Vérification obligatoire des développeurs : Android converge lentement vers le modèle Apple que Google a toujours critiqué

La jalousie de Google envers Apple menace de démanteler son héritage ouvert

Vérification obligatoire des développeurs : Android converge lentement vers le modèle Apple que Google a toujours critiqué,
la jalousie de Google envers Apple menace de démanteler son héritage ouvert

Dix-huit ans après avoir promis au monde un système d'exploitation mobile fondé sur l'ouverture radicale, Google engage une mutation silencieuse mais profonde d'Android. Sous couvert de lutte contre les logiciels malveillants, Mountain View impose désormais une vérification obligatoire de l'identité de tous les développeurs souhaitant distribuer des applications — y compris en dehors du Play Store. Une décision qui suscite une fronde sans précédent de la communauté open source, de l'Electronic Frontier Foundation et de dizaines d'organisations mondiales, et qui pose une question fondamentale : Android est-il encore ce qu'il prétend être ?

En août 2025, Google a annoncé qu'à partir de septembre 2026, il ne serait plus possible de distribuer des applications Android sans s'être préalablement enregistré auprès de Google. Cette politique sera d'abord déployée au Brésil, en Indonésie, à Singapour et en Thaïlande, avant une extension mondiale en 2027. Ce qui paraissait, dans un premier temps, comme une mesure de sécurité ciblant le Play Store s'est révélé d'une portée bien plus large : l'obligation s'applique à tous les appareils Android certifiés, quelle que soit la source de téléchargement de l'application.

La procédure de vérification ouvre à tous les développeurs en mars 2026, tandis que l'application effective du système entre en vigueur en septembre dans les quatre pays pilotes. Les développeurs n'ayant pas complété les étapes requises avant cette date se verront bloquer leurs applications sur tout appareil Android certifié.

Concrètement, la vérification exige une pièce d'identité officielle, un profil de paiement Google, une preuve de propriété des clés de signature d'application, ainsi qu'une déclaration des identifiants d'applications actuels et futurs — y compris pour des logiciels qui n'existent pas encore. Le tout assorti d'un frais unique de 25 dollars. Cette mesure ne change pas grand-chose pour les développeurs qui distribuent déjà via le Play Store — Google les oblige à être vérifiés depuis 2023. En revanche, elle représente un bouleversement majeur pour ceux qui passent par des canaux alternatifs comme l'Amazon Appstore, le Samsung Galaxy Store, ou F-Droid.

Le syndrome de l'envie d'Apple

Pourquoi Google franchit-il ce pas maintenant ? Selon Christoph Hebeisen, chercheur chez Lookout, Google a probablement regardé Apple et s'est demandé pourquoi le modèle fermé avait si bien fonctionné : « D'un point de vue technique, il n'y a pas de différence fondamentale en matière de sécurité. Pourquoi y a-t-il eu davantage de signalements de malwares autour d'Android que pour iOS ? Et je pense qu'ils en sont venus à la conclusion que l'écosystème de développeurs et la capacité à distribuer une application font une grande différence. »

L'argument de sécurité avancé par Mountain View repose sur un chiffre clé : les logiciels malveillants provenant de sources de téléchargement sur Internet seraient plus de 50 fois plus fréquents que ceux disponibles sur Google Play. Google affirme également que Play Protect, l'antimalware intégré à tous les appareils certifiés, analyse 350 milliards d'applications Android chaque jour, aussi bien celles téléchargées depuis le Play Store que celles installées par sideloading.

Mais la logique va au-delà de la sécurité pure. L'App Store d'Apple génère des revenus par utilisateur significativement plus élevés que le Play Store, et la réputation d'Apple en matière de sécurité et de curation constitue un avantage concurrentiel que Google a longtemps envié. En relevant la barre pour publier sur sa plateforme, Google espère peut-être réduire le volume d'applications de mauvaise qualité et renforcer la confiance des utilisateurs — ce qui pourrait stimuler l'engagement et les dépenses.

Une fronde historique de la communauté open source

La réaction ne s'est pas fait attendre. Le 24 février 2026, une lettre ouverte signée par 37 organisations — dont l'Electronic Frontier Foundation, la Free Software Foundation, F-Droid, Article 19, Fastmail et Vivaldi — a été adressée directement à Sundar Pichai, PDG d'Alphabet, ainsi qu'aux fondateurs Larry Page et Sergey Brin.

Le ton est sans ambiguïté. « Injecter de force un modèle de sécurité étranger qui va à l'encontre de la nature historiquement ouverte d'Android menace l'innovation, la concurrence, la vie privée et la liberté des utilisateurs », écrivent les signataires, qui demandent à Google de retirer cette politique et de travailler avec les communautés open source sur des alternatives moins restrictives.

Au cœur de leur argumentation : Google étendrait son autorité de contrôle au-delà de sa propre place de marché vers des canaux de distribution sur lesquels il n'a aucun rôle opérationnel légitime. Autrement dit, imposer une vérification pour des applications distribuées via F-Droid ou installées directement depuis un site web revient à placer un péage Google sur des routes que Google ne possède pas.


