Google ha recentemente implementato un aggiornamento significativo alla sua Play Integrity API, una mossa che mira a rafforzare la sicurezza delle app Android ma che, come effetto collaterale, sta rendendo la vita più difficile agli utenti “smanettoni” e potrebbe creare qualche grattacapo anche a utenti meno esperti.

A partire da maggio 2025, come annunciato durante il keynote del Google I/O 2025 tenutosi qualche giorno fa, queste modifiche sono diventate predefinite, il che comporta l’introduzione di controlli di integrità più severi basati sull’hardware.

La notizia principale è che questa evoluzione della Play Integrity API rende notevolmente più complesso per gli smartphone con permessi di root o che utilizzano custom ROM superare le verifiche di sicurezza imposte da molte applicazioni. Ma andiamo con ordine per capire meglio cosa sta succedendo.

Segui Google Italia su Telegram, ricevi news e offerte per primo

Offerta

Samsung Galaxy S25 Edge 12GB+512GB

Spedito da Amazon

669€ invece di 1219€
-45%
Amazon

Cos’è la Play Integrity API e perché è importante?

La Play Integrity API è uno strumento cruciale che Google mette a disposizione degli sviluppatori. In poche parole, il suo scopo è permettere alle app di verificare che le interazioni e le richieste provenienti dai server siano originate da una versione non modificata dell’app stessa, in esecuzione su un dispositivo Android “genuino”.

Molti sviluppatori la utilizzano per mitigare abusi che potrebbero tradursi in perdite economiche o di dati sensibili. Ad esempio l’API può aiutare a impedire l’accesso a contenuti premium senza pagamento o a proteggere dati finanziari bloccando l’accesso da dispositivi potenzialmente compromessi.

Cosa cambia con il nuovo aggiornamento? Il problema per gli utenti smanettoni

Il nocciolo della questione per gli utenti che effettuano il root dei propri telefoni o installano custom ROM risiede nella definizione che Google dà di dispositivo Android “genuino”: nello specifico, si tratta di un dispositivo che esegue una build di Android certificata da Google Play. Questa definizione esclude intrinsecamente quasi tutte le custom ROM, spingendo molti utenti di queste ultime a utilizzare vie alternative per simulare build certificate.

Anche chi effettua il root, pur non installando una custom ROM, sblocca il bootloader, un’operazione che fa fallire i controlli più stringenti della Play Integrity, un’attività che può portare al blocco di numerose app, specialmente quelle bancarie, di pagamento, mediche, relative al gaming e persino di ristorazione, che spesso si affidano alle valutazioni più rigorose dell’API.

In passato la Play Integrity API e la sua antenata, la SafetyNet Attestation API, non erano una preoccupazione insormontabile per gli utenti esperti, poiché spesso si riuscivano a trovare dei workaround relativamente semplici.

Proprio per questo Google si sta muovendo con decisione verso l’imposizione di segnali di sicurezza basati sull’hardware, che sono significativamente più difficili da aggirare perché, a differenza dei metodi più semplici adottati precedentemente, sono radicati nell’hardware stesso del dispositivo.

Le novità nel dettaglio: i verdetti di integrità si fanno più “forti”

Già a dicembre dello scorso anno Google aveva annunciato un importante aggiornamento alla Play Integrity API che potenziava i verdetti di integrità “basic”, “device” e “strong” sui dispositivi con Android 13 o versioni successive. Come facilmente intuibile, i verdetti “device” e “strong” sono i due più stringenti.

Precedentemente solo il verdetto “strong” utilizzava segnali di sicurezza basati sull’hardware. Con l’aggiornamento di dicembre, Google ha reso tutti i verdetti più severi:

  • Il verdetto “device” è stato aggiornato per utilizzare anch’esso segnali di sicurezza basati sull’hardware.
  • Il verdetto “strong” è stato rivisto per richiedere un livello di patch di sicurezza rilasciato nell’ultimo anno.
  • Anche il verdetto “basic“, sebbene meno stringente, è stato aggiornato per utilizzare segnali basati sull’hardware, ma riesce comunque a passare anche su dispositivi con root abilitato o bootloader sbloccato, grazie ai suoi requisiti meno rigidi.

La motivazione addotta da Google per queste modifiche è rendere la Play Integrity API più veloce, affidabile e rispettosa della privacy per gli utenti, riducendo il numero di segnali da raccogliere, il tutto anche per rendere l’API intrinsecamente più difficile e costosa da bypassare per i malintenzionati.

Al momento dell’annuncio, avvenuto durante l’evento dedicato agli sviluppatori come annunciato in apertura, questi verdetti aggiornati non erano stati imposti con effetto immediato, ma il colosso di Mountain View aveva dichiarato che tutte le integrazioni dell’API sarebbero passate automaticamente ai nuovi verdetti nel corso del mese di maggio. E così è stato.

Durante il Google I/O 2025, Raghavendra Hareesh, Lead of Play Developer and Play Monetization di Google, ha confermato l’attivazione di questi verdetti più stringenti per tutti gli sviluppatori, senza che sia richiesto alcun intervento da parte loro.

Se volete approfondire la questione dei verdetti di integrità (conosciuti anche come esiti di integrità), potete consultare la documentazione ufficiale messa a disposizione da Google stessa a questo indirizzo.

“La Play Integrity API è uno strumento vitale in qualsiasi strategia di sicurezza completa. Vi aiuta a difendere l’intera esperienza della vostra app. È cruciale nel prevenire abusi che possono portare a perdite di entrate e danneggiare i vostri utenti. Gli sviluppatori che hanno utilizzato questa API stanno vedendo oltre l’80% in meno di utilizzo non autorizzato rispetto ad altre app. Ciò significa meno frodi, meno imbrogli o furti di dati. E stiamo continuando a far evolvere questa Play Integrity API per stare al passo con tutte le minacce esistenti. Quindi oggi stiamo implementando verdetti più forti per tutti gli sviluppatori senza alcun lavoro aggiuntivo richiesto da parte loro. Questo rende più veloce, più affidabile e più rispettoso della privacy verificare se un dispositivo è affidabile. Gli sviluppatori possono anche ora verificare se un dispositivo ha installato di recente un aggiornamento di sicurezza, il che è molto importante per le app che proteggono azioni sensibili.”

– Raghavendra Hareesh, Lead of Play Developer and Play Monetization presso Google

Quali sono, dunque, le conseguenze?

Questo significa che gli utenti con telefoni rootati o con custom ROM al loro interno potrebbero improvvisamente riscontrare che alcune app smettono di funzionare da un giorno all’altro, specialmente su dispositivi con Android 13 o versioni successive.

Ma non è tutto: anche gli utenti con dispositivi con versioni più recenti del sistema operativo del robottino verde non modificati potrebbero incontrare problemi se i loro device non ricevono un aggiornamento software da un po’ di tempo. Questo perché le app che verificano il verdetto “strong” richiedono un livello di patch di sicurezza piuttosto recente per passare con successo il controllo.

Potrebbero interessarti anche: