O novo fluxo avançado de sideload do Google está sendo implementado antes do requisito de verificação do desenvolvedor. O novo aviso confirma que um aplicativo vem de uma identidade de desenvolvedor verificada, o que é um progresso real contra malware puro. O que não faz é dizer se um APK específico desse desenvolvedor corresponde ao que está na Play Store, se o certificado de assinatura é o que você espera, ou quais permissões o pacote solicitará após a instalação. Essa última milha ainda depende de você.
Esses seis aplicativos do Android inspecionam APKs instalados e baixados em nível de assinatura, hash e permissão. Se você fizer sideload de qualquer fonte que não seja Play, um desses deve estar no seu telefone.
O que procurar em um aplicativo de verificação APK
- Exibição de impressão digital SHA-256 para o certificado de assinatura.
- Detecção de esquema de assinatura V1, V2, V3 e V4.
- Lista completa de permissões, incluindo permissões não declaradas ou ocultas.
- Detecção de rastreadores e bibliotecas de análise.
- Capacidade de comparar um APK baixado com uma versão instalada antes de instalar a nova.
- Exportação de relatórios como texto ou CSV.
- Open source, idealmente, porque você está confiando neste aplicativo para inspecionar outros aplicativos confiáveis.
Comparação rápida
| Aplicativo | Melhor para | Plataformas | Plano gratuito | Preço inicial/mês | Avaliação |
|---|---|---|---|---|---|
| APK Analyzer | Uso diário de código aberto | Android | Totalmente gratuito | Grátis | 4.7 na Play Store |
| Package Info Viewer | Procura de certificado simples | Android | Totalmente gratuito | Grátis | 4.5 na Play Store |
| App Manager | Inspeção para usuário avançado | Android (root útil) | Totalmente gratuito | Grátis | 4.6 em espelhos F-Droid |
| Warden | Verificação anti-rastreador e privacidade | Android | Totalmente gratuito | Grátis | 4.4 em espelhos F-Droid |
| MyAppSecurity | Interface de auditor de segurança | Android | Grátis com anúncios | Premium cerca de $2 único | 4.3 na Play Store |
| AppChecker | Detecção de framework e biblioteca | Android | Grátis com anúncios | Sem nível pago | 4.4 na Play Store |
Os aplicativos
1. APK Analyzer, o melhor geral
APK Analyzer de Martin Styk é o canivete suíço de código aberto para inspeção de pacotes Android. Aponte para um aplicativo instalado ou um arquivo APK no disco e você obtém a impressão digital SHA-256 do certificado de assinatura, a árvore completa de permissões, o emissor do certificado e uma lista de atividades e serviços exportados. Sem anúncios, sem telemetria, sem inscrição.
Onde falha: A interface é funcional em vez de bela. A detecção de rastreadores não é integrada, então combine com Warden.
Preço:
- Grátis, código aberto.
- Sem nível pago.
Plataformas: Android.
Resumo: A primeira instalação em qualquer telefone que toque APKs com sideload.
2. Package Info Viewer, melhor para verificação rápida
Package Info Viewer é a opção mais simples dessa lista. Abra o aplicativo, toque em um pacote e veja versão, fonte de instalação, impressão digital do certificado de assinatura e permissões. Nada mais. Quando você só precisa confirmar “este APK foi realmente assinado pelo desenvolvedor que espero,” ele faz o trabalho em três toques.
Onde falha: Sem recurso de comparação, sem detecção de rastreadores, sem breakdown de esquema de assinatura. Ótimo como ferramenta de pesquisa, não como auditor.
Preço:
- Grátis, código aberto.
- Sem nível pago.
Plataformas: Android.
Resumo: Obtenha se quiser um atalho permanente na tela inicial para verificações rápidas.
3. App Manager, melhor ferramenta para usuário avançado
App Manager é o mais próximo que Android tem de um inspetor de pacotes profissional. Ele mostra cada atividade, serviço e receptor, despeja o manifesto como XML legível, expõe bloco de assinatura v1 a v4, detecta rastreadores conhecidos e pode até fazer backup de APKs divididos. Alguns recursos desbloqueiam mais profundidade em dispositivos com root.
Onde falha: Curva de aprendizado íngreme. A interface mostra tudo de uma vez, o que é poderoso e avassalador.
Preço:
- Grátis, código aberto.
- Sem nível pago.
Plataformas: Android. Root ou Shizuku é opcional mas desbloqueia os recursos mais úteis.
