اعتبارسنجی توسعه‌دهنده یک اپلیکیشن قبل از نصب

بررسی اعتبار توسعه‌دهنده یک فرایند مستمر است که باید از لحظه مشاهده اپلیکیشن در فروشگاه شروع شود و تا زمانی که اپ روی گوشی شما نصب است ادامه پیدا کند. در ادامه این فرایند را مرحله به مرحله توضیح می‌دهیم.

گام اول: قبل از نصب – تحقیق در صفحه فروشگاه

اولین جایی که می‌توانید اعتبار توسعه‌دهنده را بسنجید، صفحه خود اپلیکیشن در فروشگاه گوگل پلی یا اپ استور است. امروزه فروشگاه‌ها اطلاعات بیشتری درباره توسعه‌دهندگان در اختیار کاربران قرار می‌دهند تا تصمیم آگاهانه‌تری بگیرند.

به بخش «درباره توسعه‌دهنده» (About the developer) در پایین صفحه اپ توجه کنید. اگر توسعه‌دهنده یک سازمان است، گوگل از آنها می‌خواهد شماره D-U-N-S (یک شناسه ۹ رقمی معتبر برای تأیید کسب‌وکارها) ارائه دهند و اطلاعاتشان را تأیید کند. مشاهده این اطلاعات تأییدشده نشانه مثبتی است. همچنین اطلاعات تماس مانند ایمیل پشتیبانی، وب‌سایت و شماره تلفن را بررسی کنید. نبود هرگونه اطلاعات تماس معتبر می‌تواند یک علامت هشدار باشد.

توجه کنید که گوگل اعلام کرده در سال ۲۰۲۶ و به تدریج، تمام اپلیکیشن‌هایی که روی دستگاه‌های اندرویدی تأییدشده نصب می‌شوند باید متعلق به توسعه‌دهندگان تأییدشده باشند. این تغییر از برزیل، اندونزی، سنگاپور و تایلند شروع می‌شود و تا سال ۲۰۲۷ به سطح جهانی می‌رسد. بنابراین در آینده نزدیک، نبود تأییدیه توسعه‌دهنده عملاً به معنای غیرقابل اعتماد بودن اپ خواهد بود.

گام دوم: جستجوی نام توسعه‌دهنده در موتورهای جستجو

پس از مشاهده نام توسعه‌دهنده، آن را به همراه کلماتی مثل «review»، «scam» یا «malware» در گوگل جستجو کنید. یک توسعه‌دهنده معتبر معمولاً دارای وب‌سایت رسمی، حضور در شبکه‌های اجتماعی و سابقه دیجیتالی مشخصی است. اگر نتیجه جستجو شما را به هیچ اطلاعات معتبری نرساند یا فقط به انجمن‌های گمنام اشاره کند، احتیاط کنید.

گام سوم: استفاده از ابزار «Android Developer Verifier» (برای اندروید)

گوگل اخیراً ابزاری سیستمی به نام Android Developer Verifier را معرفی کرده است. این ابزار به‌صورت سرویس پس‌زمینه روی دستگاه اندرویدی شما کار می‌کند و به طور خودکار بررسی می‌کند که آیا اپلیکیشن‌ها از توسعه‌دهندگان تأییدشده هستند یا خیر. این قابلیت از طریق به‌روزرسانی‌های سیستمی گوگل ارائه می‌شود و نیازی به نصب جداگانه ندارد. وقتی این ویژگی به طور کامل فعال شود، نصب اپ از توسعه‌دهندگان تأییدنشده با هشدار، تأخیر یا حتی محدودیت مواجه خواهد شد.

