Como verificar a assinatura de um APK antes de instalar

Todo APK leva uma assinatura digital de quem o criou. Ela funciona como um lacre: se alguém modificar o app para colocar propaganda ou vírus, não consegue assinar de novo com a chave do desenvolvedor original. Comparar a assinatura com a oficial é o jeito mais confiável de saber se um APK é original.

A assinatura oficial da Play Store

Se o arquivo mostrar outra impressão digital, não é a loja oficial, mesmo que se chame «Google Play Store» e tenha o mesmo ícone.

Método 1: baixe de um repositório que já confere

Repositórios como o APKMirror, para onde leva o nosso botão, conferem que cada arquivo tem a mesma assinatura das versões anteriores do mesmo desenvolvedor antes de publicar, e mostram a impressão digital na página de cada versão.

Método 2: pelo próprio celular

O Android já protege parte do processo: ao instalar um APK por cima de um app que você já tem, só aceita se a assinatura for igual. Se não for, aparece o aviso de app não instalado. Para ver a impressão digital antes de instalar, use um app de inspeção de APK bem avaliado na Play Store.

Método 3: pelo computador (o mais confiável)

1. Instale as Android SDK Build-Tools (vêm com o Android Studio ou nas ferramentas de linha de comando).
2. Abra um terminal na pasta do APK.
3. Rode: apksigner verify --print-certs nome-do-arquivo.apk
4. Compare a linha Signer #1 certificate SHA-256 digest com a oficial (o apksigner mostra sem os dois-pontos).

Método 4: VirusTotal

Envie o arquivo para virustotal.com. Além da análise com dezenas de antivírus, a aba Details mostra o certificado. O arquivo fica guardado no serviço.