O Android começou a aplicar no Brasil uma nova camada de segurança para a instalação de aplicativos. Desde 30 de setembro de 2026, apps distribuídos por determinadas lojas precisam estar registrados por um desenvolvedor verificado para serem instalados normalmente em dispositivos Android certificados com Android 7 ou versões mais recentes.
A mudança não significa, porém, que o Android tenha proibido APKs ou transformado o sistema em uma plataforma fechada. Nesta primeira etapa, a aplicação da regra está limitada a lojas participantes. O download direto de APKs e a distribuição por outras lojas ainda não estão sujeitos ao mesmo bloqueio regional de 30 de setembro.
Isso cria duas perguntas diferentes: o que muda agora para quem instala aplicativos e o que os desenvolvedores precisam fazer para continuar distribuindo seus apps.
Quais lojas entraram na nova regra no Brasil?
A aplicação inicial envolve sete ecossistemas de distribuição:
| Empresa | Loja |
|---|---|
| Google Play | |
| Samsung | Galaxy Store |
| Xiaomi | GetApps |
| Honor | HONOR App Market |
| OPPO/OPlus | OPPO App Market |
| Vivo | V-Appstore |
| Transsion | Palm Store |
Essas são as lojas explicitamente listadas pelo Android para a fase iniciada em 30 de setembro no Brasil, Indonésia, Singapura e Tailândia.
Para a maioria das pessoas que instala aplicativos conhecidos por essas lojas, a experiência tende a continuar igual. O próprio Google afirma que a maioria dos usuários deverá baixar apps já registrados por desenvolvedores verificados.
O que é a verificação de desenvolvedor Android?
O novo sistema liga um aplicativo Android a uma pessoa ou organização identificável.
Para uma distribuição completa, o desenvolvedor precisa confirmar sua identidade e registrar os nomes dos pacotes dos aplicativos, vinculando-os também às respectivas chaves de assinatura.
A ideia é dificultar um comportamento comum em campanhas maliciosas: um desenvolvedor anônimo publica um app perigoso, é removido e reaparece posteriormente usando outra identidade ou outro canal.
A verificação não afirma que determinado aplicativo é seguro ou que seu conteúdo foi aprovado. Ela identifica quem está por trás da distribuição e cria um vínculo verificável entre desenvolvedor, pacote e chave de assinatura.
Mesmo com essa camada adicional, o usuário ainda precisa verificar a procedência do download. A DEVM mantém um guia explicando como saber se um link é falso antes de clicar, cuidado especialmente importante quando um APK é oferecido fora de uma loja conhecida.
O que acontece com um app que não foi registrado?
Nas lojas que fazem parte da fase brasileira, apps que deveriam estar registrados mas não cumprirem os requisitos podem deixar de ser instalados normalmente em dispositivos Android certificados.
No Google Play, a regra é ainda mais direta: a documentação do Play Console informa que todos os pacotes precisam estar registrados e que apps não registrados podem ser removidos da loja.
O Google afirma que 99% dos apps disponíveis no Google Play já foram registrados automaticamente, principalmente porque o Play já possuía grande parte das informações necessárias sobre identidade e assinatura dos desenvolvedores.
Ainda é possível instalar APK no Android?
Sim.
Segundo a documentação oficial, a regra específica que entrou em vigor em 30 de setembro de 2026 não se aplica ainda ao sideload direto de um APK nem a lojas que estão fora da lista inicial de participantes.
Portanto, baixar um APK diretamente de um site e instalá-lo manualmente não passou automaticamente a exigir que o desenvolvedor esteja verificado por causa da etapa de setembro.
Isso não torna qualquer APK seguro. Arquivos distribuídos por páginas falsas, anúncios enganosos ou mensagens podem continuar sendo usados em golpes. Além de conferir o domínio, desconfie de instruções urgentes para instalar apps fora das lojas oficiais, comportamento semelhante ao explorado no golpe do falso suporte.
O Android pretende ampliar o sistema globalmente em 2027, quando a verificação passará a ter alcance maior sobre apps instalados em dispositivos Android certificados.
O Android vai acabar com o sideload?
Não é o que a documentação atual determina.
O Google afirma que desenvolvedores poderão continuar distribuindo aplicativos por diferentes canais, incluindo sites próprios e lojas alternativas.
Também existe um fluxo avançado para usuários que desejam instalar software de desenvolvedores não verificados.
Nesse modo, o usuário precisa reconhecer os riscos e passar por proteções adicionais antes de permitir instalações de desenvolvedores não verificados. A documentação atual prevê inclusive uma espera de 24 horas para ativar esse fluxo, medida relacionada à proteção contra golpes de engenharia social.
Depois de configurado, o usuário pode permitir a instalação por um período determinado ou manter essa possibilidade habilitada, ainda recebendo avisos quando o app vier de um desenvolvedor não verificado.
Esse tipo de proteção segue a mesma lógica de dificultar decisões tomadas sob pressão. No Android, o WhatsApp também vem testando alertas locais contra mensagens suspeitas; a DEVM explicou como funciona o Scam Alert do WhatsApp no Android.
ADB continua funcionando?
Sim.
Para desenvolvedores, instalações realizadas pelo Android Debug Bridge, o ADB, continuam funcionando sem necessidade de verificação.
A documentação diz explicitamente que o mecanismo foi preservado para permitir desenvolvimento, testes e instalação de aplicativos que ainda não estão prontos para distribuição ao público.
