Cosa è cambiato per l'installazione di app fuori dallo store su Android?

Dal 30 settembre 2026 i telefoni Android certificati in Brasile, Indonesia, Singapore e Thailandia rifiutano di installare qualsiasi app proveniente da sette store, tra cui Google Play e lo store di Samsung, a meno che il suo sviluppatore non abbia registrato la propria identità presso Google. Google estenderà l'obbligo a tutto il mondo nel 2027 per ogni app sui dispositivi certificati, comprese quelle installate tramite un link di download diretto. Per la tua azienda in Arabia Saudita: se distribuisci un'app a dipendenti o clienti tramite un link diretto, o non hai verificato che la tua app sullo store sia registrata, il telefono dell'utente potrebbe rifiutarsi di installarla dopo la scadenza. La registrazione fuori dallo store costa una tantum 25 dollari (circa 94 riyal), ma richiede la chiave di firma digitale dell'app, e quella chiave potrebbe trovarsi presso lo sviluppatore che ha realizzato l'app anziché presso di te.

Cosa è iniziato il 30 settembre 2026?

Secondo l'annuncio ufficiale di Google sull'Android Developers Blog, la verifica dell'identità degli sviluppatori è partita solo in quattro paesi, e solo sui dispositivi certificati con Android 7 o versioni successive. I sette store che partecipano a questa fase sono:

  • Google Play, di Google.
  • Galaxy Store, di Samsung.
  • GetApps, di Xiaomi.
  • OPPO App Market, di OPPO.
  • V-Appstore, di vivo.
  • HONOR App Market, di HONOR.
  • Palm Store, di Transsion.

Google giustifica la misura sostenendo che i truffatori si nascondono dietro nomi anonimi per diffondere app dannose che si spacciano per aziende note. Nel suo primo annuncio, ad agosto 2025, ha dichiarato che la sua analisi ha trovato oltre cinquanta volte più malware nelle app installate da internet che su Google Play. Da quando la registrazione è stata aperta a marzo 2026, gli sviluppatori hanno registrato milioni di app, secondo l'azienda.

Quando arriva l'obbligo in Arabia Saudita?

Google non ha indicato un mese preciso; ha annunciato soltanto che l'estensione globale inizia nel 2027. Fino ad allora per gli utenti in Arabia Saudita non cambia nulla: Google afferma nella sua pagina ufficiale delle domande frequenti che un'app installata direttamente o da uno store non partecipante non è ancora soggetta al nuovo obbligo, ma raccomanda agli sviluppatori di completare la verifica prima che inizi il lancio globale.

DataCosa è successo o succederà
Agosto 2025Google annuncia l'obbligo di verifica dell'identità degli sviluppatori
Marzo 2026La registrazione si apre agli sviluppatori, e Google illustra la procedura di installazione avanzata per gli utenti esperti
Agosto 2026Partono gli account gratuiti di distribuzione limitata e la procedura avanzata
30 settembre 2026Inizia l'applicazione in 4 paesi e su 7 store; ultimo giorno per registrare le app di Google Play rimanenti
2027Estensione a ogni app sui dispositivi certificati in tutto il mondo, Arabia Saudita compresa

Quali app della tua azienda saranno coinvolte?

  • La tua app su Google Play: Google afferma che oltre il 99% delle app dello store è stato registrato automaticamente e che le app che usano il servizio di firma delle app di Play hanno la proprietà dimostrata automaticamente. Ha però chiesto agli sviluppatori di registrare le app rimanenti prima del 30 settembre 2026 per evitare che l'app venga rimossa da Google Play in tutti i paesi. Apri la home page del tuo account sviluppatore (Play Console) e controlla lo stato oggi stesso.
  • Un'app che distribuisci tramite link diretto: come un'app per agenti di vendita, autisti o tecnici sul campo, o un'app il cui link invii ai clienti su WhatsApp. È il caso più colpito, e richiede la registrazione in Android Developer Console prima del 2027.
  • Un'app interna su dispositivi gestiti dall'azienda: le app distribuite dallo store privato della tua organizzazione a dispositivi gestiti centralmente non richiedono verifica, perché il tuo amministratore IT le ha già controllate. Google raccomanda comunque di registrarle, così si installano senza intoppi se qualcuno le scarica su un dispositivo non gestito.
  • Build di prova sui computer degli sviluppatori: l'installazione tramite lo strumento per sviluppatori ADB non cambia.
  • Una prova su pochi dispositivi: l'account limitato gratuito consente di condividere un'app con un massimo di 20 dispositivi i cui proprietari la approvino, senza documento d'identità ufficiale e senza costi, secondo la pagina sulla distribuzione limitata. Ma Google l'ha pensato per studenti e appassionati, quindi non costruirci sopra un'app operativa aziendale.

