O que mudou na instalação de apps de fora da loja no Android?

Desde 30 de setembro de 2026, celulares Android certificados no Brasil, na Indonésia, em Singapura e na Tailândia se recusam a instalar qualquer app de sete lojas, entre elas o Google Play e a loja da Samsung, a menos que o desenvolvedor tenha registrado sua identidade no Google. O Google vai estender a exigência para o mundo todo em 2027, valendo para todos os apps em dispositivos certificados, incluindo os instalados por um link de download direto. Para a sua empresa na Arábia Saudita: se você distribui um app para funcionários ou clientes por um link direto, ou ainda não confirmou que o seu app da loja está registrado, o celular do usuário pode se recusar a instalá-lo depois do prazo. O registro fora da loja custa uma taxa única de 25 dólares (cerca de 94 riais), mas exige a chave de assinatura digital do app, e essa chave pode estar com o desenvolvedor que criou o app, e não com você.

O que começou em 30 de setembro de 2026?

Segundo o anúncio oficial do Google no Android Developers Blog, a verificação de identidade dos desenvolvedores começou em apenas quatro países, e somente em dispositivos certificados com Android 7 ou superior. As sete lojas que participam desta fase são:

  • Google Play, do Google.
  • Galaxy Store, da Samsung.
  • GetApps, da Xiaomi.
  • OPPO App Market, da OPPO.
  • V-Appstore, da vivo.
  • HONOR App Market, da HONOR.
  • Palm Store, da Transsion.

O Google justifica a medida dizendo que golpistas se escondem atrás de nomes anônimos para espalhar apps maliciosos que se passam por empresas conhecidas. No seu primeiro anúncio, em agosto de 2025, a empresa disse que sua análise encontrou mais de cinquenta vezes mais malware em apps instalados a partir da internet do que no Google Play. Desde que o registro foi aberto, em março de 2026, os desenvolvedores registraram milhões de apps, segundo a empresa.

Quando a exigência chega à Arábia Saudita?

O Google não indicou um mês específico; tudo o que anunciou é que a expansão global começa em 2027. Até lá nada muda para os usuários na Arábia Saudita: o Google diz em sua página oficial de perguntas frequentes que um app instalado diretamente ou a partir de uma loja não participante ainda não está sujeito à nova exigência, mas recomenda que os desenvolvedores concluam a verificação antes do início da implantação global.

DataO que aconteceu ou vai acontecer
Agosto de 2025O Google anuncia a exigência de verificação de identidade dos desenvolvedores
Março de 2026O registro é aberto aos desenvolvedores, e o Google explica o fluxo de instalação avançado para usuários experientes
Agosto de 2026Lançamento das contas gratuitas de distribuição limitada e do fluxo avançado
30 de setembro de 2026Início da aplicação em 4 países e em 7 lojas; último dia para registrar os apps restantes do Google Play
2027Expansão para todos os apps em dispositivos certificados no mundo todo, incluindo a Arábia Saudita

Quais apps da sua empresa serão afetados?

  • Seu app no Google Play: o Google diz que mais de 99% dos apps da loja foram registrados automaticamente, e que os apps que usam o serviço de assinatura de apps do Play têm a propriedade comprovada automaticamente. Mas pediu aos desenvolvedores que registrassem os apps restantes antes de 30 de setembro de 2026 para evitar que o app fosse removido do Google Play em todos os países. Abra a página inicial da sua conta de desenvolvedor (Play Console) e verifique o status hoje.
  • Um app que você distribui por link direto: como um app para vendedores, motoristas ou técnicos de campo, ou um app cujo link você envia aos clientes pelo WhatsApp. Este é o caso mais afetado, e ele precisa de registro no Android Developer Console antes de 2027.
  • Um app interno em dispositivos gerenciados pela empresa: apps distribuídos pela loja privada da sua organização para dispositivos gerenciados de forma centralizada não precisam de verificação, porque o seu administrador de TI já os avaliou. Mesmo assim, o Google recomenda registrá-los para que sejam instalados sem problemas se alguém os baixar em um dispositivo não gerenciado.
  • Versões de teste nas máquinas dos desenvolvedores: a instalação pela ferramenta de desenvolvimento ADB não muda.
  • Um teste em poucos dispositivos: a conta limitada gratuita permite compartilhar um app com até 20 dispositivos cujos donos o aprovem, sem documento oficial de identidade e sem taxa, segundo a página de distribuição limitada. Mas o Google a criou para estudantes e entusiastas, então não construa sobre ela um app operacional da empresa.

