risultato non equivale quindi alla chiusura di Android alle applicazioni esterne: Google prova a introdurre una forma di consapevolezza. L’advanced flow, così come progettato, ha l’obiettivo di far rallentare gli utenti, evitare che cadano in qualche tranello e stimolare la riflessione evitando, allo stesso tempo, comportamenti pericolosi.

Le immagini pubblicate nell’articolo sono di Google, tratte dall’annuncio di Mishaal Rahman – Community engagement for Android, Google.