NOUVEAU !APK, sideloading et Google Play : comment évaluer le vrai risque
Si tu traînes un peu sur les forums Android, tu tombes sans cesse sur la même position :
« Je n’installe des applis que depuis le Google Play Store. Les APK et le sideloading, c’est trop dangereux pour moi. »
À première vue, ça paraît logique. Google a des mécanismes de contrôle, Play Protect, des règles d’utilisation, et partout on voit des avertissements sur les « applications provenant de sources inconnues ». En parallèle, le terme sideloading est devenu un mot‑valise pour tout ce qui sent le malware, le chargement de code ou le contournement de mécanismes de sécurité.
Le problème, c’est que cette équation est techniquement fausse et qu’elle déforme la réalité de manière dangereuse. Tu passes à côté de la quantité de malware qui arrive réellement sur le Play Store, et tu sous‑estimes à quel point un fichier APK signé, téléchargé directement auprès d’un éditeur de sécurité, peut être sûr.
Pourquoi beaucoup d’utilisateurs considèrent les APK comme « dangereux » par réflexe
Android donne lui‑même le ton : par défaut, le système bloque les installations en provenance de « sources inconnues ». Si tu essaies d’ouvrir un APK depuis le navigateur ou un gestionnaire de fichiers, tu vois apparaître des avertissements très clairs. Dans la configuration standard, c’est logique – surtout pour des utilisateurs grand public qui, sinon, testeraient joyeusement chaque téléchargement « Free Full Version ».
L’effet psychologique est évident:
Tout ce qui ne vient pas du Play Store donne l’impression d’être automatiquement peu sûr. À l’inverse, les applis du Play Store sont perçues comme « vérifiées », et la plupart des gens traduisent ça, instinctivement, par « propres ».
En réalité, l’image est beaucoup plus complexe. Même Google, dans ses propres directives, ne dit pas « tout ce qui est en dehors du Play Store est mauvais », mais parle de sources fiables – et cela peut très bien inclure le site officiel d’un développeur.
La formule simpliste « APK = dangereux, Play Store = sûr » est donc déjà discutable sur le plan conceptuel. Pour comprendre pourquoi, voyons d’abord ce qu’est techniquement un APK – et ce qu’il n’est pas.
Ce qu’est techniquement un APK (et ce qu’il n’est pas)
Un APK, c’est simplement le format de paquet d’installation d’Android. La FAQ de Protectstar le résume très bien : un fichier APK est le format qu’Android utilise pour installer des applis – de la même façon que le Google Play Store télécharge et installe lui‑même des APK en arrière‑plan.
La comparaison avec d’autres plateformes aide bien:
Sous Windows, tu installes souvent les programmes via des installateurs .exe. Sous macOS, ce sont des images .dmg ou des paquets .pkg.
Sous Android, c’est .apk.
Dans ce fichier, on trouve :
- du bytecode compilé (Dalvik/ART, DEX),
- des ressources comme des images, des layouts, des chaînes de texte,
- le manifeste avec les autorisations et les composants,
- la signature du développeur.
Quand tu installes une appli depuis le Play Store, il se passe exactement la même chose que lors d’un sideload, mais de façon automatisée : le système télécharge un APK depuis les serveurs de Google et l’installe via le PackageManager.
Le type de fichier en soi n’est ni illégal ni automatiquement infecté. Comme le souligne Protectstar dans sa FAQ : un APK n’est pas illégal par nature ni forcément bourré de malware, c’est juste un conteneur. Ce qui compte, c’est d’où il vient et qui l’a signé.
