F-Droid 2.0, Google'ın sideload doğrulamasını zorunlu kılmaya başlamasından günler önce yayımlandı

Sıkışık bir zamanlamayla baştan yazılmış istemci

F-Droid, Android istemcisinin 2.0 sürümünü 24 Eylül 2026'da, yani Google'ın 30 Eylül'de sideload ile kurulumlar için geliştirici doğrulamasını zorunlu kılmasından altı gün önce yayımladı. F-Droid'in resmi duyurusuna ve Pinggy ile Android Authority'deki haberlere dayanan dev.to'daki bir yazıya göre sürüm, 1.000 puanı aşarak Hacker News'in zirvesine yerleşti — ancak dikkat çeken şey arayüzden çok zamanlamaydı.

2.0 istemcisi baştan aşağı yeniden yazıldı. Eski Java kod tabanı Kotlin ve Jetpack Compose ile değiştirildi; Discover, Search ve My Apps sekmeleri etrafında düzenlenen Material uyumlu bir arayüz geldi, Settings ve Nearby Swap ise üst çubuğa taşındı. Arama artık açıklamaları, kategorileri ve çevirileri indeksliyor, CJK yazı sistemleri için destek ekliyor, yakın sorguları hatırlıyor ve kategori, cihaz uyumluluğu ile anti-özellik filtreleri birleştirilebiliyor. Otomatik güncellemeler, Android'in ön onaylı kurulum API'si aracılığıyla varsayılan olarak etkin.

İstemci artık Android 7 veya daha yeni bir sürüm gerektiriyor ve Android 6 desteği kaldırıldı. Open Technology Fund'un Security Lab ekibi bağımsız bir denetim gerçekleştirdi; bu, 14 test sürümünün ve bir yılı aşan çalışmanın doruk noktasıydı. Tor desteği tek bir proxy ayarına indirildi ve panik tetiklemeli uygulama silme özelliği, bakım maddesi çok yüksek olduğu için kaldırıldı. Yayımlama, önümüzdeki haftalar içinde kademeli olarak gerçekleşecek.

Her şey olumlu karşılanmadı. Hacker News'teki yorumcular, toplu güncellemelerin artık uygulama başına tıklama gerektirmesini bir geri dönüş olarak nitelendirdi. Yazı ayrıca Droid-ify ve NeoStore gibi alternatif istemcilerin hâlâ eski, SHA1 ile imzalanmış index-v1 biçimini kullandığını, F-Droid altyapısının ise index-v2'ye geçtiğini belirtiyor.

Doğrulama kuralları ne gerektiriyor

dev.to yazısında özetlendiği şekliyle Google'ın politikası, sertifikalı Android cihazlarda yalnızca kimliği doğrulanmış bir geliştiriciye kayıtlı uygulamaların kurulabilmesi — buna sideload edilen APK'lar da dahil. Zorunluluk 30 Eylül'de Brezilya, Endonezya, Singapur ve Tayland'da başlayacak ve 2027'de küresel ölçekte genişletilmesi planlanıyor.

Bildirildiğine göre üç uyum yolu var. Tam dağıtım için kimliğinizi doğrulamanız ve paket adını kendi anahtarınızla imzalanmış APK'lara kaydetmeniz gerekiyor. Sınırlı dağıtım yolu e-posta tabanlı ve 20 cihazla sınırlı; hobi amaçlı geliştiricilere ve öğrencilere yönelik. Vad edilen gelişmiş akış, deneyimli kullanıcıların ek güvenceler altında kayıtsız uygulamaları sideload etmesine izin verecek, ancak ayrıntıları hâlâ belirsiz. ADB ile kurulumlar açıkça muaf ve özel ROM'lar ile dört ilk ülkede olmayan kullanıcılar şimdilik etkilenmiyor.

İmza anahtarı uyuşmazlığı

F-Droid'in bu kurallarla zor durumda olmasının nedeni yapısal. Çoğu mağaza geliştiricinin imzaladığı bir APK dağıtır; F-Droid ise kataloğunun büyük kısmını kaynaktan derler ve çıktıyı kendi anahtarıyla imzalar. Yazıda alıntılanan forum tahminleri bu düzenin uygulamaların yaklaşık %85'ine denk geldiğini gösteriyor. Doğrulama bir paket adını geliştiricinin imza anahtarına bağladığı için F-Droid'in anahtarı uyuşmuyor; uyuşması ise şu an var olmayan, binlerce bağımsız bakımcı ile mağaza arasında bir koordinasyon mekanizması gerektirirdi.

Yeniden üretilebilir derlemeler temiz bir çıkış kapısı — F-Droid'in geliştirici imzalı artefaktı doğrudan dağıtmasını sağlarlar — ancak katalog genelinde kapsam bugün ancak kısmi.

F-Droid üzerinde yayın yapan geliştiriciler ne yapmalı

Yazının bakımcılara yönelik pratik önerisi, her uygulamanın yeniden üretilebilir şekilde derlenip derlenmediğini kontrol etmek ve bu yönde ilerlemek; çünkü geliştiricinin kendi anahtarının artefakta geçtiği tek yol bu. Etkilenen bir bölgede dağıtım yapan herkes, Play Store'u hiç kullanmasa bile paket adını Google'a kaydettirmeli. Bakımcılar ayrıca gelişmiş akış spesifikasyonunun nasıl şekillendiğini izlemeli, çünkü güçlü kullanıcıların kayıtsız uygulamaları kurmaya devam edip edemeyeceğini bu belirleyecek. Son olarak, applicationId ve imza yapılandırmanızı geçiş ortasında değiştirmek yerine istikrarlı tutun.

Neden önemli

F-Droid 2.0 sağlam bir mühendislik kilometre taşı — denetlenmiş, modern ve kullanımı daha kolay — ama daha iyi bir istemci, dağıtım modeli sorununu çözmez. Google'ın doğrulaması planlandığı gibi 2027'de küreselleşirse, yeniden üretilebilir derleme kapsamı büyümedikçe veya yeni bir koordinasyon mekanizması ortaya çıkmadıkça F-Droid'in kendi derleyip imzaladığı her uygulama sertifikalı cihazlara kurulması zorlaşacak. Dört ülkede 30 Eylül'de başlayan süreç, açık ve kaynaktan derleme tabanlı dağıtımın, her APK'yı giderek daha fazla doğrulanmış bir kimliğe bağlayan bir işletim sistemiyle yan yana var olup olamayacağının ilk gerçek testi. Play dışındaki kullanıcılara ulaşmak için F-Droid'e bel bağlayan bağımsız geliştiriciler, önümüzdeki ayları uzak bir politika tartışması değil, bir geçiş penceresi olarak görmeli.