Le Play Store contient des millions d’applications, parmi lesquelles une part non négligeable est inutile, intrusive en données ou clairement malveillante. La distinction entre une bonne app et une mauvaise n’est pas évidente pour qui n’a pas une grille de lecture. Quelques règles simples permettent d’éviter la grande majorité des pièges, et certaines sources alternatives au Play Store méritent d’être connues pour des usages spécifiques.
Ce guide explique comment juger une application avant de l’installer, quelles sources sont fiables, et lesquelles éviter.
L’essentiel
Pour 95 % des besoins : Play Store officiel. Avec une grille de lecture : nombre de téléchargements significatif, éditeur identifiable, autorisations cohérentes avec la fonction de l’app.
Pour les apps open source ou alternatives : F-Droid. Catalogue d’applications libres et auditables, sans tracking publicitaire. Excellent pour les outils utilitaires.
Évite : APK téléchargés depuis des sites tiers (apkpure, apkmirror inclus pour le grand public), sauf cas très précis et vérification du certificat de signature.
Comment juger une application avant de l’installer
Cinq critères à vérifier sur la fiche Play Store avant d’installer.
- Nombre de téléchargements. En dessous de 10 000, prudence. Une app récente peut avoir peu de téléchargements, mais une app qui ne décolle pas après six mois mérite suspicion.
- Date de dernière mise à jour. Une app non mise à jour depuis plus de 18 mois est probablement abandonnée par son éditeur, avec des risques de sécurité accumulés. Évite.
- Éditeur identifiable. Un nom d’éditeur clair, qui correspond à une vraie société ou à un développeur reconnu, est un bon signal. Un nom générique ou aléatoire (« BestUtils Inc. », « GoodApps Studio ») est suspect.
- Avis détaillés. Lis les avis 1 et 2 étoiles plutôt que les 5. Les retours négatifs précis (telle fonction qui ne marche pas, pubs intrusives, autorisations excessives) sont riches en information. Les avis 5 étoiles très courts et répétitifs sont souvent payés.
- Autorisations demandées. Fiche Play Store : Voir plus : Autorisations. Si une calculatrice demande l’accès aux contacts et à la localisation, fuis. Une lampe de poche n’a besoin de rien d’autre que la caméra (pour le flash). Une app de prise de notes n’a pas à connaître ta géolocalisation.
F-Droid : le catalogue open source
F-Droid est un magasin d’applications alternatif qui ne contient que des applications open source, vérifiées par des bénévoles. Pas de tracking publicitaire, pas d’analytics caché, pas de versions limitées qui poussent vers du payant artificiel. Le catalogue est plus restreint que le Play Store, mais d’une qualité moyenne supérieure pour les usages utilitaires.
Installation : télécharge l’APK F-Droid depuis le site officiel f-droid.org (taper l’adresse à la main), accepte l’installation depuis une source inconnue (Android te guide). Une fois F-Droid installé, tu navigues dans son catalogue et installes comme sur le Play Store. Mises à jour auto via F-Droid lui-même.
Quelques pépites disponibles sur F-Droid : Aegis Authenticator (gestionnaire de codes TOTP, alternative à Google Authenticator), NewPipe (lecteur YouTube sans pub, mentionné dans notre article sur le blocage des pubs), Joplin (prise de notes auto-hébergeable), OsmAnd (cartes et navigation hors ligne complète), KeePassDX (gestionnaire de mots de passe local).
Les sources à éviter
Évite par défaut les sites qui proposent des APK gratuits d’applications d’habitude payantes : ils contiennent presque toujours des modifications malveillantes (injection de pubs, vol de données, mineur de crypto en arrière-plan). Le risque est élevé même quand le site paraît propre. APKMirror est l’exception relative : ils vérifient les signatures des APK et hébergent des versions officielles non modifiées, mais pour un utilisateur non averti, le Play Store reste plus sûr.
Évite aussi les forums et groupes qui distribuent des APK sans détour (Telegram, Discord, forums obscurs). Même si le partage est de bonne foi, tu n’as aucun moyen de vérifier que le fichier n’a pas été altéré entre le développeur et toi.
Cas spécifique : applications bancaires et administratives
Pour les applications de ta banque, des impôts, de l’Assurance Maladie, ne télécharge jamais ailleurs que depuis le Play Store officiel, et vérifie que l’éditeur correspond à l’institution réelle. Une application « Crédit Mutuel » publiée par « MobileApps Studio » n’est pas la vraie. La vraie est publiée par « Crédit Mutuel Arkéa » ou « Confédération nationale du Crédit Mutuel » selon ton groupe régional.
En cas de doute, va sur le site de ton institution, clique sur le lien vers l’app mobile. Tu arrives sur la bonne fiche Play Store. Cette précaution prend 30 secondes et évite l’application de phishing qui imite l’interface bancaire pour voler tes identifiants.
Questions fréquentes
Le label « Choix de la rédaction » sur le Play Store garantit-il une bonne app ?
Pas vraiment. Le label est curé par les équipes Google, qui sélectionnent surtout sur le polish et l’audience, pas sur l’absence de tracking ou le respect de la vie privée. Une app peut être « Choix de la rédaction » et collecter beaucoup de données. Ce n’est pas un mauvais signal, mais ce n’est pas un audit sécurité.
Désinstaller une app suffit-il à supprimer ses données ?
Sur Android moderne, oui. La désinstallation supprime l’application et ses données locales. Les données qu’elle a déjà envoyées à ses serveurs restent, en revanche, là-bas. Pour demander la suppression sur leur infrastructure, il faut souvent passer par leur formulaire RGPD si l’éditeur est européen ou opère en Europe.
Une app populaire ne peut-elle pas devenir malveillante après une mise à jour ?
Si, c’est arrivé plusieurs fois. Le scénario classique : un développeur populaire vend son application à une société tierce, qui injecte ensuite des pubs intrusives ou du tracking. Surveille les apps qui changent brutalement de comportement (pubs apparues, demandes d’autorisations supplémentaires), et désinstalle si l’éditeur change pour un nom suspect.