Légalité, chaîne de confiance et pourquoi la source fait tout
Si tu regardes l’écosystème avec un peu de recul, tu peux distinguer trois types de sources :
- Sites officiels des développeurs
Un exemple, c’est le site Protectstar. Tu y obtiens des APK directement auprès de l’éditeur, signés avec sa clé d’origine, non modifiés, sans « intermédiaire ». La FAQ de Protectstar qualifie à juste titre cette variante de généralement légitime, sûre et propre, à condition d’être vraiment sur le domaine officiel. - Stores officiels (Google Play, parfois des stores OEM)
Ici tu bénéficies de filtres supplémentaires : analyses automatiques, vérification de conformité aux règles, parfois revue manuelle. Pour l’utilisateur moyen, c’est un énorme progrès par rapport au fait de cliquer sur n’importe quel lien « APK Download » trouvé sur le web. Mais, comme on va le voir, cette couche est loin d’être parfaite. - Portails illégaux, sites de “Free APK”, cracks
C’est là que naît la plupart des histoires d’horreur. On met expressément en garde contre le téléchargement de versions « gratuites » d’applis normalement payantes depuis des sites douteux, car ces paquets sont souvent modifiés et agrémentés de spyware ou de trojans.
Du point de vue purement sécurité, un APK provenant du site légitime de l’éditeur ressemble beaucoup plus à un déploiement en entreprise ou à un push MDM qu’à un « APK aléatoire depuis internet ». La question n’est donc pas « est‑ce du sideloading ou non ? », mais : comment est construite la chaîne de confiance ?
Domaine → Éditeur → Signature → Architecture de l’appli.
Le sideloading n’est pas synonyme de « chargement de code »
Ensuite, il faut dissocier clairement deux notions qui, dans le langage courant, sont systématiquement mélangées :
- Sideloading signifie : tu n’installes pas l’appli via le Play Store, mais depuis une autre source. Ça peut être un téléchargement via le navigateur, un push MDM, un adb install ou un store d’entreprise. Ça décrit uniquement le chemin d’installation.
- Chargement dynamique de code signifie : après l’installation, l’appli télécharge du code exécutable supplémentaire depuis le réseau – souvent sous forme de fichier DEX, de conteneur ZIP ou de module/plugin – et l’exécute à l’exécution.
Du point de vue d’un threat model, c’est le chargement dynamique de code qui est vraiment critique. C’est exactement le mécanisme utilisé par de nombreux malwares Android : une appli en apparence inoffensive se comporte comme un dropper, va ensuite chercher la véritable charge utile (payload) et se transforme en quelque chose de totalement différent de ce qui avait été analysé et approuvé au départ.
Et ce fonctionnement est totalement indépendant du fait que l’installation initiale se soit faite via Google Play ou par sideloading. Il existe des applis du Play Store qui embarquent de tels loaders et ne « deviennent mauvaises » que plus tard ; et il existe des APK signés, livrés directement par des éditeurs sérieux, qui ne chargent délibérément aucun code dynamique et ne changent qu’au travers de mises à jour régulières.
Si tu mets donc automatiquement « sideloading » dans le même sac que « malware téléchargé après coup », tu mélanges deux niveaux. La bonne formulation serait : tu devrais éviter les applis dont l’architecture est conçue pour charger, en cours d’exécution, de nouveaux modules de code non vérifiés – quel que soit le canal par lequel tu les as installées.
Combien de malware arrive réellement sur le Google Play Store
Si tu ne regardes que les avertissements du Play Store sur les « sources inconnues », tu pourrais croire : « Tant que je reste dans le Store, je suis tranquille. » La situation actuelle raconte une autre histoire.
Un rapport récent de Zscaler, résumé notamment par Tom’s Guide, montre qu’entre juin 2024 et mai 2025, 239 applis malveillantes ont été identifiées sur le Google Play Store, totalisant plus de 40 millions de téléchargements. Cela représente une hausse d’environ 67 % des malwares mobiles par rapport à l’année précédente. En ligne de mire : spyware et trojans bancaires, spécialisés dans l’abus des paiements mobiles et des identifiants.
En parallèle, des chercheurs de ThreatLabz et Zscaler ont analysé, à l’été 2025, une campagne où 77 applications malveillantes, totalisant plus de 19 millions d’installations, ont été découvertes puis supprimées du Play Store. Ces applis distribuaient notamment le malware bancaire Anatsa (TeaBot) ainsi que des variantes de Joker et Harly.
