Android: Google endurece o sideloading de APKs com espera de 24 horas a partir de 2026

Durante anos, o Android foi sinónimo de liberdade máxima: descarregar um APK, autorizar a origem e instalar. Essa simplicidade está, porém, a desaparecer passo a passo. A Google está a apertar as regras do chamado sideloading - a instalação de apps fora da Play Store - e, quando o utilizador quiser confiar em programadores sem identidade verificada, passa a ser empurrado para um “modo profissional” bem mais exigente.

O que muda: sideloading só através de um “percurso de profissional”

Até aqui, bastava permitir nas definições a instalação a partir de fontes desconhecidas. Daqui para a frente, a Google pede mais tempo, mais passos e mais iniciativa. O novo procedimento para APKs não verificados estende-se por 24 horas completas e procura, sobretudo, travar burlões que, por telefone ou chat, pressionam as vítimas para instalarem algo “já”.

"O Android continua aberto - mas quem usar essa liberdade terá de decidir, no futuro, de forma consciente, por conta própria e com um travão ao impulso do ‘tem de ser agora’."

Internamente, a Google chama a este processo “advanced flow”. Na prática, parece uma espécie de controlo de acesso a uma “porta das traseiras” tecnológica: só entra quem aceitar o esforço. Para muitos fãs tradicionais do Android, isto soa a ruptura com uma promessa central da plataforma.

O novo caminho de 4 etapas para um APK não verificado

O percurso foi desenhado para ser deliberadamente pouco cómodo. A intenção não é tanto limitar a tecnologia, mas neutralizar a arma psicológica mais usada nas fraudes: a urgência artificial.

Em termos práticos, o novo caminho para instalar um APK de um programador sem verificação passa por:

• Activar o modo de programador: nas definições do sistema, é preciso desbloquear a área de programador, antes mais associada a quem usa depuração (debugging) ou ADB.
• Confirmar responsabilidade própria: o utilizador tem de declarar explicitamente que está a agir por vontade própria e que ninguém o está a pressionar.
• Reinício obrigatório do smartphone: o equipamento tem de ser reiniciado; a Google quer reduzir a hipótese de um burlão, via ferramentas remotas, influenciar o processo em tempo real.
• Espera de 24 horas e autenticação: só após um dia completo é possível iniciar a instalação, validada com PIN ou autenticação biométrica.

No fim, o utilizador escolhe se quer permitir instalações de fontes não verificadas apenas durante sete dias ou de forma permanente. Quem recorre frequentemente a fontes alternativas de apps terá, por isso, de ponderar bem quão ampla deve ser essa autorização.

Contexto: porque é que a Google reage de forma tão drástica

Este endurecimento não surge do nada. Segundo um relatório de 2025 da Global Anti-Scam Alliance, 57% dos adultos inquiridos tiveram contacto com uma tentativa de burla num período de um ano. O prejuízo estimado: cerca de 442 mil milhões de dólares americanos em todo o mundo.

Os burlões apostam cada vez mais em social engineering (engenharia social): ligam, criam confiança, colocam a vítima sob pressão e orientam-na, passo a passo, até instalar uma app maliciosa. É precisamente contra esse “treino ao vivo” que o reinício combinado com a pausa de 24 horas pretende actuar.

"O reinício e a espera de um dia não têm tanto a ver com ataques de hackers, mas com vozes ao telefone que dizem: ‘Faz isso já, agora mesmo’."

Google entre segurança e abertura

A Google está a ser pressionada em duas direcções. Por um lado, autoridades e entidades de defesa do consumidor exigem mais protecção contra fraudes. Por outro, a imagem do Android assenta fortemente na abertura do sistema. Em 2025, power users, fãs de custom ROMs e programadores já tinham protestado ruidosamente quando a empresa anunciou a obrigatoriedade de verificação de identidade para programadores.

Em discursos e entrevistas, Sameer Samat, responsável pelo Android, tem insistido que o objectivo é fazer as duas coisas ao mesmo tempo: dificultar as burlas sem abdicar do princípio de abertura. Para a Google, é um exercício de equilíbrio.

Três vias para o sideloading a partir de 2026

Com as novas regras, passam a existir, na prática, três cenários para instalar apps fora da Play Store:

Variante	Quem está por trás	Esforço para o utilizador
Programadores verificados	Empresas/programadores com identidade validada	Relativamente simples, semelhante ao que acontece hoje
Limited distribution	Estudantes, programadores por hobby, projectos pequenos	Número de dispositivos limitado, mas acesso mais simples
Advanced flow	Fontes não verificadas	“Percurso de profissional” com modo de programador, reinício e espera de 24 h

É precisamente o último ponto que mais afecta a cena clássica do Android: utilizadores com vontade de experimentar que testam uma beta tirada de um fórum ou recorrem a lojas alternativas.

