致 Google 的公開信：關於 Android 應用程式發布強制開發者驗證政策

keepandroidopen

本文翻譯自 keepandroidopen.org 公開信，中華民國軟體自由協會（SLAT）為連署組織之一。 

日期：2026 年 2 月 24 日
致：Sundar Pichai，Google 執行長
致：Sergey Brin，Google 創辦人暨董事會成員
致：Larry Page，Google 創辦人暨董事會成員
致：Vijaya Kaza，Google 應用程式與生態系信任總經理
副本：監管機構、政策制定者及 Android 開發者社群
主旨：Android 應用程式發布強制開發者驗證政策

我們，以下連署之組織，代表公民社會、非營利機構及科技企業，在此對 Google 宣布的政策表達強烈反對。該政策要求所有 Android 應用程式開發者必須向 Google 進行集中驗證，方可在 Google Play 商店以外的管道發布應用程式，且預計於未來數月內在全球生效。

我們認同平台安全與使用者安全的重要性，然而 Android 平台目前已具備多項不需要集中驗證的安全機制。強行植入一套與 Android 歷來開放本質背道而馳的安全模式，將威脅創新、競爭、隱私及使用者自由。我們敦促 Google 撤回此政策，並與開放原始碼及資安社群合作，尋求限制更少的替代方案。

我們的疑慮

1. 將管控延伸至 Google 自有商店之外

Android 向來被定位為一個開放平台，使用者與開發者可以獨立於 Google 服務之外運作。擬議的開發者驗證政策從根本上改變了這層關係——要求透過替代管道發布應用程式的開發者（包括自有網站、第三方應用程式商店、企業內部發布系統或直接傳輸），必須先經由強制驗證程序取得 Google 的許可，其中包括同意 Google 的服務條款與條件、繳納費用，以及上傳政府的身分證明。

這將 Google 的管控權擴展到其自身市場之外，延伸至 Google 並無合理營運角色的發布管道。選擇不使用 Google 服務的開發者，不應被迫向 Google 驗證並接受其裁決。將全球所有應用程式的驗證集中化，也賦予了 Google 前所未有的權力——可以因任何理由，在整個 Android 生態系中完全停用任何應用程式。

2. 進入門檻與創新障礙

強制驗證將造成摩擦和進入障礙，尤其影響以下族群：

  • 資源有限的個人開發者和小型團隊
  • 依賴志工貢獻者的開放原始碼專案
  • 所在地區難以使用 Google 驗證基礎設施的開發者
  • 避免監控生態系的隱私導向開發者
  • 需要快速部署的緊急應變與人道組織
  • 在不當將網路自由入罪的國家中從事倡議工作的運動者
  • 因制裁而無法在 Google 驗證的國家或地區的開發者
  • 開發實驗性應用程式的研究人員及學者
  • 從未打算對外公開發布的企業與政府內部應用程式

每一道額外的官僚障礙，都會減少軟體生態系的多元性，並將權力集中在更容易負擔這些合規成本的大型既有業者手中。

3. 隱私與監控疑慮

向 Google 強制驗證，將建立一個涵蓋所有 Android 開發者的全面資料庫，無論他們是否使用 Google 的服務。這引發了嚴重的問題：

  • 開發者必須提供哪些個人資訊
  • 這些資訊將如何儲存、保護及使用
  • 這些資料是否可能成為政府請求或法律程序的對象
  • 開發者在整個生態系中的活動被追蹤的程度
  • 這對開發隱私保護或政治敏感應用程式的開發者意味著什麼

開發者應有權在不受不必要監控或審查的情況下，創建及發布軟體。

4. 任意執行與帳號終止風險

Google 現有的應用程式審查程序，已因決策不透明、執行不一致及申訴機制有限而受到批評。將此系統擴展至所有已獲認證的 Android 裝置，將帶來以下風險：

  • 在缺乏明確理由的情況下遭到任意駁回或停權
  • 自動化系統在缺乏充分人工監督下做出重大決策
  • 開發者因單一無法申訴的企業決定，而喪失透過所有管道發布應用程式的能力
  • 政治或競爭考量影響驗證審核
  • 對邊緣化社群以及具爭議但合法的應用程式造成不成比例的衝擊

