Come verificare un APK prima di installarlo

Perché verificare, non solo fidarsi

Scaricare un APK da un sito indipendente invece che dal Play Store è, giustamente, motivo di sospetto: fuori dallo store manca il controllo automatico di Google, e un file .apk può essere modificato senza che tu te ne accorga. La risposta corretta non è "fidati di me" — è darti gli strumenti per non doverlo fare. Ogni app di Survival Apps pubblica ora, nella propria pagina prodotto, l'hash SHA-256 del file corretto e un link al report di scansione VirusTotal. Questa guida spiega cosa sono e come usarli, che tu li stia controllando su un APK mio o su uno di chiunque altro.

L'hash SHA-256: l'impronta digitale del file

Un hash crittografico^[1] è una sequenza di 64 caratteri calcolata a partire dal contenuto esatto di un file: cambia anche un solo byte, cambia completamente l'hash. Se l'hash del file che hai scaricato coincide con quello pubblicato sulla pagina prodotto, hai la certezza matematica che è lo stesso identico file — non una versione manomessa, non un file rinominato ad arte per sembrare quello giusto.

Come calcolarlo, sistema per sistema

• WINDOWS — apri PowerShell nella cartella del download e lancia Get-FileHash nomefile.apk -Algorithm SHA256
• MACOS — da Terminale: shasum -a 256 nomefile.apk
• LINUX — da terminale: sha256sum nomefile.apk
• ANDROID — senza passare dal PC: un file manager con calcolo hash integrato, oppure Termux con lo stesso comando sha256sum di Linux

In tutti i casi confronta il risultato, carattere per carattere, con l'hash pubblicato in fondo alla pagina prodotto dell'app. Non serve leggerlo a mente: copia entrambi in un editor di testo e verifica che siano identici.

Leggere un report VirusTotal

VirusTotal^[2] fa scansionare il file da decine di motori antivirus diversi e mostra un conteggio: quanti lo segnalano, quanti no. Zero segnalazioni su settanta motori è un buon segno, ma non una garanzia assoluta — e uno o due falsi positivi isolati, su un file che tutti gli altri motori considerano pulito, capitano spesso con le app Android meno diffuse e non sono di per sé un allarme. Quello che deve insospettirti è l'opposto: un hash che non corrisponde, o un report che nessuno ti ha mai linkato direttamente dalla fonte.

Domande frequenti

Basta controllare l'hash, o serve anche VirusTotal?
L'hash ti dice che il file è quello giusto, non che sia sicuro alla fonte. VirusTotal aggiunge un secondo controllo indipendente. Usali insieme, non uno al posto dell'altro.

E se l'hash non coincide?
Non installare il file e ricomincia il download dalla pagina prodotto originale: un hash diverso significa che il file che hai in mano non è quello pubblicato, qualunque sia la ragione.