Google endurece o sideloading no Android: APKs de fontes não verificadas com espera de 24 horas

Agora é a vez de a Google apertar seriamente as regras para instalar apps externas.

Durante anos, quem usa Android e não se limita à Play Store teve uma vantagem clara face a quem tem iPhone: liberdade real para instalar aplicações. Essa margem de manobra vai levar um corte significativo. A Google está a introduzir um processo de segurança mais complexo que torna o chamado sideloading muito mais trabalhoso - e a mudança está a dividir a comunidade.

O que a Google está a mudar na instalação de apps

O ponto de partida destas regras é uma exigência que a Google já tinha anunciado para 2025: os programadores passam a ter de verificar a sua identidade para poderem distribuir apps em dispositivos Android certificados. Quem não fizer essa validação fica marcado como “não verificado” - e é precisamente aí que entra o novo sistema.

A partir daqui, instalar ficheiros APK vindos de programadores não verificados continua a ser possível, mas através de um percurso propositadamente pouco conveniente. Internamente, a Google descreve-o como um “fluxo avançado” (advanced flow), pensado para utilizadores tecnicamente mais à vontade. A mensagem implícita é simples: ainda podes, mas deixou de ser algo “sem esforço”.

“O Android perde uma parte da sua lendária abertura - a Google tenta pôr liberdade e protecção contra fraudes num equilíbrio frágil.”

Quatro barreiras antes de arrancar uma APK não verificada

O novo procedimento para instalar apps fora da Play Store passa por quatro etapas. No papel, parecem poucas; no dia a dia, podem ser suficientes para fazer muita gente desistir.

1. Activar o modo de programador

Antes de mais, o utilizador tem de activar o modo de programador nas definições do sistema. Esta secção está intencionalmente escondida e, por norma, destina-se a tarefas de depuração e testes. Ao ligar o sideloading de apps não verificadas a este modo, a Google deixa claro o enquadramento: quem segue por aqui assume-se como utilizador avançado e aceita explicitamente a responsabilidade.

2. Confirmar que a decisão é voluntária

Depois de activar o modo de programador, é necessário confirmar activamente que a acção é tomada por iniciativa própria e não por pressão de terceiros. O objectivo é travar esquemas de burla em que criminosos guiam vítimas, por telefone ou chat, passo a passo, até instalarem software malicioso.

3. Reinício obrigatório do telemóvel

No terceiro passo, o Android exige um reinício completo do equipamento. À primeira vista, pode parecer redundante, mas há uma intenção concreta: interromper qualquer sessão de acesso remoto ou serviço de partilha de ecrã em execução. Assim, um burlão deixa de conseguir controlar, em tempo real, o que a vítima está a fazer no ecrã.

4. Espera de 24 horas e autorização final

Após o reinício, surge o obstáculo mais pesado: uma espera obrigatória de 24 horas. Só depois desse período o utilizador pode conceder a autorização - confirmando com impressão digital, reconhecimento facial ou PIN. Nessa fase, escolhe ainda se permite instalações de apps não verificadas durante sete dias ou de forma permanente.

A lógica é retirar aos burlões a sua arma mais eficaz: o stress e a sensação de “tem de ser já”. Muitas vítimas de ataques de engenharia social caem precisamente porque são colocadas sob pressão temporal.

“A Google está menos focada em malware clássico e mais em truques em que as vítimas são guiadas ao telefone, em directo, para instalações perigosas.”

Porque é que a Google está a travar a fundo

As medidas podem soar duras, mas não aparecem do nada. Segundo um relatório da Global Anti-Scam Alliance de 2025, 57% dos adultos inquiridos tinham sido alvo de pelo menos uma tentativa de burla num período de um ano. Os prejuízos estimados, a nível mundial, chegaram a centenas de milhares de milhões de dólares.

E é no telemóvel que uma parte enorme destes ataques acontece: falsas apps de banca, supostos serviços de entregas, linhas de “suporte” que empurram a instalação de uma “app de ajuda”. Muitas destas aplicações não vêm de lojas oficiais - circulam por links em chats, e-mails ou sites duvidosos.

Até aqui, o Android facilitava este tipo de ataque porque instalar APKs externas era, na prática, algo feito com poucos toques. A Google quer deixar de ser acusada de ignorar o problema - e está a agir em conformidade.

“Mini-contas” gratuitas para estudantes e programadores por hobby

Há, no entanto, um custo evidente nesta estratégia: o Android sempre foi também um espaço de experimentação para programadores, estudantes e entusiastas. Partilhar pequenos projectos com amigos ou distribuir apps internas de teste era, até agora, algo simples através de um ficheiro APK.

Para não bloquear por completo esse ecossistema, a Google vai disponibilizar as chamadas “contas de distribuição limitada” (limited distribution accounts), ou seja, contas com alcance reduzido:

• utilização gratuita
• sem necessidade de uma verificação de identidade extensa
• distribuição de uma app até 20 dispositivos
• adequadas para projectos universitários, ferramentas internas ou apps de hobby

Com estas contas, passa a ser possível distribuir apps de forma semi-oficial sem entrar logo no processo completo de programador, com eventuais taxas e verificação total de identidade. A ideia é manter a vontade de experimentar, mas sem deixar fontes de APK completamente fora de controlo.