Le scénario est presque toujours le même:
Au départ, l’appli se présente comme un outil utile : visionneuse de documents, appli santé, cleaner, etc. Une fois installée, elle joue le rôle de dropper, se connecte à un serveur de commande et contrôle, télécharge du code DEX chiffré supplémentaire, puis active sa réelle fonction malveillante : interception de SMS, inscriptions forcées à des services premium, voire manipulation ciblée d’applis de banque.
Les experts en sécurité de Protectstar découvrent eux aussi, quasiment tous les jours, des applis du Google Play Store infectées par le trojan Android Joker – malgré les contrôles étendus de Google.
Le message de fond de ces rapports est limpide:
Le Play Store réduit les risques, mais ce n’est pas une « zone sans malware ». Même avec Play Protect, les analyses par machine learning et les contrôles de conformité, des programmes malveillants très sophistiqués réussissent régulièrement à passer les mailles du filet, restent en ligne pendant des semaines ou des mois et atteignent des millions d’appareils avant d’être repérés et supprimés.
Donc si tu te dis : « Je ne fais confiance qu’au Play Store, tout le reste est trop dangereux », tu passes à côté du fait qu’une part significative des malwares Android modernes est justement distribuée via ce canal.
Pourquoi les éditeurs de sécurité proposent volontairement des APK en dehors du Play Store
La question évidente, c’est : si le Play Store fournit au moins une couche de contrôle supplémentaire, pourquoi des éditeurs de sécurité comme Protectstar renoncent‑ils à ce bonus et proposent leurs éditions Premium, Professional ou Government en téléchargement direct au format APK ?
La réponse tient en plusieurs points:
Premièrement, beaucoup de fonctions importantes en matière de sécurité sont restreintes par les règles du Play Store. C’est le cas par exemple du blocage agressif de publicités, de certains mécanismes de firewall, d’interactions plus profondes avec le système ou de la suppression sécurisée de SMS et de données, comme celle d’iShredder. Google interdit ou limite ces fonctions parce qu’elles entrent en conflit avec des règles d’usage génériques ou avec ses intérêts commerciaux. Les versions APK proposées directement par Protectstar peuvent, elles, les inclure de façon complète.
Deuxièmement, le processus de validation du Play Store constitue un goulot d’étranglement pour les mises à jour de sécurité critiques. Chaque nouvelle version doit être soumise, analysée et approuvée. Protectstar souligne que ses applis, lorsqu’on les installe via un APK direct, disposent de leur propre système de mise à jour, ce qui leur permet de livrer des correctifs importants et de nouvelles fonctions souvent plusieurs jours avant la version du Store.
Troisièmement, il est aussi question de confidentialité et de transparence. Un téléchargement direct depuis le site de l’éditeur signifie : pas de SDK de tracking supplémentaire, pas de couche de télémétrie liée au store, et pas de modèle de rémunération où un tiers – Google, en l’occurrence – prélève jusqu’à 30 % de commission, poussant de nombreux développeurs à chercher des moyens de monétisation supplémentaires.
Enfin, il y a un point très pratique:
Les entreprises et les utilisateurs professionnels souhaitent souvent déployer leurs outils de sécurité via leurs propres workflows, gérer les licences de façon centralisée – indépendamment des comptes Google personnels, des règles du Play Store ou des restrictions régionales. Des APK signés, reliés à MY.PROTECTSTAR, s’intègrent bien mieux dans ces scénarios.
Vu sous l’angle d’un utilisateur avancé, on obtient un tableau très différent : renoncer au Play Store, ici, n’est pas un risque de sécurité, mais au contraire une condition nécessaire pour pouvoir proposer une version d’appli de sécurité complète, mise à jour rapidement et respectueuse de la vie privée.
Android System SafetyCore : quand la « sécurité » elle‑même devient une boîte noire
Un bon exemple de la complexité actuelle, c’est Android System SafetyCore.
