Google admet que ses avertissements de sideloading échouent. Sans rationner la liberté

Un écran d'avertissement est-il une fonction de sécurité, ou seulement un moyen de rejeter la faute sur l'utilisateur ? Le responsable d'Android chez Google a désormais répondu, en substance, par la seconde option. Sameer Samat, président de l'écosystème Android, a déclaré dans un entretien que « les avertissements sont insuffisants », comme heise l'a rapporté dès mars. C'est une rare marque d'honnêteté. Et elle arrive tard.

L'aveu compte plus que le correctif

Ce qui s'est passé, en bref: Google associe les applications à des identités de développeurs vérifiées et construit un « parcours avancé » pour les applications de développeurs non vérifiés. Selon Android Authority, ce parcours comprend un verrouillage obligatoire de 24 heures, une étape de redémarrage et des confirmations supplémentaires, et s'achève sur un bouton « Installer quand même ». Le raisonnement de Google: les escrocs guident leurs victimes par téléphone, en jouant sur la panique face à des ennuis juridiques ou à une urgence familiale, pour leur faire désactiver les protections.

Sur ce diagnostic, nous pensons que Google a raison. Un avertissement que l'on balaie du doigt sous la pression ne protège personne. Le maillon faible n'est pas le texte de la boîte de dialogue, mais la voix au bout du fil. Un délai tue l'urgence, et l'urgence est le principal outil de l'escroc. Comme principe de conception, opposer de la friction à la contrainte est malin.

Mais une règle pensée pour les personnes vulnérables ne devrait pas pénaliser les utilisateurs avertis

Notre problème, ce sont les dégâts collatéraux. Android Authority note que Google a travaillé avec des utilisateurs avancés pour aboutir à un délai « agaçant, mais pas rédhibitoire ». Pour nous, cela revient à admettre que l'attente est aussi un test de tolérance: quelle dose de contrainte les gens acceptent-ils avant de renoncer ? Par ailleurs, un journaliste de MakeUseOf qui a essayé le parcours sur un ancien smartphone sous Android 13 a trouvé agaçant d'attendre une journée entière pour modifier un réglage sur un appareil qui lui appartient, même si l'option reste ensuite activée. C'est le témoignage d'un seul auteur, mais il résume bien l'objection. Celui qui configure cela délibérément est traité comme celui qui se fait manipuler.

Le plus inquiétant reste la couche d'identité. La vérification relie l'identité réelle d'un développeur à ses applications, y compris celles distribuées hors de Google Play, et MakeUseOf souligne que le code de l'application n'est pas examiné. Samat lui-même a dit que savoir de qui provient une application ne signifie pas qu'elle est sûre. Soit. Mais dès que Google devient le registre de ceux qui peuvent distribuer librement des logiciels, l'ouverture cesse d'être une propriété de la plateforme pour devenir un statut accordé par Google. C'est un fardeau particulier pour les développeurs anonymes ou soucieux de leur vie privée: TechBuzz rapporte que des groupes comme Keep Android Open et F-Droid ont averti que le plan mettrait fin à la possibilité de choisir les logiciels que l'on exécute, et décrit les exigences initiales comme une menace existentielle pour le développement anonyme.

Les portes de sortie sont le vrai test

Il existe des garde-fous. La distribution limitée permet à des projets amateurs d'atteindre jusqu'à 20 appareils sans vérification complète, et les FAQ de Google, d'après MakeUseOf, exemptent de la vérification et de l'attente de 24 heures les installations via ADB. C'est important: cela laisse une porte ouverte aux développeurs et aux bricoleurs. Le déploiement de septembre concernait des boutiques participantes au Brésil, en Indonésie, à Singapour et en Thaïlande, avec exclusion du sideloading direct d'APK; une extension mondiale plus large est prévue pour 2027. Les utilisateurs américains n'ont donc probablement pas encore ressenti le changement complet.

À notre avis, cette politique sera jugée moins sur les règles d'aujourd'hui que sur celles de demain. Les exemptions sont faciles à accorder et faciles à restreindre discrètement. L'auteur de MakeUseOf dit n'avoir vu aucune preuve que Google prévoie de supprimer cette porte de sortie, mais craint un durcissement ultérieur des règles. Nous partageons cette inquiétude, et il s'agit d'une prédiction, pas d'un fait.

Verdict

Protéger les gens des installations guidées par des escrocs est un objectif légitime, et reconnaître l'échec des avertissements est le bon point de départ. Si vous êtes un utilisateur ordinaire, rien ne change tant que vous restez sur le Play Store, et la friction évitera probablement à certains une très mauvaise journée. Si vous faites régulièrement du sideloading, apprenez dès maintenant le parcours avancé et ADB, et activez le réglage bien avant d'en avoir besoin. Et Google devrait s'engager publiquement, par écrit, à ne pas restreindre le parcours avancé ni la voie ADB. Sécurité et ouverture n'ont pas à s'opposer, mais seulement si la seconde ne dépend pas du bon vouloir de Google.