Un fichier APK peut avoir le bon nom mais venir du mauvais endroit

Un fichier APK peut avoir l’air parfaitement légitime et pourtant venir d’un endroit douteux. C’est justement là que le piège se referme, car sur Android, ce n’est pas le nom qui fait foi, mais la signature numérique et la provenance réelle du fichier. Quand on comprend ce mécanisme, on évite déjà pas mal de mauvaises surprises 😅

Comprendre ce qu’est un fichier APK et le mécanisme de signature

Un fichier APK, pour Android Package, contient tout ce qu’il faut pour installer une application Android, un peu comme un carton de déménagement qui embarque à la fois le meuble, les vis et la notice. On y trouve le code, les ressources, les manifestes et les informations nécessaires au lancement de l’application.

Mais avant qu’Android accepte ce paquet, il doit être signé numériquement. Cette signature identifie l’auteur de l’application et sert aussi de repère pour les mises à jour. Si la même clé est utilisée, Android considère que la nouvelle version vient bien du même développeur.

Le point intéressant, c’est que cette confiance ne repose pas sur une autorité de certification externe comme dans le web classique. Android ne vérifie pas un certificat d’application auprès d’une CA tierce. Il s’appuie surtout sur la clé de signature elle-même, incluse dans le processus de validation.

Autre détail important, et pas des moindres, la moindre modification du fichier, même minime, casse la signature. Un changement de contenu, une retouche de métadonnées ZIP, et hop, la signature n’est plus valide. En clair, un APK modifié n’est plus le même objet aux yeux d’Android.

Le vrai problème, c’est que le nom du fichier APK, comme celui du package, n’apporte aucune garantie d’origine. Deux fichiers peuvent porter le même nom, afficher la même identité, et pourtant n’avoir absolument rien à voir. C’est un peu comme un faux badge de sécurité imprimé à la va-vite, ça ressemble, mais ça ne prouve rien.

Le risque du « bon nom, mauvais endroit » : repackaging et imitation

Le scénario le plus classique, c’est celui du repackaging. Un acteur malveillant récupère une application officielle, la modifie, puis la redistribue sous le même nom. Le but peut être varié, ajouter un malware, espionner l’utilisateur, contourner un paywall ou injecter du code publicitaire agressif.

Le piège est d’autant plus crédible qu’un APK peut conserver exactement le même nom de package qu’une application légitime. À l’œil nu, tout semble cohérent. Pourtant, le fichier peut avoir été récupéré ailleurs, retravaillé, puis remis en circulation comme si de rien n’était.

Je trouve la métaphore du faux domaine assez parlante. Il suffit parfois d’une lettre de différence dans une adresse web pour tromper quelqu’un. Avec un APK, c’est la même logique, un site qui ressemble à l’original ou une source de téléchargement copiée peut suffire à faire croire qu’on installe la bonne application.

Les chiffres donnent une idée du terrain miné. Une étude de 2025 évoque environ 25 % du contenu du Play Store sous forme d’applications repackagées. Dans certains jeux de données, jusqu’à 67 % de ces APK repackagées ont été détectées comme malware par au moins deux moteurs antivirus. Ça calme vite les ardeurs.

Le danger est encore plus marqué avec les APK provenant de sources externes au Play Store. Une app hors circuit officiel peut être modifiée, rebaptisée, empaquetée à nouveau, puis distribuée sans que l’utilisateur ait le moindre indice visible. Le nom rassure, mais la provenance raconte une autre histoire.

Les mécanismes de vérification sur Android et la traçabilité des APK

Android ne se contente pas d’un simple regard distrait au moment de l’installation. Le système vérifie qu’un APK a bien été signé avec le certificat attendu. Si la signature ne correspond pas, l’installation ou la mise à jour est bloquée.

Depuis Android 7.0, plusieurs schémas de signature sont pris en charge, notamment la signature v1 de type JAR et la signature v2, qui couvre le fichier de manière plus large. Cette seconde approche renforce l’intégrité globale de l’APK et limite les manœuvres de modification discrètes.

À partir d’Android 9, les vérifications s’étendent encore avec les schémas plus récents. L’idée reste la même, s’assurer que le fichier installé n’a pas été altéré et qu’il provient bien de la bonne clé de signature.

Pour un panorama plus complet des protections intégrées, consultez les nouvelles fonctionnalités de sécurité d’Android.

Pour mieux suivre l’origine des applications, Google a aussi introduit Play App Signing. Depuis août 2021, ce système est imposé pour les nouvelles applications publiées sur Google Play. Le Play Store signe les APK finaux avec la clé du développeur et ajoute des marqueurs spécifiques, appelés stamps, qui permettent de tracer la chaîne de distribution.

