Верификация Android разработчиков: что будет с устройствами в России

Привет, Хабр! Это SafeMobile. Прошлым летом Google объявил, что на Android телефоны можно будет устанавливать приложения только от проверенных разработчиков. С тех пор нас регулярно спрашивают, что будет с устройствами, которыми управляет MDM – могут ли они остаться без управления, будут ли проблемы с распространением инхаусного софта и т.д.

В этой статье мы расскажем, что узнали – если на устройствах нет сервисов Google, можно не беспокоиться, но и на сертифицированных Google устройствах в РФ, похоже, всё хорошо. Детали под катом.

Сертификация устройств в Google

Google проверяет устройства в рамках Play Protect certification. Устройства, прошедшие проверку, считаются сертифицированными.

Сертификация разрешает установку на устройство сервисов Google, включающих магазин Google Play Store и встроенную защиту Play Protect. Если производитель хочет поставить на свои устройства сервисы Google, он проходит проверку и получает лицензию. Проверить можно просто: если Google Play Store нет, значит устройство не сертифицировано. Проверить статус сертификации также можно внутри самого магазина: ваш профиль → Настройки → О приложении → Сертификация Play Защиты.

Что меняется

Сегодня на большинстве Android телефонов приложение можно поставить откуда угодно – достаточно разрешить установку из неизвестных источников. По новым правилам на сертифицированных устройствах установить какое попало приложение не получится – Google вводит обязательную верификацию разработчиков (Android Developer Verification, дальше для краткости просто – верификация). Чтобы приложение установилось, его автор должен быть зарегистрирован у Google как проверенный разработчик.

Важно не путать верификацию разработчиков и Play Protect – это разные вещи. Play Protect – это встроенный в Android «антивирус» от Google: он проверяет, нет ли в приложении вредоносного кода. Верификация проверяет только авторство приложения. Механизмы дополняют друг друга: Play Protect ищет в приложении угрозы, верификация подтверждает, что даже если приложение от Васяна, то это правильный Васян.

Механизм верификации проверяет подпись разработчика приложения. Работает так: разработчик подписывает билд своим закрытым ключом, Google ассоциирует  разработчика с именем пакета приложения (package name). Примеры package name: com.google.android.youtube у YouTube или ru.niisokb.mcc у мобильного клиента SafeMobile.

Проверка работает на уровне устройства. Сертифицированный Android проверяет автора при установке независимо от источника установки (Google Play, RuStore, веб-браузер и т.д.). Технически проверку выполняет отдельный системный компонент – приложение Android Developer Verifier. Это приложение с июня 2026 автоматически устанавливается на устройства с Android 8 и выше через Google Play services без обновления прошивки.

Когда и где верификация станет доступной

Google раскатывает верификацию постепенно:

Подробнее про «API для разработчиков»: имеются в виду Android Developer ID Status API и Android Developer Console API. Они пригодятся командам, которые выпускают много приложений: через API можно массово регистрировать приложения и проверять статус верификации, не заходя каждый раз в веб‑консоль.

Почему для первой волны выбрали именно эти четыре страны? Google объясняет это тем, что в них больше всего мошеннических приложений (или всё-таки пиратских?). Причём часто от одних и тех же разработчиков. Инициативу публично поддержали банковская федерация Бразилии и госорганы Индонезии и Таиланда.

Google преподносит верификацию как совместную отраслевую инициативу и говорит о поддержке крупнейших вендорских магазинов приложений: Samsung, HONOR, Xiaomi и т.д. При этом девелоперов проверяет только Google, поэтому сторонним магазинам остаётся только предупреждать разработчиков о необходимости пройти верификацию. Вот, например, статья-уведомление от Samsung.

Есть и несогласные. В ЕС запросили оценку совместимости верификации Google с местным законом о конкуренции на цифровых рынках (Digital Markets Act). Против выступает и часть сообщества – например, каталог приложений F-Droid. Скажется ли это на сроках и охвате раскатки, сказать нельзя, но за развитием сюжета имеет смысл следить.

Какие бывают Android разработчики

Регистрация Android разработчиков разделена на два уровня:

• полная – для компаний и профессиональных разработчиков, без ограничений на число установок. Чтобы стать «полным» разработчиком, нужно подтвердить личность или организацию. Для юрлиц нужен сайт и номер D-U-N-S. D-U-N-S – это девятизначный идентификатор компании в международном реестре Dun & Bradstreet – нечто вроде нашего ЕГРЮЛ, только глобальное, и получить его может в том числе зарубежная компания. К слову, чтобы стать Apple Developer тоже нужен этот D-U-N-S.