由單一企業控制的單一失敗點，與健康、有競爭力的軟體生態系是背道而馳的。

5. 反競爭影響

這項要求使 Google 得以收集所有 Android 開發活動的情報，包括：

  • 正在開發哪些應用程式、由誰開發
  • 替代的發布策略與商業模式
  • 對 Google 自有服務的競爭威脅
  • Google 生態系以外的市場趨勢與使用者偏好

這種資訊不對稱為 Google 提供了重大的競爭優勢，使其得以搶先、複製並削弱競爭產品與服務，並可能引發諸多反壟斷問題。

6. 法規疑慮

全球監管機構——包括歐盟執委會、美國司法部以及多個司法管轄區的競爭主管機關——已日益加強審查主導平台偏袒自有服務及限制競爭的能力，並要求更大的開放性與互通性。我們亦注意到，各界對監管干預可能增加大規模監控、阻礙軟體自由、開放網路及裝置中立性的疑慮日益增長。

我們敦促 Google 尋求替代方式來遵守法規義務，推廣尊重 Android 開放本質的模式，而非增加守門人對平台的控制。

現有措施已然足夠

Android 平台目前已具備多項不需要集中驗證的安全機制：

  • 作業系統層級的安全功能、應用程式沙盒及權限系統
  • 對直接安裝（即「側載」）應用程式的使用者警示
  • Google Play Protect（使用者可自行選擇啟用或停用）
  • 建立軟體來源的開發者簽章憑證

目前沒有任何證據顯示，這些防護機制不足以如同 Android 存在的整整十七年來一樣，持續保護 Android 使用者。若 Google 的考量真的是安全而非控制，應投資改善這些現有機制，而非建立新的瓶頸並集中控制權。

我們的訴求

我們呼籲 Google：

  1. 立即撤回第三方發布管道的強制開發者驗證要求。
  2. 與公民社會、開發者及監管機構進行透明對話，討論兼顧開放性與競爭的 Android 安全改善方案。
  3. 承諾平台中立，確保 Android 仍為真正開放的平台，使 Google 作為平台提供者的角色不與其商業利益產生衝突。

多年來，Android 已發展成為服務數百個政府、數百萬企業及數十億公民的關鍵技術基礎設施。將核准軟體的權力片面地整合並集中於單一且不受問責的企業手中，違背了言論自由的原則、是對自由軟體的冒犯、是競爭不可逾越的障礙，也是對全球數位主權的威脅。

我們懇請 Google 改弦易轍、終止開發者驗證計畫，並開始與更廣泛的社群合作，在不犧牲 Android 建基其上的開放原則的前提下，推進安全目標。Android 生態系的力量歷來在於其開放性，Google 必須致力於恢復其作為此信任忠實守護者的角色。

 

連署組織

來自 19 個國家的 56 個組織

  1. The App Fair Project — appfair.org 🇫🇷
  2. Associação Nacional para o Software Livre (ANSOL) — ansol.org 🇵🇹
  3. Aurora Store — auroraoss.com 🇮🇳
  4. The Chaos Computer Club (CCC) — ccc.de 🇩🇪
  5. Codeberg e.V. — codeberg.org 🇩🇪
  6. Cryptee — crypt.ee 🇪🇪
  7. European Digital Rights (EDRi) — edri.org 🇧🇪
  8. Forbrukerrådet — forbrukerradet.no 🇳🇴
  9. Fedimedia — fedimedia.it 🇮🇹
  10. The Free Software Foundation (FSF) — fsf.org 🇺🇸
  11. IzzyOnDroid — izzyondroid.org 🌐
  12. microG — microg.org 🌐
  13. Obtainium — obtainium.imranr.dev 🌐
  14. Osservatorio Nessuno OdV — osservatorionessuno.org 🇮🇹
  15. La Quadrature du Net — laquadrature.net 🇫🇷
  16. 中華民國軟體自由協會 (Software Liberty Association of Taiwan) — slat.org.tw 🇹🇼

*（以上為部分連署組織，完整名單共 56 個組織，詳見 keepandroidopen.org）

分類