Protectstar a consacré un article de blog spécifique à ce service:
https://www.protectstar.com/fr/blog/android-system-safetycore-hidden-installation-and-what-you-should-know
On y décrit comment, sur de nombreux appareils Android, une nouvelle appli système appelée « Android System SafetyCore » est soudainement apparue – sans icône, sans opt‑in officiel, parfois visible uniquement dans la liste des applis système.
D’après Google, SafetyCore est censée analyser localement les images présentes sur l’appareil pour détecter par exemple de la nudité ou d’autres « contenus sensibles », et le cas échéant les filtrer ou les flouter. Google insiste sur le fait que les analyses se font on‑device et qu’aucune photo n’est envoyée vers les serveurs. Malgré tout, ce comportement met mal à l’aise : l’appli a été déployée en silence, en arrière‑plan, via les services système ou Play, sans consentement explicite de l’utilisateur.
Protectstar souligne à juste titre que le problème ne se limite pas à la fonction brute, mais tient au manque de transparence et de contrôle. Quand un fabricant introduit une composante de scan profondément intégrée sur ton appareil sans t’en informer, la frontière entre « fonctionnalité de sécurité » et « potentiel de surveillance » devient très mince, et les questions de confiance sont inévitables.
Ce qui est particulièrement intéressant dans notre contexte, c’est que SafetyCore est distribuée via l’infrastructure même qu’on considère par défaut comme « fiable » : les services système Google et le canal de l’écosystème Play. Ça montre à quel point il est peu pertinent de fonder la confiance uniquement sur le canal « Play Store vs. APK ». La vraie question, c’est : qui a le contrôle, quel niveau de transparence existe, et quel regard tu as sur ce qui se passe en arrière‑plan ?
Des outils comme Anti Spy, Antivirus AI et Firewall AI sont donc conçus de manière à pouvoir détecter et analyser des processus système comme SafetyCore et, si tu le souhaites, les couper du réseau – là encore via des APK signés directement par l’éditeur, sans dépendre de la bonne volonté du Play Store.
Comment utiliser les APK de manière professionnelle en tant qu’utilisateur avancé
Si tu es un peu technique, tu ne cherches généralement pas à « bloquer tout ce qui n’a pas le logo Google », mais à travailler avec un modèle de menace cohérent. Pour les APK, ça veut dire :
Tu n’énonces pas une règle dogmatique du genre « jamais de sideloading », tu distingues en fonction des points d’ancrage de confiance et de l’architecture de l’appli.
En pratique, ça ressemble à quelque chose comme ceci :
- Pour chaque appli, quel que soit le canal d’installation, tu regardes qui est derrière.
Est‑ce un éditeur connu, avec un historique vérifiable, des mentions légales, une structure de support et une politique de confidentialité claire ? Ou bien un compte développeur tout neuf, sans réputation, dont la première appli est « Battery Optimizer », « Super Cleaner » ou « Document Viewer » ? Ce sont précisément ces utilitaires qui, ces dernières années, ont fréquemment servi de vecteurs à des campagnes Joker, Harly ou Anatsa. - Tu regardes les autorisations et tu te demandes si elles collent au but de l’appli.
Une appli qui sert seulement à définir un fond d’écran n’a pas besoin de lire tes SMS ; un cleaner n’a pas besoin des Services d’accessibilité ; une visionneuse de documents n’a pas forcément besoin d’un accès complet à tous les fichiers. Dans de nombreuses campagnes analysées autour de Joker & co., c’est justement la combinaison « catégorie anodine » + « autorisations disproportionnées » qui constituait le signal d’alerte. - Tu réduis activement ta surface d’attaque en désinstallant les applis que tu n’utilises plus vraiment, au lieu de les laisser traîner « au cas où ». Chaque appli en plus – qu’elle vienne du Store ou via APK – augmente tes vecteurs d’attaque potentiels.
Où tout cela nous mène : développeurs vérifiés et sideloading plus professionnel
Un autre mouvement à suivre de près, c’est le nouveau Developer Verification Program de Google. Dans les années à venir – avec 2026 comme horizon annoncé – chaque appli sur les appareils Android certifiés devra être liée à un compte développeur vérifié, avec identité et coordonnées contrôlées.