Três vias para o sideloading - e nenhuma é realmente cómoda

A partir de Agosto de 2026, o panorama do sideloading fica, segundo a Google, mais ou menos assim:

Via	Para quem é?	Barreiras
Programadores verificados	fornecedores clássicos de apps, projectos grandes	verificação de identidade, por vezes taxas, em troca de uma instalação “normal”
Contas de distribuição limitada	estudantes, programadores por hobby, equipas pequenas	máximo de 20 dispositivos, alcance limitado, mas sem custos
Fluxo avançado para fontes não verificadas	utilizadores avançados, entusiastas com elevada tolerância ao risco	modo de programador, reinício, espera de 24 horas, autorização manual

Este novo modo começa por arrancar em países como Brasil, Indonésia, Singapura e Tailândia. Em 2027, a regra deverá alargar-se a todo o mundo - incluindo Alemanha, Áustria e Suíça.

Como a comunidade Android está a reagir

Para muitos fãs de longa data do Android, a mudança sabe a traição. Para eles, o sideloading era uma promessa central: decidir por conta própria, testar software, usar lojas alternativas, sem ficar dependente de uma única empresa.

Em particular, os utilizadores avançados que instalam ROMs, colocam versões beta ou descarregam apps open-source directamente do GitHub vêem estas regras como uma perda gradual de liberdade. A preocupação é prática: se instalar apps externas se transformar num “projecto de um dia”, menos pessoas o farão no quotidiano.

Do outro lado estão utilizadores com pouca afinidade com tecnologia - e é exactamente esse grupo que a Google quer proteger melhor. Quem antes era empurrado por supostos “funcionários do banco” para cliques arriscados passa a ter travões reais: reinício e pausa de 24 horas criam oportunidades para sair do esquema.

O que isto muda no dia a dia dos utilizadores

Para uma grande fatia de utilizadores Android, a alteração pode parecer mínima no início. Quem só instala apps da Play Store ou de lojas alternativas com programadores verificados quase não deverá sentir diferença.

Onde a coisa ganha impacto é nestes cenários:

• Testes beta via link para APK: ao descarregar uma versão inicial directamente de um programador, passa a ser essencial confirmar se ele está verificado.
• Uso de lojas alternativas de apps: consoante o estatuto da loja, algumas instalações podem cair no novo fluxo avançado.
• Projectos open-source: equipas pequenas sem conta verificada, ou limitadas a distribuição restrita, podem perder alcance.
• Apps de “zona cinzenta”: apps de streaming, ferramentas de mods ou software de “cheats” vão enfrentar obstáculos muito maiores - e para muita gente o esforço deixará de compensar.

Quem quiser manter esta liberdade deve familiarizar-se cedo com o modo de programador e com as novas opções. A partir de agora, é preciso olhar duas vezes: quem publicou a APK? O programador está verificado? Vale mesmo a pena passar pelo processo de 24 horas?

Porque a engenharia social é tão perigosa - e o que os utilizadores podem aprender

O foco destas mudanças está claramente na engenharia social: ataques que não exploram uma falha técnica, mas sim a confiança de uma pessoa. Um cenário típico é o telefonema de um falso colaborador do banco a dizer que a conta está em risco e que é urgente instalar uma “app de segurança”.

É precisamente aqui que as novas barreiras da Google fazem diferença. Um reinício pode interromper a interacção, e a espera dá tempo para pensar. Quando alguém volta ao telemóvel com calma, horas depois, torna-se mais fácil perceber quão absurda era a exigência.

Ainda assim, nenhuma tecnologia substitui um ponto-chave: o discernimento. Nenhum banco legítimo, nenhum serviço de entregas e nenhum fornecedor de electricidade exige a instalação de uma app externa fora das lojas oficiais para resolver um problema “urgente”. Memorizar este princípio simples reduz o risco de forma drástica.

Como entusiastas e profissionais se podem adaptar

Para programadores e aficionados de tecnologia, o novo rumo implica mais planeamento. Se a ideia é distribuir ferramentas Android ou pequenas apps utilitárias entre amigos ou colegas, importa avaliar se uma conta gratuita de distribuição limitada chega. 20 dispositivos parece pouco, mas em muitos casos privados pode ser suficiente.

Quem precisa de mais alcance ou publica software com regularidade dificilmente escapará, a médio prazo, a uma conta de programador verificada. Isto tira espontaneidade, mas também adiciona confiança e profissionalismo - sobretudo à medida que o rótulo “verificado” se tornar um hábito para os utilizadores.

Para comunidades de root, projectos de ROMs personalizadas e utilizadores que gostam de “mexer” no sistema, o fluxo avançado será o caminho mais realista. É incómodo, sim - mas continua a ser muito mais aberto do que o iOS, onde o sideloading sem perfis especiais ou serviços de terceiros praticamente não existe.

No fundo, o que muda é o equilíbrio: o Android mantém-se como o sistema mais livre, só que essa liberdade passa a exigir mais passos, mais paciência e um cuidado muito maior com cada ficheiro APK que não venha de uma loja oficial.