F-Droid face à une menace existentielle

Parmi les victimes collatérales potentielles de cette politique, F-Droid occupe une place particulière. Cette boutique d'applications entièrement libre et gratuite, pilier de la communauté Android open source depuis 2010, se retrouve devant un défi structurel. La communauté F-Droid estime qu'environ 85 % des applications de son catalogue pourraient ne pas être en mesure de s'adapter aux nouvelles exigences, notamment en raison de conflits de clés de signature.

Google a refusé à plusieurs reprises de fournir des informations concrètes sur ce qu'il appelle son « flux avancé » — une procédure alternative censée permettre aux utilisateurs expérimentés d'installer des applications non vérifiées. Selon F-Droid, cette incertitude rend impossible toute évaluation de la viabilité de ce mécanisme avant son déploiement.

Marc Prud'hommeaux, membre du conseil d'administration de F-Droid, a indiqué à Ars Technica que ses échanges avec des représentants de Google suggèrent que ce « flux avancé » ne sera pas disponible avant 2027 — soit bien après l'entrée en vigueur de la vérification obligatoire en septembre 2026. Ce qui ressemble fort à une promesse de sortie de secours qui n'existe pas encore.

La contradiction antitrust

La dimension réglementaire de cette affaire est loin d'être anodine. La décision de Google intervient alors que l'entreprise fait face aux suites du jugement antitrust Epic Games, qui a conclu que Google maintenait un monopole illégal sur la distribution d'applications Android. La lettre ouverte a été transmise en copie à des autorités de régulation du monde entier, dans un contexte où Google fait face à une surveillance antitrust croissante de la part de la Commission européenne, du Département de la justice américain et d'autorités de la concurrence dans de nombreuses juridictions.

Marc Prud'hommeaux a d'ores et déjà pris contact avec des procureurs généraux de quatre États américains, des régulateurs brésiliens et des institutions européennes. La contradiction est flagrante : d'un côté, des tribunaux contraignent Google à ouvrir ses systèmes de paiement et à autoriser des alternatives ; de l'autre, la firme resserre son contrôle sur l'identité des développeurs à l'échelle de tout l'écosystème Android certifié.

Les signataires de la lettre ouverte pointent également l'asymétrie informationnelle : en centralisant l'enregistrement de tous les développeurs, y compris ceux qui ne passent pas par le Play Store, Google acquiert un avantage concurrentiel considérable, lui permettant de surveiller, anticiper et potentiellement contrecarrer des produits et services concurrents.

Un modèle d'ouverture qui n'était déjà plus qu'un souvenir

Il serait cependant naïf de présenter cette décision comme une rupture soudaine avec un Eden originel. Au fil des années, Google a multiplié les mesures techniques visant à limiter la propagation des malwares : permissions granulaires d'exécution, correctifs de sécurité obligatoires pour les nouveaux appareils, analyse des logiciels malveillants sur tous les appareils certifiés, et obstacles croissants au sideloading depuis des sources inconnues.

Android est ainsi passé d'une plateforme où la distribution de logiciels était la règle par défaut à un modèle où elle est accordée par permission, conditionnée à une vérification centralisée. C'est un glissement philosophique significatif, qui rapproche Android du modèle d'écosystème contrôlé associé à Apple, même si les deux plateformes restent techniquement différentes.

La différence fondamentale est peut-être là : Apple n'a jamais prétendu être autre chose qu'un jardin fermé. Android, lui, s'est construit sur la promesse inverse. Les utilisateurs ont acquis leurs appareils Android en croyant à la promesse d'une plateforme informatique ouverte, où ils pourraient faire tourner les logiciels de leur choix. Modifier unilatéralement les règles du jeu via une mise à jour du système d'exploitation constitue, pour beaucoup, une rupture de contrat moral avec une communauté entière.

Ce que révèle cette crise

La vérification obligatoire des développeurs Android n'est pas qu'une querelle technique entre géants et libristes. Elle cristallise plusieurs tensions profondes de l'industrie numérique contemporaine : la tension entre sécurité et liberté, entre rentabilité commerciale et engagement envers une communauté, entre promesses historiques et impératifs de croissance. Elle révèle aussi la fragilité structurelle de tout écosystème « ouvert » contrôlé par une seule entreprise privée.

Marc Prud'hommeaux espère encore que Google « saisira cette opportunité de changer de cap et de commencer à reconstruire sa réputation en tant que gardien fidèle d'Android ». L'histoire récente des grandes plateformes numériques incite, hélas, à un certain scepticisme.

Sources : guide Android, support Google, lettre ouverte

Et vous ?

La sécurité des utilisateurs justifie-t-elle qu'une entreprise privée contrôle l'identité de tous les développeurs d'un écosystème qu'elle prétend « ouvert » — ou s'agit-il d'un cheval de Troie commercial ?

F-Droid peut-il survivre à cette politique, et si elle disparaît, quel impact cela aura-t-il sur la diversité logicielle d'Android à long terme ?

Les régulateurs européens et américains, qui ont imposé à Google d'ouvrir ses systèmes de paiement, devraient-ils également encadrer cette extension du contrôle sur la distribution d'applications ?

Si Android certifié devient aussi contrôlé qu'iOS, les utilisateurs soucieux de liberté numérique ont-ils encore une alternative viable sur le marché des smartphones grand public ?