Ce qui peut d’abord ressembler à un obstacle de plus contre le sideloading est en réalité un pas vers un écosystème plus professionnel. Les comptes anonymes et jetables auront plus de mal à publier en masse des applis malveillantes – qu’elles passent par le Play Store ou par des canaux alternatifs. Les éditeurs sérieux, en particulier dans la sécurité, travailleront avec des comptes vérifiés, tout en pouvant continuer à distribuer leurs APK via leur propre infrastructure.
Pour toi, en tant que power user, ça veut dire que la ligne de séparation sera encore plus nette entre « éditeurs connus, vérifiés, à l’identité traçable » et « quelqu’un qui est là aujourd’hui et disparu demain ». Et ça renforce exactement le modèle dont on parle ici : pas un noir‑et‑blanc basé sur la frontière du Play Store, mais une évaluation du risque par éditeur et par appli.
Aparté : as‑tu vraiment besoin d’un antivirus sur Android ?
Si tu installes de façon très disciplinée, que tu vérifies les autorisations et que tu laisses Play Protect activé, tu réduis ton risque – mais tu ne le fais pas disparaître. La raison, c’est que les attaquants ont adapté leurs tactiques : même dans l’écosystème officiel Google Play, on voit régulièrement apparaître des campagnes qui ne « s’activent » qu’après l’installation, par exemple via du code chargé dynamiquement. C’est ainsi que des outils en apparence anodins parviennent à passer entre les mailles du filet pendant des semaines, sous les yeux de millions d’utilisateurs, avant d’être bloqués. Entre juin 2024 et mai 2025, 239 applis malveillantes sur le Play Store, totalisant plus de 42 millions d’installations, ont été documentées. Ce n’est pas théorique, c’est étayé par des rapports indépendants.
La distinction clé reste la même : sideloading versus chargement de code. Le sideloading décrit uniquement le chemin d’installation, pas le comportement de l’appli en exécution. Une appli du Play Store peut parfaitement télécharger des payloads supplémentaires plus tard et se transformer en quelque chose de différent de ce que le Store avait analysé au départ. Inversement, un APK signé, fourni directement par l’éditeur, peut être conçu pour ne pas charger de code arbitraire tiers et ne changer que via des mises à jour signées. Pour ton modèle de menace personnel, le canal compte moins que l’architecture de l’appli.
C’est là que Antivirus AI et Anti Spy prennent leur place – comme couche de protection supplémentaire, indépendante du canal :
- Antivirus AI couvre le spectre large des malwares avec une approche à double moteur (signatures classiques + IA apprenante) et une surveillance en temps réel.
- Anti Spy se concentre sur la niche spyware/stalkerware, avec des techniques de persistance typiques comme l’abus des Services d’accessibilité, des noms de paquet discrets ou des services en arrière‑plan peu visibles.
L’ensemble comble les lacunes laissées par le simple « installer prudemment » et par Play Protect.
Et tu n’es pas obligé de te fier uniquement au discours marketing : il existe des preuves solides. AV‑TEST certifie régulièrement les applis de protection Android dans des scénarios de laboratoire standardisés.
Antivirus AI a été récompensé sur plusieurs cycles de tests et, en 2025, est confirmé « pour la troisième année consécutive » ; la page produit et les actualités mentionnent notamment 99,8 % de détection en temps réel et 99,9 % pour les malwares répandus.
Anti Spy a obtenu un certificat AV‑TEST dès janvier 2024 ; le rapport indique 99,8 % de détection en temps réel et 100 % sur le jeu de quatre semaines.
C’est un indicateur solide montrant que les deux produits performent non seulement sur le papier, mais aussi dans des conditions de laboratoire.