گام چهارم: بررسی مستمر پس از نصب – Google Play Protect

حتی پس از نصب اپلیکیشن، فرایند بررسی اعتبار نباید متوقف شود. Google Play Protect به صورت شبانه‌روزی تمام اپلیکیشن‌های روی دستگاه شما را اسکن و تحلیل می‌کند، حتی آنهایی که از خارج از گوگل پلی دانلود شده‌اند. این سرویس روزانه بیش از ۳۵۰ میلیارد اپلیکیشن را بررسی می‌کند و از روش‌های مختلفی برای شناسایی رفتارهای مشکوک استفاده می‌کند:

تحلیل استاتیک به این معناست که کد اپلیکیشن بدون اجرا شدن بررسی می‌شود و با الگوهای رفتار خوب و بد مقایسه می‌گردد. تحلیل داینامیک نیز اپ را در محیط اجرا قرار می‌دهد تا رفتارهای تعاملی که در کد ساده قابل مشاهده نیستند، کشف شوند. همچنین گوگل از روابط بین توسعه‌دهندگان استفاده می‌کند؛ یعنی اگر یک توسعه‌دهنده سابقه ساخت اپلیکیشن‌های مخرب را داشته باشد، اپلیکیشن‌های جدیدش با حساسیت بیشتری بررسی می‌شوند.

برای فعال کردن حداکثر محافظت، باید در تنظیمات گوگل پلی، گزینه «Improve harmful app detection» را فعال کنید تا گوگل بتواند اپلیکیشن‌های جدید را برای تحلیل به سرورهای خود ارسال کند.

گام پنجم: توجه به هشدارهای سیستمی و گزارش‌های امنیتی

گوگل در سال ۲۰۲۵ میلادی از انتشار بیش از ۱.۷۵ میلیون اپلیکیشن نقض‌کننده سیاست‌های خود جلوگیری کرده و بیش از ۸۰ هزار حساب توسعه‌دهنده مخرب را بسته است. این آمار نشان می‌دهد که بسیاری از توسعه‌دهندگان بدسابقه موفق به ورود به فروشگاه رسمی نمی‌شوند، اما همچنان ممکن است از طرق دیگر (مثل دانلود مستقیم فایل APK) اپلیکیشن منتشر کنند.

اگر Google Play Protect به شما هشدار داد که اپلیکیشنی «تأیید نشده» یا «مخرب بالقوه» است، جدی بگیرید. همچنین اگر اپلیکیشنی پس از نصب، رفتارهایی مثل درخواست مجوزهای عجیب، مصرف بالای باتری یا داده، یا نمایش تبلیغات مزاحم داشت، اینها می‌توانند نشانه‌هایی از توسعه‌دهنده غیرقابل اعتماد باشند، حتی اگر در ابتدا تأیید شده به نظر می‌رسید.

گام ششم: برای موارد خاص – توسعه‌دهندگان کوچک و تستی

گوگل می‌داند که همه توسعه‌دهندگان حرفه‌ای و سازمانی نیستند. به همین دلیل حساب‌های «توزیع محدود» (limited distribution) برای دانشجویان، معلمان و توسعه‌دهندگان تازه‌کار در نظر گرفته شده است که بدون نیاز به تأیید هویت کامل با اسناد دولتی، بتوانند اپلیکیشن خود را برای تعداد محدودی دستگاه منتشر کنند. اگر با چنین اپلیکیشنی مواجه شدید، بدانید که توسعه‌دهنده آن تأیید کامل نشده و باید با احتیاط بیشتری رفتار کنید.

مواردی که باید قبل از نصب اپلیکیشن ها بدانیم

برای اطمینان از امن بودن یک اپلیکیشن موبایل قبل از نصب، این مراحل را دنبال کنید:

بررسی منابع رسمی: فقط از Google Play (برای اندروید) و App Store (برای iOS) دانلود کنید. از نصب از طریق لینک‌های ناشناس، ایمیل‌ها یا سایت‌های شخصی خودداری کنید. اپ‌های فروشگاه‌های شخص ثالث (مثل بازارهای غیر رسمی اندروید) ریسک بالایی دارند.