O período de espera do fluxo avançado também não se aplica às instalações realizadas via ADB.
O que muda para quem publica só fora da Google Play?
O Google criou o Android Developer Console para desenvolvedores que distribuem aplicativos exclusivamente fora da Play Store.
Nesse console, é possível verificar a identidade e registrar os nomes de pacotes e chaves utilizadas para assinar os aplicativos.
Quem já distribui pelo Google Play pode utilizar o próprio Play Console para administrar tanto os apps publicados na loja quanto pacotes distribuídos por outros canais.
Para uma conta de distribuição completa no Android Developer Console, a documentação informa uma taxa de referência de US$ 25.
Como o processo envolve identidade e credenciais de conta, vale reforçar boas práticas de acesso. Se uma senha usada no ecossistema de desenvolvimento aparecer em um incidente, siga medidas como as descritas no guia da DEVM sobre o que fazer quando uma senha aparece em um vazamento.
E estudantes e desenvolvedores independentes?
O sistema possui uma alternativa específica para quem não pretende distribuir aplicativos em larga escala.
A chamada conta de distribuição limitada pode ser usada por estudantes, professores, entusiastas e desenvolvedores independentes para registrar aplicativos e compartilhá-los com até 20 dispositivos autorizados.
Essa modalidade não possui custo financeiro e não exige apresentação de documento oficial de identidade. Ainda assim, exige uma Conta do Google, autenticação em duas etapas e outras informações básicas de cadastro.
Quem depende de autenticação reforçada também pode consultar o guia da DEVM sobre como recuperar uma conta com autenticação em dois fatores.
O que acontece com desenvolvedores de apps open source?
Projetos open source também podem registrar seus pacotes.
A documentação prevê o registro do nome do pacote e da chave correspondente. Para projetos que optem por permanecer sem registro, usuários que desejam instalar essas versões poderão utilizar o fluxo avançado destinado a desenvolvedores não verificados.
Isso é importante porque a nova política não equivale a exigir que todo projeto open source seja publicado na Play Store.
A regra vale para qualquer celular Android?
Não.
A implementação é voltada a dispositivos Android certificados, executando Android 7 ou versão posterior. A atualização de segurança responsável por essas verificações utiliza os Serviços do Google Play para alcançar aparelhos compatíveis.
Um aparelho que utiliza Android sem os componentes e a certificação Google pode ter um comportamento diferente.
O que muda para quem só usa Google Play ou Galaxy Store?
Para grande parte dos consumidores, muito pouco deve mudar visualmente.
Se o aplicativo estiver corretamente registrado e associado a um desenvolvedor verificado, a instalação continua como antes.
A mudança aparece principalmente nos bastidores, verificando se o pacote está associado à identidade e às chaves registradas do desenvolvedor.
Por que o Google criou essa verificação?
O Google afirma que o objetivo é dificultar golpes e campanhas de malware que dependem do anonimato e da possibilidade de reaparecer rapidamente depois que um aplicativo malicioso é identificado.
Ao vincular os pacotes a pessoas ou organizações verificadas, o Android passa a ter uma forma adicional de responsabilização e rastreabilidade.
Isso não elimina malware nem substitui cuidados básicos. Um desenvolvedor verificado ainda pode publicar software com problemas, e usuários continuam precisando observar permissões, procedência e comportamento dos aplicativos.
Essa lógica vale também fora do celular: softwares aparentemente legítimos podem ganhar componentes problemáticos. Para complementar, a DEVM explica como remover extensões suspeitas do navegador com segurança.
O que acontece em 2027?
A fase iniciada no Brasil é apenas a primeira etapa.
O Android informa que pretende expandir as proteções globalmente em 2027 e ampliar a capacidade de verificação para apps distribuídos por outras lojas e canais em dispositivos certificados.
Por isso, desenvolvedores que hoje distribuem APKs diretamente e ainda não são afetados pela regra de 30 de setembro devem acompanhar o programa.
Como instalar apps com mais segurança enquanto as regras mudam
Prefira lojas conhecidas e verifique quem publica o aplicativo.
Ao baixar APK diretamente, confirme domínio, origem e assinatura quando possível.
Desconfie de mensagens que exigem instalação urgente de um aplicativo para resolver um suposto problema.
Não entregue códigos de autenticação, senha ou acesso remoto a desconhecidos.
Revise permissões pedidas pelo aplicativo e remova softwares que apresentem comportamento inesperado.
Para famílias que compartilham aparelhos ou querem limitar riscos no celular, a DEVM também explica como funciona o controle parental do WhatsApp no Brasil.
O que realmente mudou no Android em 30 de setembro
Desde 30 de setembro de 2026, o Brasil passou a fazer parte da primeira fase de aplicação da verificação de desenvolvedor Android.
A mudança exige registro adequado para apps distribuídos por Google Play, Galaxy Store, GetApps e outras lojas participantes em aparelhos Android certificados.
Isso não representa o fim do APK nem do sideload. Downloads diretos e lojas fora da lista inicial continuam fora dessa aplicação regional neste momento, e usuários avançados também contam com mecanismos específicos para instalar software não verificado.
A mudança mais ampla virá em 2027. Por isso, esta página deve continuar sendo atualizada conforme o Android ampliar a verificação para outras formas de instalação.
Continue na DEVM: como identificar links falsos; como funciona o golpe do falso suporte; Scam Alert do WhatsApp no Android; e o que fazer após vazamento de senha.
