Android Geliştirici Doğrulaması: Play Dışı APK Dağıtanlar Ne Yapmalı?

Ne değişti, kimi ilgilendiriyor

Google, sertifikalı Android cihazlara kurulan uygulamaların doğrulanmış bir geliştiriciye kayıtlı olmasını istemeye başladı. İlk aşama 30 Eylül 2026’da Brezilya, Endonezya, Singapur ve Tayland’da yürürlüğe girdi; Google, kuralın 2027 ve sonrasında tüm dünyaya genişleyeceğini açıkladı.

İlk aşamada kural, programa katılan mağazalardan yapılan kurulumlarda uygulanıyor. Listede Google Play’in yanında Samsung Galaxy Store, Xiaomi GetApps, OPPO, vivo, HONOR ve Transsion mağazaları var.

Türkiye ilk dört ülke arasında değil. Bu, hazırlığın ertelenebileceği anlamına gelmiyor: kural genişlediğinde kaydı olmayan bir uygulamanın yalnız yeni kurulumu değil, güncellemesi de takılır.

Play’de yayındaysanız işin çoğu yapılmış olabilir

Google’ın Haziran 2026 açıklamasına göre Play’deki uygulamaların yüzde 99’u otomatik olarak kaydedildi. Kalanların 30 Eylül’e kadar Play Console’dan kaydedilmesi gerekiyordu; kaydedilmeyenlerin Google Play’den kaldırılabileceği belirtildi.

Kendi uygulamalarımızı Play Console’daki doğrulama sayfasından tek tek kontrol ettik. Kimlik bilgileri geliştirici hesabından geldi, beş paket adı kayıtlı görünüyordu ve Play’in imzalama anahtarları otomatik olarak doğrulanmıştı.

Yalnız Play üzerinden dağıtım yapan bir ekip için bu sayfa çoğunlukla bir kontrol adımıdır. Yeni kişisel hesaplardan istenen kapalı test süreci gibi, bu kural da dağıtımı geliştiricinin kimliğine bağlayan bir adım. Asıl iş, Play dışına çıkan dosyalarda başlıyor.

Gözden kaçan anahtar: Play’in imzası sizin imzanız değil

Play uygulama imzalama hizmeti açıksa, mağazadan inen dosya Google’ın sakladığı uygulama imzalama anahtarıyla imzalanır. Sizin bilgisayarınızda ya da derleme sunucunuzda üretilen dosya ise yükleme anahtarıyla imzalıdır. İkisi farklı anahtarlardır.

Uygulamalarımızdan biri TV kutularına Play dışından, doğrudan APK olarak kuruluyordu. O dosya yükleme anahtarıyla imzalıydı ve bu anahtarın parmak izi doğrulama sayfasında yoktu. Play tarafında her şey "doğrulandı" görünürken mağaza dışındaki kurulum yolu açıkta kalıyordu.

Çözüm, dört uygulamanın yükleme anahtarının SHA-256 parmak izini aynı sayfaya eklemek oldu. Ders şu: doğrulama sayfasında yeşil işaret görmek, dağıttığınız her dosyanın kapsandığı anlamına gelmez.

Hangi dosyayı hangi anahtar imzalıyor, nasıl bakılır

Elinizdeki dosyanın gerçek imzasını görmek için Android SDK’daki apksigner aracını kullanın. "apksigner verify --print-certs" komutu, dosyayı imzalayan sertifikanın SHA-256 değerini verir.

Bu iş için sık önerilen keytool komutu, yeni imza şemasıyla imzalanmış dosyalarda boş dönebiliyor. Boş çıktıyı "imza yok" diye okumak, yanlış anahtarı kaydetmenin en kısa yoludur.

Sonra bir tablo tutun: paket adı, dağıtım kanalı (Play, doğrudan APK, kurumsal dağıtım), dosyayı imzalayan anahtar ve parmak izi. Yeni bir uygulama ya da yeni bir anahtar oluştuğunda bu tablo ile doğrulama sayfası birlikte güncellenir.

Kullanıcı tarafında yan yükleme bitmiyor, zorlaşıyor

Google’a göre kayıtsız uygulamalar adb ile ya da "gelişmiş akış" adı verilen yolla kurulmaya devam edebilecek. Gelişmiş akış, kullanıcıyı telefonda yönlendirerek zararlı uygulama kurdurmaya çalışan dolandırıcılığa karşı ek güvenlik adımları içeriyor.

Deneyimli bir kullanıcı için bu sorun değildir. Ama sahadaki bir personelin, bir bayinin ya da bir müşterinin cihazına kurulacak uygulamada her ek adım bir destek talebi demektir.

Kurumsal uygulamanızı kendi sitenizden APK olarak dağıtıyorsanız, kullanıcıya "bu uyarıyı geçin" talimatı vermek yerine uygulamayı kaydettirmek hem daha güvenli hem daha ucuzdur.

Öğrenci ve hobi hesapları için ayrı yol

Google, öğrenciler ve hobi amaçlı geliştiriciler için sınırlı dağıtım hesabı açtı. Bu hesapla bir uygulama en fazla 20 cihazla paylaşılabiliyor; devlet kimliği ya da ücret istenmiyor.

Bu hesap ürün dağıtımı için değil, deneme ve öğrenme içindir. Müşteriye giden bir uygulamanın tam doğrulanmış bir geliştirici hesabında olması gerekir.

Dağıtım hattına eklenecek kontrol

Google, bir paket adının kayıtlı olup olmadığını sorgulayan bir durum arayüzü ve paket adlarını sürekli entegrasyon hattından kaydetmeye yarayan bir konsol arayüzü duyurdu.

Pratik karşılığı şudur: derleme hattınız yeni bir paket adı ya da yeni bir imza anahtarı ürettiğinde, bu dosya kayıt adımı olmadan yayına çıkmamalı. Bu kontrolü elle tutulan bir listeye bırakmak, bizim yaşadığımız gibi bir anahtarın unutulmasına yol açar.

Her müşteri için ayrı paket adıyla aynı uygulamanın kopyasını üreten ekipler için konu daha da önemlidir: her paket adı ayrı bir kayıt, her kayıt ayrı bir takip demektir.

2027’ye kadar yapılacaklar sırası

Önce envanter çıkarın: hangi uygulamalar, hangi paket adlarıyla, hangi kanallardan dağıtılıyor. Sonra her kanal için dosyayı imzalayan anahtarın parmak izini okuyun.

Play’de olanları Play Console’dan, Play dışında dağıtılanları Android Developer Console’dan ya da yine Play Console’dan kaydedin. Kayıtsız kalan bir paket varsa ya kaydedin ya da dağıtımını bilinçli olarak durdurun.

Son olarak yeni uygulama açma ve anahtar değiştirme süreçlerinize kayıt adımını yazın. Kural ülke ülke genişleyecek; o gün geldiğinde hazırlık bir hafta değil bir öğleden sonra sürer.