La chiave di firma: il requisito che può bloccare la tua app

Ogni app Android viene firmata digitalmente con una chiave privata prima del rilascio, e quella chiave è il modo in cui dimostri a Google che l'app è tua quando la registri. Google lo dice chiaramente nella sua pagina delle domande frequenti: se perdi la chiave di firma, non potrai registrare la tua app. E se il nome del pacchetto, l'identificativo univoco dell'app come com.company.app, è già in uso, la tua chiave potrebbe non essere accettata, la richiesta richiede una revisione aggiuntiva e potresti dover usare un nuovo nome di pacchetto. In pratica un nuovo nome di pacchetto significa una nuova app: ogni utente deve eliminare quella vecchia e installarla di nuovo.

È il problema tipico nelle aziende: uno sviluppatore freelance o un'ex agenzia ha realizzato l'app, e la chiave è rimasta sul suo computer. Chiedi oggi stesso la chiave e la sua password, e conservale in un luogo sicuro di proprietà dell'azienda. Se il tuo contratto non ne prevede la consegna, leggi il nostro articolo su chi possiede i diritti del software secondo la legge sul diritto d'autore.

Cosa succede a chi prova a installare un'app non registrata?

Google non ha chiuso del tutto la porta. Secondo la sua spiegazione della procedura avanzata, un utente esperto può installare un'app di uno sviluppatore non verificato dopo una serie di passaggi volutamente lunga: attivare la modalità sviluppatore nelle impostazioni, confermare che nessuno lo stia guidando al telefono, riavviare il telefono, attendere 24 ore una sola volta, poi confermare con l'impronta digitale o il PIN del dispositivo. Dopodiché sceglie se abilitarla per 7 giorni o a tempo indeterminato, e un avviso compare comunque ogni volta che installa un'app non verificata.

Questi passaggi servono a sventare i truffatori che restano al telefono con la vittima e la guidano a disattivare le protezioni. Quindi non chiedere ai tuoi clienti o dipendenti di affrontarli: significa aspettare un giorno intero, un avviso che getta dubbi sulla tua app e abituare le persone a ignorare gli avvisi di sicurezza.

Cosa dovresti fare adesso?

  1. Fai l'inventario delle tue app: elenca ogni app Android distribuita dalla tua azienda e come viene distribuita: tramite lo store, un link diretto o dispositivi gestiti.
  2. Controlla il tuo account Google Play: assicurati che tutte le tue app siano registrate e che l'account sia intestato all'azienda, non a un dipendente.
  3. Registra le app distribuite tramite link diretto: apri un account Android Developer Console a nome dell'azienda. La quota dell'account di distribuzione completo è di 25 dollari, e la registrazione come organizzazione richiede un numero D-U-N-S di 9 cifre, che puoi ottenere gratuitamente da Dun & Bradstreet; è lo stesso numero che i requisiti degli account Google Play chiedono agli account delle organizzazioni.
  4. Recupera la chiave di firma: dallo sviluppatore o dall'agenzia che ha realizzato l'app, insieme alla password, prima che ti serva.
  5. Sposta le app interne su dispositivi gestiti se funzionano sui dispositivi dell'azienda, oppure registrale come qualsiasi altra app.

E se intendi pubblicare la tua app sullo store invece di usare un link diretto, leggi prima gli otto motivi per cui le app vengono rifiutate nella revisione dello store.

Cosa raccomandiamo per ogni app Android

In Origami raccomandiamo tre cose fin dal primo rilascio di qualsiasi app Android: aprire l'account sviluppatore a nome dell'organizzazione, consegnare la chiave di firma al cliente insieme al codice alla consegna del progetto e registrare il nome del pacchetto presso Google fin dall'inizio. Questi passaggi richiedono poche ore all'avvio di un progetto e possono risparmiarti settimane di ripubblicazione se li rimandi al 2027. Se hai un'app esistente e non sai dove si trovi la sua chiave né a chi sia intestato il suo account, parti da questa domanda prima di qualsiasi nuovo sviluppo.

Fonti