Deuxième pilier : l’architecture de sécurité de l’appli. Via l’App Defense Alliance, DEKRA vérifie, avec MASA L1 (basé sur OWASP MASVS L1), si une appli applique correctement les contrôles de sécurité essentiels : communication chiffrée, pas de stockage en clair de données sensibles, design correct des autorisations et des composants exportés, utilisation sûre des bibliothèques. Antivirus AI (paquet com.protectstar.antivirus) et Anti Spy (com.protectstar.antispy.android) ont tous deux passé MASA L1 ; les rapports officiels ADA mentionnent le type de validation « Level 1 – Verified Self », la vérification du scan par DEKRA et les dates d’émission (17/03/2025 et 06/03/2025). Pour toi, ça veut dire : non seulement le moteur de détection est bon, mais la base logicielle de l’appli est durcie selon des critères reconnus.
Le fait que cette combinaison de performances en labo et d’architecture propre soit reconnue en dehors du petit monde de la sécurité se voit aussi dans les récompenses récentes. En 2025, Antivirus AI a reçu, de la part de Business Intelligence Group, le BIG Innovation Award et l’AI Excellence Award – ce ne sont pas des certifications techniques au sens strict, mais des signaux clairs que l’approche technologique et la feuille de route convainquent. Les communiqués de l’entreprise documentent ces prix et les replacent dans le contexte de l’évolution du produit.
En recoupant tout cela, on obtient une image assez sobre : Play Protect reste une base pertinente, la discipline aide comme toujours, mais les campagnes modernes exploitent précisément les zones grises où les contrôles statiques réagissent trop tard. Une couche supplémentaire légère et certifiée comme Antivirus AI + Anti Spy réduit nettement ton risque résiduel – que tu utilises le Play Store ou des APK signés directement par l’éditeur. Et pour les applis de sécurité en particulier, le téléchargement direct n’est pas une contradiction, mais un avantage : mises à jour de sécurité plus rapides, fonctionnalités complètes, et une chaîne de confiance traçable du domaine à la signature et au produit.
Conclusion : sortir des mythes, adopter un modèle de sécurité mature
Si tu mets tout bout à bout, tu obtiens un tableau bien plus mature que le sempiternel « Play Store = bien, APK = mal » :
Un APK n’est rien d’autre que le format d’installation standard d’Android. Le Play Store lui‑même fonctionne avec des APK en interne.
Le sideloading décrit uniquement la façon dont l’appli arrive sur ton appareil – pas si elle charge ensuite du code malveillant. La technique vraiment dangereuse, c’est le chargement dynamique de code via des structures de dropper, que l’on retrouve malheureusement aussi dans des applis du Play Store.
Les chiffres actuels montrent que des centaines d’applis malveillantes, totalisant des dizaines de millions d’installations, ont été découvertes dans le store officiel avant d’être retirées. Le Play Store est donc une couche de protection importante, mais loin d’être parfaite.
Un APK signé, téléchargé directement auprès d’un éditeur de sécurité spécialisé comme Protectstar, peut t’offrir une pleine fonctionnalité, des mises à jour de sécurité plus rapides et plus de contrôle sur ta vie privée que via le Store – notamment pour les éditions Professional ou Government.
Au final, l’essentiel n’est pas de savoir si tu installes une appli depuis le Play Store ou via un APK, mais si tu disposes d’un modèle de confiance clair et techniquement solide :
- Tu sais à quel éditeur tu confies tes tâches les plus sensibles.
- Tu comprends, au moins grossièrement, comment ses applis fonctionnent techniquement – surtout en termes d’autorisations et de chargement de code.
- Tu complètes le tout avec tes propres outils de sécurité, indépendants de l’écosystème du store, qui te donnent une vraie visibilité sur les processus et le trafic réseau.
Si tu adoptes cette approche, tu n’as pas à avoir peur des mots « APK » ou « sideloading ». Au contraire : tu profites consciemment de l’avantage de traiter directement avec l’éditeur lorsque c’est pertinent – et en échange, tu obtiens exactement la sécurité que tu recherches en tant qu’utilisateur avancé : complète, rapide, transparente, et non diluée par les politiques d’un store.
Retour