Android için uygulamaları Google Play olmadan güvenle nereden indirebilirsiniz?

Kısaca: En güvenli seçenekler; açık kaynak yazılımlar için F-Droid, doğrulanmış sürümler için APKMirror ve Uptodown, GMS olmadan Play kataloğuna erişim için Aurora Store'dur. Her durumda kurulum öncesinde imzayı ve SHA hash değerini mutlaka karşılaştırın.

Güvenilir kaynaklar ve ne zaman tercih edilmeli?

• F-Droid — yalnızca FOSS (Özgür ve Açık Kaynak Yazılım) uygulamaları için bir depo. Derleme şeffaflığı ve izleyici sayısının minimize edilmesiyle öne çıkar; gizlilik ve açık kaynak kodu önemliyse bunu tercih edin.
• APKMirror — resmi APK'ların yansımasını sunar ve imza ile hash bilgilerini içerir. İmza doğrulaması yapıldığı takdirde popüler uygulamaların en son veya eski sürümlerini indirmek için uygundur.
• Uptodown — dosya tarama entegrasyonuna sahip bir toplayıcıdır; ön güvenlik raporu gerektiğinde kullanışlıdır.
• Aurora Store — Google'ın resmi servisleri olmadan Play kataloğundan uygulama indirmenizi sağlayan açık kaynaklı bir istemcidir; GMS bulunmayan cihazlarda faydalıdır.
• Diğer toplayıcılar (APKPure vb.) geniş bir katalog sunar ancak geçmişte güvenlik olayları yaşanmıştır; dikkatli kullanın ve her zaman imzayı/hash'i kontrol edin.

Kurulum öncesi APK adım adım doğrulama

1. Alan adını ve HTTPS'i kontrol edin — yalnızca seçtiğiniz mağazanın resmi alan adından indirme yapın.
2. APK'yı indirin ve orijinal dosyayı kaydedin.
3. Dosyanın SHA-256 hash değerini, indirme sayfasında belirtilen değerle karşılaştırın. Site hash yayınlamıyorsa şüphelenin.
4. APK imzasını inceleyin: apksigner (Android SDK'nın bir parçası) veya apksig kullanın. İmza yayıncıyla eşleşmelidir; anahtar değişikliği dikkat gerektiren bir durumdur.
5. Dosyayı VirusTotal'de taratın veya mağazanın dahili raporlarına bakın. Çoğu antivirüs tarafından tespit edilmemesi artıdır ancak garanti değildir.
6. Paket adını (package name) ve sürümü kontrol edin: Sahte derlemeler genellikle benzer isimler kullanır ancak farklı paket adına sahiptir.
7. İzinleri gözden geçirin: Özellikle cihaz yöneticisi hakları, SMS/arama erişimi ve erişilebilirlik hizmetleri tehlikelidir.
8. Mümkünse kişisel verileri taşımadan önce ayrı bir iş profili veya sanal ortamda (sandbox) test edin.
9. Standart olmayan APK'ları kurmadan önce cihazınızın yedeğini alın.

Pratik ipuçları ve güvenlik ayarları

• Bilinmeyen kaynaklardan yüklemeyi varsayılan olarak devre dışı bırakın; yalnızca kurulum süresince ve sistem iletişim kutusu üzerinden etkinleştirin.
• Uygulamaya güvenilir bir neden olmadan ROOT veya yönetici ayrıcalıkları vermeyin.
• Kritik uygulamaları yalnızca güvenilir kaynaklardan güncelleyin ve mümkünse geliştiricilerin imza anahtarı değişikliklerine ilişkin bildirimlerine abone olun.
• Bankacılık ve kritik hizmetler için yalnızca resmi mağazaları veya geliştiricinin güvenilir kanallarını kullanın.

Sık yapılan hatalar

• Şüpheli sitelerden "mod" veya "premium ücretsiz" APK'ları indirmek.
• Dosya imzasını ve hash değerini görmezden gelmek.
• Gerekliliği kontrol etmeden yönetici hakları vermek.
• Temel işlevsellik için erişilebilirlik hizmetleri gerektiren uygulamaları kurmak.

SSS

• APK imzasını hızlıca nasıl kontrol edebilirim?
  apksigner verify veya apksig kullanın; komut, imzanın geçerli olup olmadığını ve fingerprint'in beklenenle eşleşip eşleşmediğini gösterecektir.
• VirusTotal'e tamamen güvenebilir miyim?
  Hayır. VirusTotal antivirüs tespitleri hakkında fikir verir ancak kurulumun uygunluğunu imza, hash ve kaynak itibarı gibi birkaç parametreye göre değerlendirin.
• İmza anahtarı değişirse ne yapmalıyım?
  Geliştiriciyle iletişime geçin veya resmi bildirimleri kontrol edin; açıklama olmadan anahtar değişikliği kırmızı bayraktır.
• İndirme sırasında VPN/anonimlik kullanmak gerekir mi?
  VPN gizlilik için faydalıdır ancak APK bütünlük ve imza kontrolünün yerini tutmaz.

İsterseniz, Windows/Linux/macOS üzerinde apksigner ve hash doğrulama komutlarını içeren adım adım bir rehber hazırlayabilirim veya göndereceğiniz belirli bir URL/APK'yı değerlendirebilirim.