Ces marqueurs, comme com.android.stamp.source et com.android.stamp.type, aident à relier un APK à son origine de publication. Ce n’est pas une baguette magique, mais c’est une vraie aide pour remonter la piste du fichier quand on veut éviter les versions bricolées.

Voici un tableau simple pour visualiser les différences entre les principaux cas de figure.

Cas	Ce que l’on observe	Risque associé
APK du Play Store	Signature vérifiée, chaîne mieux tracée	Risque réduit, sans être nul
APK téléchargé ailleurs	Signature à contrôler manuellement	Risque plus élevé de repackaging
APK modifié	Signature invalidée dès la moindre altération	Blocage ou comportement douteux
APK signé avec test-keys	Clés publiques réutilisables	Détournement possible, à éviter en production

Pour vérifier un APK téléchargé manuellement, l’outil apksigner verify --print-certs est une bonne base. Il permet de consulter la signature et le certificat utilisés, puis de comparer l’empreinte SHA-256 avec celle fournie par l’éditeur officiel. Si les empreintes ne coïncident pas, il faut se méfier immédiatement.

Les APK diffusés hors Play Store ne bénéficient pas d’une garantie d’origine automatique. Android autorise la distribution par des stores alternatifs ou par des fabricants, mais la vérification de la provenance revient alors à l’utilisateur. Il faut donc regarder le certificat, l’empreinte et, quand c’est possible, les marqueurs de traçabilité, pas seulement le nom du package.

Il existe aussi un cas à connaître, celui des test-keys. Comme ce sont des clés publiques, n’importe qui peut signer un APK avec. Si un fabricant les utilise en production, cela ouvre la porte à des remplacements ou des détournements d’applications système. Franchement, c’est le genre de raccourci qui finit rarement bien.

Bonnes pratiques pour éviter les APK douteuses et erreurs fréquentes

La règle de base, c’est de privilégier autant que possible l’installation via Google Play ou une source que tu as déjà validée. Ça ne garantit pas un monde parfait, mais ça réduit nettement le risque de tomber sur une version trafiquée.

Il ne faut pas se fier à la seule apparence. Un nom de fichier propre, une interface identique ou un package qui semble familier ne prouvent rien. La vraie vérification repose sur la signature et sur l’empreinte du certificat.

Quand on récupère un APK, une première analyse avec un antivirus peut déjà filtrer pas mal de mauvaises surprises. Ce n’est pas une preuve absolue, mais c’est un bon réflexe pour repérer un fichier déjà connu comme malveillant.

Pour des conseils pratiques et actuels, consulte notre guide pour éviter les pièges courants de la sécurité internet.

Si l’installation est manuelle, il vaut mieux utiliser apksigner ou un outil équivalent pour contrôler la provenance réelle du fichier. Et au moment de l’installation, les autorisations demandées doivent être lues avec attention. Une application lampe de poche qui veut lire les SMS, par exemple, ça mérite au moins un gros sourcil levé.

Pour les développeurs, il y a aussi des règles à respecter afin de ne pas fragiliser la chaîne de confiance. Garder la même clé de certificat pendant toute la durée de vie de l’application permet de garantir les mises à jour légitimes. Si la clé change sans raison claire, la continuité de l’application devient plus difficile à vérifier.

En distribution hors Play Store, il faut aussi s’assurer d’être correctement identifié via Android Developer Verification. Cela permet de relier le nom du package à un développeur reconnu sur les appareils Android certifiés. Et bien sûr, les test-keys n’ont rien à faire en production.

Les développeurs peuvent aussi suivre les tendances actuelles de développement d’applications mobiles pour adapter leurs pratiques.

Pour les utilisateurs avancés, l’analyse d’un APK suspect peut aller plus loin. On peut extraire les informations du certificat, examiner le contenu du paquet et chercher des indices de modification ou d’éléments malveillants. C’est un peu plus technique, mais ça donne une vue bien plus fiable que le simple affichage du nom.

Le réflexe à retenir est simple, une modification, même infime, rend la signature non conforme. Donc si deux APK se ressemblent mais ne partagent pas la même signature, il y a de fortes chances qu’on ne parle pas de la même origine. Et dans ce cas, mieux vaut prendre le temps de vérifier avant d’installer.

Au fond, le bon réflexe sur Android consiste à faire confiance aux preuves techniques, pas aux apparences. Entre le nom affiché et la signature, c’est toujours la signature qui a le dernier mot.