• ограниченная – для студентов, преподавателей и разработчиков-любителей. Подтверждать личность не нужно, но приложение можно поставить максимум на 20 устройств, пользователи которых должны явно подтвердить установку.

С этого лета мы – проверенные «полные» Android разработчики. Google зарегистрировал подпись нашего клиента, поэтому проблем с его установкой после старта верификации не будет.

Кого касается верификации 

Верификация будет работать не только лишь на всех устройствах:

• Сертифицированные смартфоны с сервисами Google (Android 8 и выше) – подпадают под верификацию по мере распространения по странам.

• Устройства без сервисов Google – российские и китайские прошивки без Google Play, AOSP без сервисов Google, кастомные сборки: верификация их не касается вообще. Нет сервисов Google – нет и проверки.

• Корпоративные устройства под управлением MDM – особый случай, его рассмотрим отдельно.

Первыми 30 сентября 2026 под обязательную проверку подпадают четыре страны. России в списке нет. Кроме того, Google явно говорит, что устройства в странах под санкциями из проверки исключаются, чтобы разработчики могли и дальше распространять там приложения. Как Google будет определять страну устройства, чтобы понять её «санкционность», непонятно. Может по IP, может по сотовому оператору или по региону аккаунта. А может по всему вместе. С другой стороны, доступ к Gemini из России Google с переменным успехом блокирует, значит как-то определить регион они могут. В этом случае, похоже, российский регион будет нам на руку.

Установка приложений из MDM

Устройства без сервисов Google живут как жили. Верификация на них не запускается вообще, и приложения через SafeMobile ставятся ровно так же, как ставились. На сертифицированных устройствах в России верификация тоже не применяется – из-за санкционного исключения. Оба массовых российских сценария остаются без изменений.

Также Google заявляет, что приложения, которые устанавливаются с помощью MDM, не будут проходить верификацию, потому что перед этим их проверил администратор:

Apps distributed through your organization’s store, on managed devices, won’t need to complete the verification requirements since your IT admin has vetted them for safety and security. However, we recommend app developers still register and claim these apps if they are potentially distributed outside of a managed store or to non-managed devices.

Выдыхаем. Но на всякий случай разберём, что будет, если Google передумает и начнёт проверять такие приложения. А заодно передумает и включит верификацию Android приложений в России. Самый прямой путь в этом случае – требовать, чтобы поставщики приложений, в том числе инхаусные разработчики, были зарегистрированы как проверенные Android разработчики с D-U-N-S и вот этим всем. В этом случае верификация пройдёт успешно.

Если разработчик не может пройти проверку в Google, остаются два варианта:

1. Устанавливать приложения без MDM с помощью ADB. При такой установке верификация не работает. Иначе было бы сложно разрабатывать и отлаживать Android приложения.

2. Включить на устройствах «расширенный режим». Работает так: нужно включить режим разработчика, подтвердить, что тебя не принуждают (правда, похоже на вход на Госуслуги через Max?), перезагрузить телефон и подождать сутки. Сутки ожидания придуманы против социальной инженерии, когда пользователя уговаривают включить этот режим. Считается, что за сутки у пользователя, скорее всего, включится критическое мышление, и он может одуматься.

Обе схемы на корпоративном парке устройств нежизнеспособны. Включать режим разработчика на служебных устройствах никто не будет. Тем более ждать ещё сутки ради расширенного режима.

Если на устройстве нет интернета

Есть серая зона: непонятно, как будет работать верификация, если сертифицированное устройство надолго осталось без связи с облаком Google. Официально поведение нигде не описано: в FAQ про работу без сети нет ни слова, не сказано даже, ходит ли проверка в сеть при каждой установке. Разумно предположить, что Android Developer Verifier опирается на локально сохранённые данные о разработчиках и обновляет их через Google Play services. Тогда устройство без интернета и месяц, и полгода продолжит ставить приложения тех разработчиков, о которых уже знает. Но это предположение, документированного поведения нет, и что произойдёт с приложением, подписи которого в локальных данных ещё не было, Google не говорит. Ждём уточнений.

Краткий вывод

Верификации Android в России в 2026 году не будет. В 2027 тоже вряд ли, потому что мы под санкциями. Но мы к верификации уже готовы – SafeMobile проверен, поэтому вы сможете ставить любые приложения. Но на всякий случай лучше зарегистрируйтесь как проверенный Android разработчик заранее. И другим посоветуйте.

Полезные ссылки

• Портал политики верификации (Google) – первоисточник: основные понятия, уровни регистрации, сроки.

• Анонс в блоге Android Developers (март 2026) – даты и детали раскатки.

• Обновление в блоге Android Developers (июнь 2026) – уточнённый таймлайн, список магазинов первой волны, новые API.