Comment vérifier la signature d’un APK avant de l’installer
Les méthodes pour s’assurer qu’un APK est authentique : sur le téléphone, sur ordinateur (apksigner) et avec VirusTotal. Avec l’empreinte officielle du Play Store.
Chaque APK porte la signature numérique de son auteur, comme un scellé : si quelqu’un modifie l’appli pour y ajouter de la publicité ou un logiciel malveillant, il ne peut pas la re-signer avec la clé du développeur d’origine. Comparer la signature avec l’officielle est le moyen le plus fiable de savoir qu’un APK est authentique.
La signature officielle du Play Store
| SHA-256 | F0:FD:6C:5B:41:0F:25:CB:25:C3:B5:33:46:C8:97:2F:AE:30:F8:EE:74:11:DF:91:04:80:AD:6B:2D:60:DB:83 |
|---|---|
| SHA-1 | 38:91:8A:45:3D:07:19:93:54:F8:B1:9A:F0:5E:C6:56:2C:ED:57:88 |
Si un fichier affiche une autre empreinte, ce n’est pas la boutique officielle, même avec le même nom et la même icône.
Méthode 1 : un dépôt qui vérifie déjà
Des dépôts comme APKMirror, vers lequel pointe notre bouton, vérifient que chaque fichier porte la même signature que les versions précédentes du développeur avant de le publier, et affichent l’empreinte sur chaque page de version.
Méthode 2 : sur ordinateur (la plus fiable)
- Installez les Android SDK Build-Tools.
- Ouvrez un terminal dans le dossier de l’APK.
- Lancez :
apksigner verify --print-certs nom-du-fichier.apk - Comparez la ligne
Signer #1 certificate SHA-256 digestavec l’empreinte officielle (apksigner l’affiche sans les deux-points).
Méthode 3 : VirusTotal
Envoyez le fichier sur virustotal.com ; l’onglet Details affiche le certificat. Le fichier reste stocké sur leur service.