Resumo: A opção se você audita APKs regularmente e quer a visão mais profunda sem desktop.
4. Warden, melhor para detecção de rastreadores e análise
Warden de Vishal Nehra verifica seus aplicativos instalados para bibliotecas de rastreadores conhecidas e SDKs de análise. Ele faz referência cruzada com o banco de dados Exodus Privacy, portanto um aplicativo pesado em Firebase ou AppLovin é sinalizado imediatamente.
Onde falha: Não analisa arquivos APK fora do disco. Verifica aplicativos apenas após serem instalados.
Preço:
- Grátis, código aberto.
- Sem nível pago.
Plataformas: Android.
Resumo: O parceiro certo para APK Analyzer, um se concentra em assinaturas, o outro em rastreadores.
5. MyAppSecurity, melhor interface de auditor de segurança
MyAppSecurity envolve verificações de assinatura e permissão em uma interface de cartão de pontuação. Classifica cada aplicativo instalado em uma escala, sinaliza combinações de permissões perigosas e permite exportar um relatório completo. Confortável para usuários menos técnicos que querem um resumo em vez de dados brutos.
Onde falha: A pontuação usa pesos proprietários que nem sempre são transparentes. Anúncios no nível gratuito interrompem as verificações.
Preço:
- Grátis com anúncios.
- Desbloqueio Premium cerca de $2 como único remove anúncios e adiciona exportações de relatórios.
Plataformas: Android.
Resumo: Obtenha se quiser os resultados de auditoria em linguagem clara para um membro da família.
6. AppChecker, melhor para detecção de framework
AppChecker identifica os frameworks e bibliotecas com os quais um APK foi construído (React Native, Flutter, Unity, Ionic, Kotlin nativo), lista a versão SDK alvo e sinaliza valores compileSdkVersion desatualizados. Útil quando você está depurando por que um APK com sideload se comporta mal em versões mais recentes do Android.
Onde falha: Verificação de assinatura é básica. Nível gratuito com suporte de anúncios.
Preço:
- Grátis com anúncios.
- Sem nível pago no momento da redação.
Plataformas: Android.
Resumo: Escolha de nicho para desenvolvedores e curiosos que querem saber como um APK foi construído.
Como escolher o certo
- Se você instalar um aplicativo para verificações de assinatura: APK Analyzer.
- Se quiser um atalho na tela inicial para pesquisas rápidas: Package Info Viewer.
- Se você audita APKs seriamente: App Manager.
- Se você se importa principalmente com rastreadores e análise: Warden.
- Se quiser um cartão de pontuação legível: MyAppSecurity.
- Se você depura ou faz engenharia reversa de APKs: AppChecker.
FAQ
O que é verificação de assinatura APK?
Todo APK Android é assinado com um certificado de desenvolvedor. A verificação confirma que o APK que você tem foi assinado pelo mesmo certificado em que confia. Uma incompatibilidade geralmente significa que o APK foi modificado ou reembalado após o desenvolvedor o lançar. O próprio Android verifica a assinatura no momento da instalação, mas apenas contra a versão já instalada.
Como verifico a impressão digital SHA-256 de um APK no Android?
Instale APK Analyzer, abra o arquivo APK ou o aplicativo instalado e leia a seção “Certificado de assinatura”. A impressão digital deve corresponder à impressão digital publicada do desenvolvedor em seu site ou notas de lançamento do GitHub.
O sideload é seguro com esses aplicativos?
O sideload é tão seguro quanto a fonte de APK e seus hábitos de verificação. Esses aplicativos ajudam você a verificar. Eles não podem tornar um APK malicioso seguro. Fique com fontes reputáveis (Aptoide, F-Droid, GitHub Releases de desenvolvedores conhecidos) e verifique a assinatura antes de cada instalação.
O que o fluxo avançado de sideload do Google muda?
O novo fluxo do Google vincula a identidade do desenvolvedor a uma conta verificada, o que aumenta o custo da distribuição de malware anônimo. Não verifica APKs individuais, portanto um desenvolvedor legítimo cuja conta está comprometida ainda pode enviar uma construção ruim. A verificação de assinatura captura isso.
Preciso de root para usar esses aplicativos?
Não. Os seis aplicativos funcionam sem root. App Manager desbloqueia profundidade adicional em dispositivos com root, mas as verificações de assinatura e permissão principal não têm root.
