Installare APK fuori dal Play Store in sicurezza: la procedura completa

Il Play Store copre quasi tutto, ma non tutto. Ci sono app open source che Google non distribuisce, versioni regionali, beta che arrivano prima sul sito dello sviluppatore, programmi rimossi per policy e non per pericolosità. In quei casi l’unica strada è un file APK installato a mano.

Il sideloading, cioè l’installazione fuori dal negozio ufficiale, non è una scorciatoia da smanettoni né un reato. È una funzione di Android, presente dalle prime versioni. Il problema non è il gesto in sé: è da dove arriva il file, chi lo ha firmato e cosa gli concedi nei minuti successivi.

Qui c’è la procedura su Android 16, con le differenze dei principali produttori e i tre punti in cui si annidano i rischi veri.

Quando il sideloading ha senso e quando è solo un rischio

Ha senso per un’app open source che non passa dal Play Store, per una versione più recente in distribuzione a scaglioni, per un dispositivo senza certificazione Google, per un client di un servizio rimosso per motivi commerciali. Ha senso anche per chi sviluppa e vuole provare una build prima di pubblicarla.

Non ha senso per tutto ciò che tocca soldi e identità. Home banking, portafogli crypto, password manager, app di pagamento: se il Play Store non le ha, la domanda non è come installarle ma perché manchino. Le versioni installate a mano non ricevono gli aggiornamenti del negozio e non hanno la scansione automatica.

Il caso limite è quello che sembra un affare: la versione premium di un’app a pagamento, gratis, da un sito che non è quello dello sviluppatore. Lì non stai installando un’app, stai installando un pacchetto ricompilato da qualcuno che ha aggiunto il proprio codice. È la truffa più diffusa e la più sottovalutata.

Attivare l’installazione da origini sconosciute, una app alla volta

Da Android 8 il permesso non è globale, è per applicazione. Autorizzi il singolo programma che apre il file e solo quello. È una distinzione che sembra burocrazia e invece è la prima difesa: un’app compromessa non può installare nulla in autonomia se non le hai dato quel permesso.

Su Android stock il percorso è Impostazioni > App > Accesso speciale > Installa app sconosciute. Nella lista trovi Chrome, File, Drive e chiunque altro possa aprire un APK. Su Samsung con One UI la voce sta in Impostazioni > Sicurezza e privacy > Installa app sconosciute. Su Xiaomi i nomi cambiano tra MIUI e HyperOS, ma la voce sta sempre sotto le autorizzazioni speciali.

Il primo tranello è pratico: il file lo apre quasi sempre il gestore di file, non il browser con cui lo hai scaricato. Se hai dato il permesso a Chrome e l’installazione non parte, il sistema sta chiedendo l’autorizzazione a File o a Documenti.

Fatta l’installazione, il permesso resta: conviene revocarlo subito, togliendo il consenso all’app che hai usato. Un browser che può installare pacchetti è un browser che, se bucato, può installare qualsiasi cosa senza passare da te.

C’è poi la barriera introdotta con Android 13 e rimasta in Android 16: le impostazioni limitate. Se un’app installata a mano chiede accessibilità o amministrazione del dispositivo, Android blocca l’interruttore. Per sbloccarlo si va in Impostazioni > App > [nome app] e si tocca il menu in alto a destra, Consenti impostazioni limitate. Non è un ostacolo da aggirare in fretta: è il punto in cui il sistema ti chiede di fermarti. Un’app che ti guida al telefono per farti attivare l’accessibilità è lo schema classico delle truffe bancarie.

Verificare la firma prima di toccare Installa

Un APK è un archivio firmato digitalmente. La firma identifica lo sviluppatore e Android la controlla a ogni installazione e a ogni aggiornamento. Se la chiave non corrisponde a quella dell’app già presente, il sistema rifiuta l’aggiornamento: è ciò che impedisce a un pacchetto modificato di sostituirsi silenziosamente a quello vero.

Per vedere la firma da computer serve apksigner, incluso nei build-tools dell’SDK Android. Il comando è apksigner verify con l’opzione print-certs e restituisce l’impronta SHA-256 del certificato, da confrontare con quella pubblicata dallo sviluppatore. Se non è pubblicata da nessuna parte, il progetto non offre garanzie verificabili. È già un’informazione.

Il controllo che molti saltano è quello sull’hash del file. Molti progetti pubblicano lo SHA-256 dell’APK accanto al link. Calcolarlo richiede dieci secondi e dice se il file che hai è esattamente quello caricato. Se i valori differiscono, il download è stato alterato o è incompleto.

Play Protect è l’altro livello, quello che lavora dopo. Si trova nel Play Store, menu del profilo, voce Play Protect: analizza le app installate anche fuori dal negozio. Non è un antivirus: è un classificatore addestrato su comportamenti noti, quindi sbaglia in entrambe le direzioni. Blocca applicazioni legittime poco diffuse e lascia passare pacchetti nuovi che nessuno ha ancora segnalato.

Split APK e bundle: perché un file solo non basta più

Dal 2021 Google chiede agli sviluppatori di pubblicare sul Play Store un App Bundle, non un APK. Il bundle è un contenitore che Google spacchetta lato server: al telefono arriva solo la fetta che serve, cioè il codice per la tua architettura, le risorse per la tua densità di schermo e la lingua che usi.