بررسی امتیازها و نظرات کاربران: به تعداد نصب، امتیاز کلی و نظرات اخیر توجه کنید. نظرات منفی درباره بدافزار، تبلیغات مزاحم، مصرف باتری غیرعادی یا درخواست مجوز‌های عجیب را جدی بگیرید. به طور کلی مراقب نظرات جعلی (تکرار عبارات مشابه یا تاریخ‌های نزدیک) باشید.

بررسی مجوزهای درخواستی (Permissions): قبل از نصب (و بعد از آن در تنظیمات گوشی) لیست مجوزها را ببینید. به طور مثال یک اپلیکیشن چراغ قوه درخواست اضافی شامل دسترسی به موقعیت مکانی، دوربین، مخاطبین و پیامک‌ها بدهد. این اپ فقط به مجوزهای مرتبط با عملکرد اصلی خود نیاز دارد ، اگر مجوز اضافی خواست، نصب نکنید.

بررسی اطلاعات توسعه‌دهنده: نام توسعه‌دهنده (مثلاً «Microsoft Corporation» قابل اعتماد است، اما «FreeApp Studio» ممکن است ناشناس باشد) در این صورت جستجو کنید که آیا اپلیکیشن وب‌سایت رسمی و پشتیبانی معتبر دارد؟

بررسی تاریخ به‌روزرسانی و محبوبیت: اپ‌های قدیمی که بیش از ۱ سال به‌روز نشده‌اند، ممکن است حفره امنیتی داشته باشند. اپ‌های بسیار کم نصب (مثلاً زیر ۱۰۰۰) را با دقت بیشتری بررسی کنید.

تست در محیط امن (اختیاری اما عالی): اگر کاربر حرفه‌ای هستید و اپ ناشناس است، ابتدا روی گوشی آزمایشی یا شبیه‌ساز (مثل Android Studio Emulator) نصب کنید و رفتار آن را زیر نظر بگیرید.

نکته طلایی: اگر اپلیکیشن رایگان است و ویژگی‌های پیشرفته مثل شبکه‌های خصوصی، پاکسازی گوشی یا آنتی‌ویروس بدون خرید ارائه می‌دهد، احتمال بدافزار بودن بیشتر است. همچنین از نصب اپ‌های بعد از جیلبریک (iOS) یا روت (اندروید) خودداری کنید – زیرا امنیت گوشی کاملاً از بین می‌رود.

استفاده از ابزارهای امنیتی پیش از نصب

Virustotal: لینک دانلود اپ را (در صورت وجود در سایت رسمی) در Virustotal بررسی کنید.

Google Play Protect (در اندروید) فعال باشد – قبل از نصب هشدار می‌دهد.

سایت‌های بررسی امنیت اپ مثل MetaCert یا APKScan برای فایل‌های APK.

جمع بندی نهایی: یک رویکرد پیوسته

بهترین راه برای اطمینان از اعتبار توسعه‌دهنده و نصب یک اپلیکیشن این است که هرگز «یک بار بررسی و تمام شده» فکر نکنید. فرایند را به این صورت پیوسته نگه دارید.

پیش از نصب، صفحه فروشگاه و اطلاعات توسعه‌دهنده را بررسی کنید و جستجوی ساده‌ای در گوگل انجام دهید. هنگام نصب، به مجوزهای درخواستی توجه کنید. پس از نصب، اجازه دهید Google Play Protect کار خود را انجام دهد و هر از گاهی به تنظیمات مجوزها و مصرف منابع اپلیکیشن سر بزنید. همچنین اخبار امنیتی مرتبط با اپلیکیشن‌هایی که استفاده می‌کنید را دنبال کنید.

اگر در هر یک از این مراحل نشانه‌ای از غیرمعتبر بودن توسعه‌دهنده دیدید، بهترین تصمیم حذف اپلیکیشن است. امنیت گوشی شما ارزش هیچ اپلیکیشن خاصی را ندارد.