Как убедиться, что APK безопасен, до установки

Что здесь значит «безопасный»

Безопасный APK — это сборка, опубликованная разработчиком, без изменений. Перепакованный или «модифицированный» APK пересобран и переподписан кем-то другим; он может нести дополнительный код и в любом случае никогда не обновит копию, установленную из Play. Проверки ниже позволяют отличить одно от другого.

1. Имя пакета

Имя пакета (например, org.telegram.messenger) уникально в Google Play. Сравните имя на странице загрузки с URL карточки в Play, где есть id=<имя пакета>. Похожее имя вроде org.telegram.messenger.pro — это другое приложение.

2. Сертификат подписи

Каждый APK подписан, и ключ разработчика не меняется между версиями. На телефоне приложения вроде App Manager или Package Manager (открытые, есть в F-Droid) показывают отпечаток сертификата и у файла, и у установленного приложения; они должны совпадать. На компьютере apksigner verify --print-certs файл.apk из Android SDK выводит SHA-256 сертификата. Если приложение уже установлено из Play, Android просто откажется принять пакет с другим ключом, и это само по себе полезная проверка: она завершается сообщением Приложение не установлено.

3. Разрешения

Откройте пакет в файловом менеджере или установщике и прочитайте список разрешений до подтверждения, либо посмотрите раздел Безопасность данных в карточке Play. Приложение с обоями, которому нужен доступ к SMS, или игра, требующая службу специальных возможностей, — тревожный знак независимо от источника.

4. Сравнение хеша

Когда два источника предлагают одну версию, SHA-256 файла должен совпадать. На Android его считает Hash Droid или любой файловый менеджер с функцией контрольной суммы; на компьютере используйте shasum -a 256 файл.apk (macOS, Linux) или certutil -hashfile файл.apk SHA256 (Windows). Play Protect тоже проверяет файл при установке и блокирует известные вредоносные программы.

Тревожные признаки

• Номер версии выше, чем в Google Play.
• «Unlocked», «premium» или «mod» в имени файла.
• Пакет запрашивает специальные возможности или права администратора устройства без очевидной причины.
• Подпись не совпадает с установленной копией.

Файлы на этом сайте отдаёт проверенное зеркало, хранящее пакеты, которые разработчики загружают в Play; мы их не пересобираем и не изменяем. Проверки выше всё равно уместны и занимают меньше минуты.