Fuori dal Play Store la stessa app arriva come split APK: un file base più una serie di moduli separati, uno per architettura, uno per densità, uno per lingua. Aprirli uno alla volta non funziona, perché il sistema installa un pacchetto per volta e i moduli senza base non hanno senso. Serve uno strumento che li consegni tutti insieme al gestore dei pacchetti.

In pratica si usano SAI, Split APKs Installer, oppure ADB da computer con install-multiple. I pacchetti .apkm e .xapk sono archivi che contengono gli split e richiedono l’installer del sito che li distribuisce. Il formato non cambia il livello di rischio: un bundle di split è sicuro o pericoloso come l’APK singolo, dipende da chi lo ha firmato.

Il lato fastidioso è la manutenzione: un’app installata con gli split non si aggiorna da sola e ogni nuova versione richiede di rifare la procedura. Come funziona oggi il sideloading sul campo lo raccontano i dati della nostra analisi su come gli utenti caricano app fuori dal Play Store.

Dopo l’installazione: permessi, aggiornamenti, Play Protect

L’aggiornamento manuale funziona solo con tre condizioni insieme: stesso nome di pacchetto, stessa chiave di firma, numero di versione più alto. Se manca una delle tre, Android rifiuta e l’unica strada è disinstallare, perdendo i dati dell’app. Per questo conviene un backup prima di ogni cambio di fonte e per questo non si mescolano repository diversi per la stessa applicazione.

I permessi vanno letti prima del primo avvio, non dopo. Il percorso è Impostazioni > App > [nome] > Autorizzazioni. Tre voci meritano attenzione: l’accessibilità, che permette di leggere lo schermo e simulare tocchi, la visualizzazione sopra altre app, che abilita gli overlay usati per carpire le credenziali, oltre all’amministrazione del dispositivo, che rende l’app non disinstallabile finché non revochi il ruolo. La nostra guida su quali permessi concedere e come controllarli entra nel dettaglio voce per voce.

C’è un permesso che quasi nessuno controlla ed è il più pericoloso in questo contesto: Installa app sconosciute concesso a un’app già installata a mano. Significa che quella app può installarne altre senza chiederti nulla. Va revocato subito dopo l’uso, sempre.

Sulla qualità della fonte il criterio è ristretto: sito ufficiale dello sviluppatore, F-Droid per l’open source, repository storici che verificano le firme come APKMirror. Tutto il resto è una scommessa. I domini con nomi simili a quelli veri, le pagine con tre pulsanti “Scarica ora” e i siti che offrono versioni premium gratis sono la prima causa di malware Android. Non è un’esagerazione giornalistica: è la ragione per cui Play Protect esiste. Sul riconoscimento dei segnali vale la pena leggere la nostra guida su come riconoscere un’app pericolosa prima di installarla.

Domande frequenti

Installare un APK fuori dal Play Store è illegale?

No. Installare un pacchetto sul proprio dispositivo è un’operazione consentita dal sistema e non viola nessuna legge italiana. Violare i termini di servizio di un negozio è un problema contrattuale, non penale. Il confine si sposta quando il pacchetto contiene un’app a pagamento sbloccata senza autorizzazione: lì si entra nel campo della contraffazione.

Perché Play Protect blocca un’app che voglio installare?

Perché il pacchetto non ha reputazione sufficiente, oppure perché il comportamento rilevato assomiglia a quello di famiglie di malware note. Nella schermata di blocco c’è quasi sempre la voce Installa comunque. Il rischio lo assumi tu. Quello che non va mai fatto è disattivare la scansione globale per far passare un singolo file.

Posso installare APK su un telefono senza servizi Google?

Sì. Il gestore dei pacchetti fa parte di Android, non dei servizi Google, quindi funziona anche su dispositivi senza Play Store o con una ROM alternativa. Quello che manca è il livello di controllo: senza Play Protect nessuno analizza il pacchetto, quindi la verifica di firma e hash diventa l’unico filtro disponibile. Su questi dispositivi conviene usare esclusivamente F-Droid.

Cosa succede se aggiorno con un APK firmato da un’altra persona?

L’installazione viene rifiutata, di solito con un messaggio generico tipo “app non installata”. Il sistema non può sostituire un’app firmata con una firmata diversamente, perché la firma è l’identità del pacchetto. L’unica via è disinstallare la versione presente e installare la nuova, accettando la perdita dei dati dell’app se non hai un backup.

Le app mod o crackate sono davvero pericolose?

Sì. Per modificare un’app bisogna ricompilarla: ricompilare significa firmarla con una chiave diversa da quella originale. Chi lo fa ha accesso completo al codice e può inserire quello che vuole. Non esistono mod puliti verificabili, perché la firma originale è persa per definizione e il confronto con la versione ufficiale non è più possibile.

Come si disinstalla un’app installata a mano?

Come tutte le altre, da Impostazioni > App > [nome] > Disinstalla. L’unica eccezione è la presenza del ruolo di amministratore del dispositivo o di un profilo di lavoro: in quel caso la voce è disattivata e va prima revocato il ruolo in Sicurezza > Amministratori del dispositivo. Se l’app ha sostituito una versione di sistema, la disinstallazione riporta a quella originale.