F-Droid 2.0, Kotlin ve Jetpack Compose ile baştan yazılmış olarak geldi; tam da Google sideloading'i sıkılaştırırken

F-Droid, Android istemcisinin 2.0 sürümünü yayımladı; dev.to'da yayımlanan bir yazıya göre bu, kademeli bir yenileme değil, baştan aşağı bir yeniden yazım. 24 Eylül 2026 tarihli sürüm, bir yılı aşkın geliştirme sürecini, on dört genel test sürümünü ve bağımsız bir güvenlik denetimini geride bırakıyor ve kod tabanını Kotlin ile Jetpack Compose'a taşıyor. Zamanlama önemli: Google'ın Android geliştirici doğrulama gereksinimleri 30 Eylül 2026'da Brezilya, Endonezya, Singapur ve Tayland'da uygulanmaya başlıyor ve yazı, bu çakışmayı F-Droid'in yazılım dağıtma biçimi açısından varoluşsal bir sınav olarak çerçeveliyor.

Yeniden yazım neleri değiştiriyor

dev.to gönderisine göre Kotlin ve Jetpack Compose'a geçiş, uzun vadeli sürdürülebilirliğe ve katkıda bulunanlar için engelleri düşürmeye yönelik bilinçli bir bahis; zira katkıda bulunanlar artık istemcinin eski teknoloji yığınından çok bildirimsel arayüz araçlarına aşina. Kullanıcıya görünür değişiklikler şunlar:

• Önceki sürümlerin dağınıklığının yerini alan, Keşfet, Arama ve Uygulamalarım sekmelerinden oluşan sade bir üç sekmeli düzen.
• Varsayılan olarak açık gelen arka plan güncellemeleri; elle yenilemeye dayanma dönemi sona eriyor.
• Oyunlar için 17 alt tür ve VPN, güvenlik duvarı ile parola yöneticileri gibi güvenlik araçlarına ayrılmış gruplarla genişletilmiş bir kategori taksonomisi.
• Yükseltilen platform tabanı: minimum SDK artık Android 7; böylece istemci, ağır geriye dönük uyumluluk katmanlarına gerek kalmadan modern sistem API'lerini kullanabiliyor.

Denetim, finansman ve duraklatılan özellikler

Yayımlanmadan önce istemci, Open Technology Fund'un Security Lab'ının Convocation ile iş birliğiyle yürüttüğü bir güvenlik incelemesinden geçti; yazı, finansman desteğini Calyx Institute ve NLnet'e bağlıyor. Yeniden yazımı mümkün kılmak için iki özellik duraklatıldı: panic tetikleyicisi ve F-Droid Privileged Extension. Yazıya göre temel göz atma ve kurulum işlevleri bu sürecten öncekinden daha sağlam çıktı.

Yanında gelen doğrulama kuralları

dev.to yazısına göre Google'ın açık hedefi, sideload edilen ekosistemdeki kötü amaçlı yazılımları azaltmak: Google sertifikalı bir cihazda çalışan her uygulamanın, nasıl dağıtıldığından bağımsız olarak kayıtlı ve doğrulanmış bir geliştiriciyle ilişkilendirilmesi gerekiyor. Politika fiilen üç kademeli bir yapı oluşturuyor:

• Tam dağıtım: resmi kimlik doğrulaması ve paket adı kaydı gerektirir; APK, geliştiricinin kendi özel anahtarıyla imzalanır.

• Sınırlı dağıtım: bireyler ve öğrenciler için, devlet kimliği kontrolü atlayan ancak dağıtımı 20 cihazla sınırlayan basitleştirilmiş bir yol.

• "Gelişmiş akış" üzerinden sideloading: sosyal mühendislik saldırılarını yavaşlatmak için bilinçli olarak kısıtlayıcı tasarlanmış bir mekanizma.

Yazı, ADB iş akışlarının etkilenmediğini belirtiyor; yani geliştiriciler kendi donanımlarına USB üzerinden debug derlemesi yüklerken bir değişiklik görmeyecek.

Merkezdeki imza uyumsuzluğu

F-Droid için kritik nokta mimari. Proje, uygulamaları sık sık kaynaktan derliyor ve bunları özgün geliştiricilerin anahtarları yerine kendi anahtarlarıyla imzalıyor; yazıya göre kataloğun yaklaşık %85'i bu altyapı tabanlı imzalamaya dayanıyor. Bu uygulamalar, Google'ın çerçevesinin beklediği biçimde tek bir geliştirici kimliğine karşılık gelmiyor. Electronic Frontier Foundation ve Free Software Foundation Europe'un da imzaladığı açık bir mektupta proje, binlerce katkıda bulunan ile F-Droid derleme hattı arasında anahtar kaydını koordine edecek bir mekanizma olmadan kataloğun büyük bölümünün sertifikalı cihazlarda kısıtlanmış erişimle karşı karşıya kalabileceği ve aşırı sürtünmeli bir "gelişmiş akış"ın açık kaynak dağıtımını ana akım kullanıcılar için kullanılamaz hale getirebileceği uyarısını yapıyor.

Yeni istemciyle bir depoyu test etmek

Özel depoların bakımcıları için yazı, standart araçları adım adım anlatıyor: fdroid init anahtarları ve dizinleri oluşturur, APK'lar repo/ alt dizinine konur ve fdroid update, istemcinin ayrıştırdığı index dosyalarını yazar. Dizini yerel olarak sunmak tek satır yeter (python3 -m http.server 8000); Pinggy gibi bir tünel servisi (ssh -p 443 -R0:localhost:8000 free.pinggy.io -T) onu HTTPS üzerinden erişilebilir kılar; böylece URL, F-Droid uygulamasında özel depo olarak eklenebilir — metadata, simge varlıkları ve imzalama yapılandırmalarının 2.0 istemcisi tarafından doğru işlendiğini doğrulamanın bir yolu bu.

Neden önemli

F-Droid, Android'de on yılı aşkın süredir Play Store'un başlıca açık kaynak alternatifi oldu ve 2.0 yeniden yazımı, yaşlanan bir kod tabanının sürdürülebilirlik riskine cevap veriyor: modern bir teknoloji yığını, daha temiz bir arayüz ve arka plan güncellemeleri istemciyi sürdürmeyi ve katkıda bulunmayı kolaylaştırıyor. Bu yatırımın karşılığını verip vermeyeceği artık koddan çok Google'ın "gelişmiş akış"ı nasıl uyguladığına bağlı. Deneyimli kullanıcılara gerçekten güvenli bir sideloading imkânı sunarsa çakışma yönetilebilir; dışlayıcı hale gelirse F-Droid kataloğunun büyük bölümü etkilenen ülkelerde sertifikalı cihazlara kurulmakta zorlaşır ve daha derin soru — açık kaynak uygulama dağıtımı, kimlik kapılı platformlarda varlığını sürdürebilir mi — aciliyet kazanır. dev.to yazısı, politika olgunlaştıkça izlenmesi gereken yerler olarak F-Droid'in topluluk forumlarını ve resmi Android geliştirici belgelerini işaret ediyor.