Télécharger une appli en dehors du Google Play Store : OK, mais pas sans connaître ces précautions indispensables

Savez-vous ce qu’est le sideloading ? C’est le fait d’installer des applications en dehors de magasins officiels, comme le Play Store de Google, via des fichiers .apk. C’est une pratique courante chez les utilisateurs Android, mais le danger est réel. Il existe toutefois des précautions cruciales pour profiter des avantages du sideloading, tout en préservant la sécurité de votre smartphone, ainsi que vos données. On vous les présente dans cet article.  

Vous avez probablement déjà eu besoin – ou envie – d’une application qui n’était pas disponible sur le Google Play Store ou dans votre pays. Ou alors, peut-être avez-vous déjà caressé l’idée d’obtenir la dernière mise à jour d’une application avant sa sortie officielle quand vous voyiez l’avalanche de nouveautés qu’elle apportait. Dans l’une ou l’autre de ces situations, en fouillant sur le web, vous vous êtes peut-être retrouvé face à une solution : le sideloading.

Il s’agit d’une méthode qui repose sur le téléchargement de fichiers APK. Pour simplifier, c’est un peu la version Android du .exe sur Windows : un fichier d’installation clé en main pour les smartphones et les tablettes. Mais si ces fichiers APK peuvent parfois s’apparenter à de véritables mines d’or, ils peuvent aussi rapidement se transformer en boîtes de Pandore.

En effet, l’installation d’applications en dehors de magasins officiels, comme le Play Store, n’est pas sans risque : virus, vol de données, ransomwares, fraudes financières sont autant de complications auxquelles on s’expose avec cette méthode. Mais parce qu’il serait parfois dommage de se priver des APK, voici comment les installer sur vos appareils en toute sécurité.

Lire aussi : Votre téléphone charge lentement ou par intermittence ? La solution pour y remédier est bien plus simple que vous ne le pensez

Vérifiez que votre smartphone Android est à jour

Tous les mois depuis 2015, Google déploie ses mises à jour de sécurité et publie le bulletin correspondant, qui recense toutes les vulnérabilités corrigées, ainsi que leur degré de gravité. Ce sont ces failles qui peuvent être exploitées par les APK corrompus.

Il est toujours fortement recommandé d’installer ces correctifs dès qu’ils sont disponibles. C’est d’autant plus vrai si vous vous adonnez au sideloading (ou si vous avez prévu de le faire). Ainsi, le premier conseil que l’on peut vous donner est de vérifier que votre appareil possède bien la dernière mise à jour système et le patch de sécurité le plus récent.

Sauvegardez une copie de votre appareil

On le disait, installer un APK n’est pas sans risque : sauvegarder vos données importantes (documents, photos, contacts…) sur le cloud ou un support physique (disque dur externe, clé USB…) s’impose donc comme une étape indispensable pour prévenir des désagréments, tels que la corruption de vos informations, la réinitialisation d’usine à votre insu ou le blocage de votre appareil.

Si la situation tourne au vinaigre, la restauration de votre appareil n’en sera que plus facile – et surtout moins douloureuse.

La règle d’or du sideloading : vérifier la source

Une fois que vous avez vérifié que votre appareil est à jour et que vous en avez sauvegardé les données importantes, vous pouvez commencer à chercher où télécharger votre APK. Veillez à ne jamais installer d’APK dont les liens proviennent de sites inconnus au bataillon ou trouvés au hasard sur les réseaux sociaux : c’est le meilleur moyen de se faire pirater.

Parmi les sources fiables qui vérifient l’intégrité des APK avant de les partager se trouvent les sites APKMirror ou F-Droid. APKPure est une alternative populaire, mais restez tout de même vigilants.

Sous-règle d’or du sideloading : vérifier l’intégrité du fichier APK

Mais vérifier la source n’était que la première étape : pour télécharger un APK en toute sécurité, il vous faut ensuite vérifier que l’empreinte numérique du fichier (hash ou checksum) est strictement identique à celle publiée par le développeur. Si tel est le cas, c’est la garantie que l’APK n’a pas été altéré.