A chave de assinatura: a exigência que pode travar o seu app

Todo app Android é assinado digitalmente com uma chave privada antes do lançamento, e essa chave é a forma de provar ao Google que o app é seu quando você o registra. O Google diz claramente em sua página de perguntas frequentes: se você perder sua chave de assinatura, não vai conseguir registrar o seu app. E se o nome do pacote, o identificador único do app, como com.company.app, já estiver em uso, sua chave pode não ser aceita, a solicitação precisa de uma análise extra e talvez você tenha que usar um novo nome de pacote. Na prática, um novo nome de pacote significa um app novo: todos os usuários precisam apagar o antigo e instalá-lo de novo.

Esse é o problema comum nas empresas: um desenvolvedor freelancer ou uma antiga agência criou o app, e a chave ficou na máquina dele. Peça a chave e a senha dela hoje e guarde-as em um local seguro que pertença à empresa. Se o seu contrato não exige a entrega, leia nosso artigo sobre quem é dono dos direitos de software segundo a lei de direitos autorais.

O que acontece com quem tenta instalar um app não registrado?

O Google não fechou a porta por completo. Segundo sua explicação do fluxo avançado, um usuário experiente pode instalar um app de um desenvolvedor não verificado depois de uma sequência de passos propositalmente longa: ativar o modo de desenvolvedor nas configurações, confirmar que ninguém está orientando por telefone, reiniciar o celular, esperar 24 horas uma única vez e depois confirmar com a impressão digital ou o PIN do aparelho. Em seguida, ele escolhe ativar por 7 dias ou por tempo indeterminado, e um aviso continua aparecendo sempre que instala um app não verificado.

Esses passos foram pensados para frustrar golpistas que ficam ao telefone com a vítima e a orientam a desativar as proteções. Por isso, não peça aos seus clientes ou funcionários que passem por eles: significa esperar um dia inteiro, um aviso que lança dúvidas sobre o seu app e ensinar as pessoas a ignorar alertas de segurança.

O que você deve fazer agora?

  1. Faça um levantamento dos seus apps: liste todos os apps Android que a sua empresa distribui e como cada um é distribuído: pela loja, por link direto ou em dispositivos gerenciados.
  2. Revise sua conta do Google Play: confirme que todos os seus apps estão registrados e que a conta está em nome da empresa, e não de um funcionário.
  3. Registre os apps distribuídos por link direto: abra uma conta no Android Developer Console em nome da empresa. A taxa da conta de distribuição completa é de 25 dólares, e o registro como organização exige um número D-U-N-S de 9 dígitos, que você obtém gratuitamente da Dun & Bradstreet; é o mesmo número que os requisitos de conta do Google Play exigem das contas de organização.
  4. Recolha a chave de assinatura: com o desenvolvedor ou a agência que criou o app, junto com a senha, antes de precisar dela.
  5. Leve os apps internos para dispositivos gerenciados se eles rodam nos aparelhos da própria empresa, ou registre-os como qualquer outro app.

E se você pretende publicar o seu app na loja em vez de usar um link direto, leia antes os oito motivos pelos quais apps são rejeitados na análise da loja.

O que recomendamos para todo app Android

Na Origami recomendamos três coisas já no primeiro lançamento de qualquer app Android: abrir a conta de desenvolvedor em nome da organização, entregar a chave de assinatura ao cliente junto com o código na entrega do projeto e registrar o nome do pacote no Google desde o início. Esses passos levam poucas horas no começo de um projeto e podem poupar semanas de republicação se você deixá-los para 2027. Se você tem um app existente e não sabe onde está a chave dele nem em nome de quem está a conta, comece por essa pergunta antes de qualquer novo desenvolvimento.

Fontes