Verifikasi developer Android mulai 30 September: identitas dicek, aplikasi belum tentu aman

Mulai 30 September 2026, cara Android mengenali pihak yang menyebarkan aplikasi memasuki tahap penting di Indonesia. Developer yang ingin aplikasinya dapat dipasang dalam cakupan kebijakan perlu menghubungkan identitas yang telah diverifikasi dengan nama paket dan bukti kepemilikan aplikasi. Brasil, Singapura, dan Thailand berada pada gelombang pertama yang sama.

Perubahan ini mudah disalahartikan sebagai “sertifikasi aplikasi Android”. Bukan itu yang dijanjikan. FAQ resmi Android secara eksplisit mengatakan verifikasi developer tidak memeriksa isi atau fungsi aplikasi. Tujuannya adalah akuntabilitas identitas dan kepemilikan paket, bukan pengujian lengkap atas keamanan, privasi, kualitas, atau klaim bisnis setiap aplikasi.

Apa yang berubah pada 30 September

Kebijakan tahap awal berlaku pada perangkat Android tersertifikasi dengan Android 7 atau versi lebih baru di empat negara peluncuran. Android menghubungkan izin pemasangan aplikasi dalam cakupan tersebut dengan developer yang identitasnya sudah diverifikasi dan paket aplikasi yang sudah terdaftar. Rencana resmi menempatkan perluasan global pada 2027, tetapi jadwal dan rincian wilayah berikutnya tetap perlu dibaca dari halaman resmi.

Cakupannya tidak hanya Google Play. Android merancang jalur bagi toko aplikasi lain dan developer yang membagikan APK langsung. Halaman utama menyebut tujuh toko aplikasi ikut sebagai mitra peluncuran. Artinya, “di luar Play” tidak otomatis berarti “di luar kebijakan”, dan “ada di toko” juga tidak otomatis berarti aman.

Identitas developer, paket aplikasi, dan keamanan adalah tiga hal berbeda

Lapisan pertama adalah identitas: siapa individu atau organisasi yang bertanggung jawab atas distribusi. Lapisan kedua adalah kepemilikan paket: nama paket dan sertifikat penandatanganan membantu menunjukkan bahwa pihak tersebut memang mengendalikan aplikasi. Lapisan ketiga adalah perilaku aplikasi setelah dipasang, yaitu izin, pengumpulan data, koneksi jaringan, transaksi, dan pembaruan. Verifikasi baru terutama memperkuat dua lapisan pertama.

Karena itu, aplikasi dari developer terverifikasi masih dapat memiliki model langganan yang buruk, meminta izin yang tidak perlu, mengandung bug, atau berubah setelah pembaruan. Sebaliknya, peringatan verifikasi bukan bukti tunggal bahwa sebuah proyek kecil berniat jahat. Gunakan status itu sebagai satu sinyal identitas, lalu nilai aplikasi dengan sinyal lain.

Apa yang sebaiknya dilakukan pengguna Indonesia

• Unduh dari situs atau toko yang benar-benar disebut oleh developer, bukan dari tautan singkat di chat atau iklan tiruan.
• Cocokkan nama developer, nama paket bila tersedia, dan tujuan aplikasi; nama serta ikon dapat ditiru oleh pihak lain.
• Baca izin sebelum dan sesudah pembaruan. Aplikasi senter tidak semestinya memerlukan akses SMS atau layanan aksesibilitas untuk fungsi dasarnya.
• Pertahankan Play Protect dan pembaruan sistem. Jangan mematikan perlindungan hanya karena tutorial meminta demikian.
• Untuk aplikasi bank, dompet, pajak, atau kantor, buka tautan dari kanal resmi institusi dan konfirmasi versi yang didukung.

FAQ Android menyebut jalur bagi pengguna tingkat lanjut dan alur ADB tetap tersedia dalam kondisi yang dijelaskan perusahaan. Namun, keberadaan jalur teknis bukan alasan untuk melewati peringatan tanpa memahami sumber APK. Jika perangkat dikelola kantor atau sekolah, kebijakan administrator dapat lebih ketat daripada pilihan pada perangkat pribadi.

Jika aplikasi Anda ada di Google Play

Developer Google Play menggunakan identitas yang sudah ada di Play Console. Android menyatakan sekitar 99 persen aplikasi Play akan didaftarkan otomatis berdasarkan data yang tersedia. Angka itu bukan alasan untuk diam: periksa halaman verifikasi, temukan paket yang belum terhubung, dan pastikan sertifikat penandatanganan serta akun organisasi tetap dapat diakses oleh orang yang berwenang.

Tim yang pernah memindahkan aplikasi, mengganti akun, memakai beberapa sertifikat, atau memiliki paket lama perlu memberi perhatian ekstra. Jangan membuat identitas kedua secara spontan jika kepemilikan organisasi sebenarnya ada pada akun lain. Simpan bukti keputusan akun dan akses pemulihan agar proses verifikasi tidak bergantung pada satu pegawai.

Jika Anda membagikan APK di luar Google Play

Android Developer Console adalah jalur resmi untuk developer yang tidak bergantung pada Play Console. Panduannya meminta pendaftaran nama paket, sidik jari SHA-256 sertifikat, dan APK yang ditandatangani sebagai bukti. Bagi pengelola toko, proyek open-source, vendor perangkat, atau aplikasi internal, inventaris paket dan kunci penandatanganan harus dibereskan sebelum tenggat, bukan ketika pengguna mulai gagal memasang.

Untuk distribusi kecil, Android menyediakan akun limited distribution tanpa biaya dengan batas hingga 20 perangkat yang diotorisasi. Panduan resmi menyebut jalur ini tidak memerlukan dokumen identitas pemerintah, tetapi tetap meminta akun, verifikasi dua langkah, dan profil pembayaran. Jalur tersebut bukan solusi untuk aplikasi konsumen berskala besar; batas perangkatnya memang dirancang untuk lingkup kecil.

Jangan tertukar dengan “perangkat Android tersertifikasi”

Istilah “Android tersertifikasi” pada perangkat merujuk pada perangkat yang lulus pengujian kompatibilitas dan memenuhi persyaratan untuk aplikasi Google resmi. Itu berbeda lagi dari identitas developer dan keamanan satu aplikasi. Satu ponsel dapat tersertifikasi, developernya terverifikasi, tetapi keputusan memasang sebuah APK tetap memerlukan pemeriksaan pengguna.

Checklist menjelang tenggat

• Pengguna: perbarui sistem, catat sumber aplikasi penting, dan jangan menganggap badge identitas sebagai audit keamanan.
• Developer Play: buka halaman verifikasi Play Console dan periksa paket yang belum didaftarkan otomatis.
• Developer non-Play: siapkan nama paket, sidik jari sertifikat, APK bertanda tangan, identitas akun, dan pemulihan akses.
• Organisasi: tetapkan siapa pemilik identitas dan kunci; hindari akun personal yang tidak dapat dialihkan saat staf berubah.
• Tim dukungan: jelaskan perbedaan antara verifikasi identitas, pendaftaran paket, pemeriksaan toko, dan keamanan aplikasi.

Verifikasi developer dapat mempersempit ruang bagi penyebar anonim yang berganti identitas setelah merugikan pengguna. Namun, kebijakan ini tidak menghapus aplikasi berbahaya dengan satu langkah dan tidak menggantikan penilaian izin, sumber, privasi, maupun pembaruan. Untuk pengguna Indonesia, pesan paling berguna menjelang 30 September adalah sederhana: kenali siapa pembuatnya, lalu tetap periksa apa yang dilakukan aplikasinya.