Les sites de confiance comme APKMirror affichent ce hash. Pour le comparer avec celui de l’application d’origine, vous pouvez utiliser une application gratuite, telle que HashCalc, Checksum – Hash Calculator ou Hash Droid.

Une fois l’outil installé, il suffit d’ouvrir l’application, de sélectionner l’APK téléchargé et de choisir l’empreinte SHA-256 pour que l’application vous donne le hash. Checksum – Hash Calculator vous permet même de comparer les deux empreintes en copiant celle du site.  Si les deux hashes sont identiques : vous pouvez installer l’APK ; autrement : supprimez-le tout de suite.

Analyser le fichier APK

Ce n’est pas fini ! Même des APK légitimes peuvent contenir du code malveillant, un double contrôle n’a donc jamais fait de mal à personne – sauf aux hackers. L’étape suivante consiste donc à traquer les éventuels logiciels malveillants qui pourraient se cacher dans votre fichier.

Pour ce faire, il suffit de recourir au site gratuit VirusTotal : plusieurs dizaines d’antivirus analyseront l’APK. Une coche verte indique qu’il est fiable.

Gérer les autorisations

Dernier filtre de sécurité : vérifiez les autorisations demandées par l’APK et restez cohérent. Exodus Privacy (un site web) et ClassyShark3xodus (outil disponible sur F-Droid) sont de bons outils pour cela. Par exemple, si une simple application de calculatrice vous demande l’accès à vos photos, vos contacts ou votre micro : refusez son installation. Vous pouvez aussi restreindre au maximum les autorisations d’une application après son installation via les Paramètres du téléphone.

Enfin, il convient de gérer les autorisations d’installation de votre smartphone Android. Aujourd’hui, si vous tentez de télécharger un APK, il y a de fortes chances que votre appareil bloque l’installation et vous demande votre autorisation, vous rappelant les dangers inhérents au sideloading.

Certains smartphones (les Samsung Galaxy, de mémoire) vous permettent d’autoriser l’installation de fichiers non vérifiés (donc hors Google Play Store, notamment) pendant un laps de temps limité : au bout du temps imparti, l’autorisation est automatiquement désactivée. Ce n’est pas le cas sur les Xiaomi, par exemple : il faudra veiller à ôter cette autorisation à votre navigateur, comme Chrome, après le téléchargement d’un APK.

Ne prenez aucun risque : testez l’APK sur un émulateur ou un appareil secondaire

Malgré les conseils prodigués ci-dessus, vous pourriez tout de même décider de télécharger un APK expérimental sur un site obscur. Et ce serait à vos risques et périls. Il reste néanmoins une ultime précaution.

C’est peut-être la plus radicale, mais c’est surtout la plus sûre : installer ce fichier sur un appareil secondaire – le mieux étant qu’il ne soit connecté à aucun de vos comptes pour éviter le vol de données. Vous pourriez ainsi tester cet APK, tout en préservant la confidentialité de vos données et l’intégrité de votre smartphone principal.

Dans la même veine, vous pouvez également recourir à un émulateur. Certains vous conseilleront BlueStacks, mais ce n’est pas le plus fiable pour identifier si un APK est malveillant : les applications malveillantes parviennent parfois à détecter qu’elles s’exécutent dessus et peuvent alors masquer leur véritable nature. L’Android Emulator, l’outil officiel de Google pour les développeurs, est donc la meilleure option. Inconvénient toutefois, il vous faudra installer l’environnement Android Studio.

Ainsi, le sideloading n’est pas dangereux en soi, à condition de suivre les précautions données dans cet article. Certes, elles rajoutent des étapes à un processus pourtant simple – et qui sera bientôt complexifié à cause du nouveau système de vérification des développeurs Android de Google, bien que certains appareils y échapperont. Mais il s’agit véritablement de temps gagné si un jour l’APK que vous téléchargez se trouve être malveillant.