Mock LocationJak bezpiecznie zainstalować APK spoza Google Play
Instalacja aplikacji z pliku APK to normalna praktyka w przypadku programów, które zgodnie z zasadami sklepu nie trafiają do Google Play. Ryzykiem nie jest sam sposób instalacji, tylko to, że plik łatwo podmienić po drodze. Zobaczmy, jak to sprawdzić i dlaczego podpis aplikacji znaczy więcej, niż się wydaje.
Pobieraj plik tylko ze strony dewelopera
Serwisy agregujące APK często udostępniają przebudowane pliki z wbudowanymi reklamami albo czymś gorszym. Oficjalna strona pobierania publikuje rozmiar pliku, wersję i sumę kontrolną — agregatory zwykle nie mają tych informacji.
Sprawdź sumę kontrolną SHA256
Na stronie pobierania podano hash SHA256 pliku. Oblicz go dla pobranego APK w dowolnym menedżerze plików, który ma taką funkcję, i porównaj ciągi. Zgodność oznacza, że plik dotarł dokładnie taki, jak go opublikowano; niezgodność to powód, by go nie instalować i pobrać ponownie.
Zezwól na instalację ze źródła
Otwórz pobrany plik — Android pokaże ostrzeżenie i zaproponuje przejście do ustawień. Włącz „Zezwalaj z tego źródła”. Uprawnienie dostaje konkretna aplikacja źródłowa — przeglądarka lub menedżer plików — a nie cały system.
Zainstaluj aplikację
Wróć i potwierdź instalację. Ostrzeżenie, że aplikacja z nieznanego źródła może być szkodliwa, Android pokazuje dla każdego APK spoza sklepu — nie jest to wynik sprawdzenia tego konkretnego pliku.
Cofnij uprawnienie, jeśli nie jest już potrzebne
Po instalacji możesz wyłączyć uprawnienie do instalacji ze źródła w tym samym miejscu, w ustawieniach aplikacji źródłowej. Nie wpływa to na późniejsze aktualizacje: aplikacja z funkcją samoaktualizacji poprosi o uprawnienie osobno i wprost.
Dlaczego podpis aplikacji jest ważny
Każdy APK jest podpisany kluczem dewelopera. Android sprawdza podpis przy instalacji i nie pozwoli zainstalować pliku podpisanego innym kluczem na zainstalowaną aplikację — próba kończy się błędem niezgodnej aktualizacji.
To zarazem ochrona i przyczyna jednego praktycznego ograniczenia: kompilacja ze sklepu i kompilacja ze strony są podpisane różnymi kluczami, więc jednej nie da się zastąpić drugą bez usunięcia aplikacji. Dane nie przepadną, jeśli jesteś zalogowany — miejsca i historia wrócą z synchronizacji.
Dlaczego aktualizacja nie usuwa danych
Instalacja nowej wersji na starą to aktualizacja, a nie ponowna instalacja: system zachowuje dane aplikacji. Lokalne miejsca, historia, ustawienia i zalogowanie do konta zostają na miejscu, a aktywna pozorowana lokalizacja przywraca się automatycznie.
Dane przepadają tylko przy całkowitym usunięciu aplikacji — i tylko lokalne: wszystko, co zsynchronizowano z kontem, wróci po zalogowaniu.
Co oznacza ostrzeżenie Play Protect
Play Protect może pokazać ostrzeżenie przy instalacji dowolnej aplikacji spoza sklepu — także zupełnie nieszkodliwej. To heurystyka oparta częściowo na samym fakcie dystrybucji poza Google Play, a nie werdykt w sprawie konkretnego pliku.
Sensowną kontrolą z Twojej strony jest porównanie sumy kontrolnej z opublikowaną na oficjalnej stronie pobierania: odpowiada ona na pytanie, czy to właściwy plik, a nie, czy podoba się heurystyce sklepu.