Novas contas gratuitas para estudantes e programadores por hobby

Para não ficar com o rótulo de “assassino da liberdade”, a Google vai lançar um novo modelo de conta: as chamadas limited distribution accounts. São contas gratuitas, pensadas para estudantes, entusiastas e pequenos projectos que não pretendem (ou não conseguem) publicar as apps de forma oficial na Play Store.

Características principais destas contas:

• sem taxa de registo;
• sem obrigação de apresentar documentação oficial de empresa;
• distribuição da app limitada a até 20 dispositivos;
• vocacionadas para testes, trabalhos académicos ou ferramentas privadas.

Com isto, a Google quer evitar que a exigência de verificação de identidade bloqueie logo à partida quem está a começar. O Android pretende continuar a ser uma “zona de testes” - mas com limites mais claros quando uma app passa a circular fora de um círculo pequeno.

Arranque na Ásia e na América do Sul, depois expansão global

A implementação destas regras arranca em Agosto de 2026. Numa primeira fase, o advanced flow e as contas de distribuição limitada entram em paralelo; em Setembro, começa a verificação reforçada obrigatória. Os primeiros mercados são Brasil, Indonésia, Singapura e Tailândia. Ao longo de 2027, o modelo deverá tornar-se global, incluindo a Europa.

A Google costuma experimentar mudanças deste tipo primeiro em mercados de crescimento rápido, onde as fraudes tendem a ser mais agressivas. Se algo falhar, há margem para ajustar antes de o sistema chegar a milhares de milhões de dispositivos.

O que isto significa para utilizadores “normais”

Para a maioria, a mudança quase não se nota à primeira vista: quem usa apenas a Play Store ou lojas alternativas conhecidas e de fornecedores verificados nunca deverá sequer ver o “percurso” das 24 horas. Nesse cenário, segurança e conveniência mantêm-se relativamente elevadas.

O impacto aparece em situações de nicho, como:

• apps específicas de banca ou de empresas distribuídas fora das lojas;
• betas e versões de teste partilhadas com grupos pequenos;
• apps vindas de fóruns, grupos de Telegram ou projectos de comunidade em que o programador não quer revelar a identidade.

É nessas zonas cinzentas que a frustração tende a crescer: o que antes se resolvia em minutos pode passar a demorar, no mínimo, um dia.

Power users entre compreensão e revolta

Na comunidade tecnológica, este modelo deverá gerar discussões acesas. O argumento de “protecção contra burlas” é difícil de contestar, mas a execução atinge sobretudo quem escolheu Android precisamente por causa dessa abertura.

Muitos recordam a afirmação de Sameer Samat, em 2025, de que o sideloading é "fundamental" para o Android e que não iria desaparecer. Tecnicamente, isso mantém-se: continua a ser possível instalar fora da Play Store. Na prática, o processo torna-se tão trabalhoso que parte dos utilizadores pode simplesmente deixar de o usar.

O que significam termos como sideloading e social engineering

Sideloading significa, de forma simples, instalar uma app fora de uma loja oficial - directamente a partir de um ficheiro, normalmente um APK. Pode ser útil para manter versões antigas, contornar restrições regionais ou experimentar apps ainda não lançadas.

O problema é que, fora de lojas auditadas, aumenta a probabilidade de apanhar malware - como trojans bancários ou apps de espionagem. Quando isso se junta a social engineering (manipulação psicológica), o risco dispara: os burlões ganham confiança, fingem ser suporte técnico ou funcionários de um banco e guiam a vítima por todas as definições necessárias para instalar uma app maliciosa.

É aqui que entra o bloqueio de 24 horas: a carga emocional de uma chamada raramente dura um dia inteiro. A distância serve para separar impulso e razão e tornar mais difícil uma decisão precipitada.

Dicas práticas para utilizadores Android no novo sistema

Quem quiser continuar a tirar partido da abertura do Android deve preparar-se:

• Usar apenas fontes de confiança: projectos com comunidade transparente e código aberto são, em regra, menos arriscados do que sites de downloads duvidosos.
• Activar cedo o modo de programador: power users podem habituar-se desde já a usar o modo de programador, acelerando os primeiros passos quando as regras entrarem em vigor.
• Ter em conta a limited distribution: para projectos académicos ou equipas pequenas, as novas contas gratuitas podem evitar que os testers passem pelo processo de 24 horas.
• Desconfiar de pressão e urgência: se alguém, por telefone ou chat, insistir numa instalação rápida, o melhor é desligar a chamada ou fechar a conversa.

No fundo, esta mudança mostra como o mercado de smartphones evoluiu: o Android já não fala apenas para utilizadores tecnicamente experientes, mas para milhares de milhões de pessoas, muitas sem prática em segurança informática. A Google tenta conciliar estes dois mundos - aceitando que os fãs mais antigos podem sentir que perderam uma parte da liberdade de que mais gostavam.