Olá a todos.
Quem me lê aqui há algum tempo já me ouviu dizer isto vezes sem conta, quase como uma reza antes de dormir: quando a infraestrutura é deles, a alavanca é deles. Escrevi-o quando vos contei como montar o vosso próprio Element em casa para não terem o Departamento de Justiça americano a ler as vossas conversas. Escrevi-o quando o governo dos Estados Unidos, num fim de tarde de Junho, desligou os modelos de topo da Anthropic para todos os estrangeiros do planeta, e nós, deste lado do Atlântico, descobrimos que éramos precisamente o estrangeiro a quem o acesso pode ser cortado sem aviso, sem explicação e sem direito a réplica. Escrevi-o a propósito do CLOUD Act, escrevi-o a propósito dos filtros de DNS que os vossos próprios equipamentos ignoram, escrevi-o até a propósito de extensões do VS Code envenenadas.
E agora tenho de o escrever outra vez, mas desta vez sobre uma coisa que vocês trazem no bolso e que tocam mais vezes por dia do que tocam na vossa própria família: o telemóvel Android.
Buckle up sweet cheeks, que isto é longo e é importante.
O que a Google vai fazer.
Em Agosto de 2025, a Google anunciou uma coisa que passou muito ao lado das notícias generalistas, porque não tem o glamour de um lançamento de telemóvel novo nem a novela de um processo antitrust. Anunciou, em letra pequena e com o tom entediante de quem está a explicar uma política de cookies, que a partir de Setembro de 2026 todos os programadores de aplicações Android têm de se registar centralmente na Google antes de o seu software poder ser instalado em qualquer dispositivo.
Leiam outra vez a parte que interessa. Qualquer dispositivo. Não é só a Play Store. É tudo. É a aplicação que um amigo vosso compilou e vos passou por Bluetooth. É a aplicação que descarregaram do F-Droid, aquele repositório maravilhoso de software livre que muitos de vós usam há anos precisamente para fugir à vigilância da loja oficial. É a aplicação que um miúdo de quinze anos escreveu no quarto para os amigos da turma. É a beta interna e confidencial que a vossa empresa distribui apenas aos vinte engenheiros da equipa. Tudo. Todos os programadores independentes, todos os grupos comunitários, todas as paróquias que fizeram uma app para os avisos da missa, todos os hobbyistas do planeta ficam de fora se não passarem pela porta da Google. É a app que instalam nas vossas boxes e tv’s android. Tudo o que é android.
E o que é que essa porta exige para deixar passar? Isto:
- Pagar uma taxa à Google.
- Aceitar os Termos e Condições da Google, aqueles que ninguém lê e que a Google pode alterar quando lhe apetecer.
- Entregar a vossa identificação emitida pelo governo. O cartão de cidadão, o passaporte, o que for. Um documento oficial, com a vossa cara e o vosso nome legal, na base de dados de uma empresa privada estrangeira.
- Fornecer prova da vossa chave de assinatura privada. A chave criptográfica com que assinam o vosso software. A coisa mais íntima e sensível que um programador tem.
- Listar todos os identificadores de aplicação, presentes e futuros. Não só o que já fizeram. O que vão fazer.
E se um programador não cumprir? As aplicações dele são silenciosamente bloqueadas em todos os dispositivos Android do mundo. Não é um aviso. Não é um ecrã amarelo. É a app a deixar de funcionar, sem que o utilizador tenha carregado em nada, através de uma atualização que a Google empurra sem vos pedir licença.
Reparem no detalhe que me arrepiou, e que é o mesmo detalhe que me arrepiou na história da Anthropic: o telemóvel é vosso, foi pago por vocês, e a regra muda retroativamente no hardware que já está no vosso bolso. Vocês compraram um Android porque a Google, durante quinze anos, vos vendeu a ideia de que era aberto. Que podiam instalar o que quisessem. Era esse o argumento, era essa a diferença face ao iPhone, era essa a razão pela qual milhões de pessoas escolheram Android e não Apple. E agora a Google reescreve o contrato a meio do jogo, com o dinheiro já cobrado e o produto já entregue.
A “saída de emergência” da Google é uma ratoeira
A esta altura, há sempre alguém a levantar a mão nos comentários: “Mas, Nuno, a Google diz que os utilizadores avançados ainda podem instalar apps não verificadas. Há uma opção.” Há. E deixem-me contar-vos como é que essa opção funciona na prática, porque isto merece ser saboreado devagar:
Primeiro, vão às Definições do Sistema e procuram a secção “Acerca do telefone”. Depois carregam sete vezes no número de compilação para desbloquear o Modo de Programador, como se estivessem a fazer um código Konami. A seguir dispensam uns ecrãs de aviso que vos tratam como potenciais vítimas de coação. Introduzem o vosso PIN. Reiniciam o dispositivo. E agora vem a minha parte preferida: esperam vinte e quatro horas. Voltam no dia seguinte, dispensam mais ecrãs de susto, escolhem entre “permitir temporariamente” (sete dias) ou “permitir indefinidamente”, e confirmam, mais uma vez, que compreendem “os riscos”.
Nove passos. Um período de arrefecimento obrigatório de vinte e quatro horas. Para instalar software num aparelho que é vosso.
Mas o pior nem sequer é a coreografia humilhante. O pior é onde é que isto corre. Este fluxo todo não é parte do sistema operativo Android. Corre inteiramente dentro dos Google Play Services, a camada proprietária que a Google controla e atualiza à revelia do sistema. O que significa que a Google pode apertá-lo, mudá-lo ou matá-lo a qualquer momento, sem atualização do sistema operativo e sem o vosso consentimento. Hoje são nove passos e vinte e quatro horas. Amanhã podem ser catorze passos e uma semana. Depois de amanhã pode simplesmente desaparecer.
E há um pormenor que devia envergonhar quem inventou esta história: até à data em que escrevo isto, esse tal fluxo avançado não existe. Não apareceu em nenhuma beta, em nenhuma preview, em nenhuma build de teste do Android 16 ou 17. Existe num post de blog e nuns mockups bonitos. A parte que bloqueia toda a gente é real e está a caminho. A parte que supostamente vos salva é uma promessa em PowerPoint. Não sei se reparam no padrão, mas eu reparo: a jaula está pronta, a chave é que ainda não foi vista por ninguém.
Isto não é sideloading. Isto é um mecanismo de dissuasão, desenhado ao milímetro para que quase ninguém chegue ao fim. E a própria palavra “sideload” é uma armadilha linguística que devíamos recusar. Quando descarregam um .exe para o Windows, vocês instalam um programa. Não “carregam de lado” coisa nenhuma. O telemóvel que trazem no bolso tem oito, doze, dezasseis gigabytes de RAM e um terabyte de armazenamento. É um computador. Chamar “sideload” a instalar software no vosso próprio computador é como chamar “atravessar a rua fora da passadeira” a andar dentro da vossa própria casa. É estigmatizar o ato normal de sermos donos daquilo que compramos.
Não é sobre segurança. Nunca foi sobre segurança.
A justificação oficial, claro, é a segurança. É sempre a segurança. Sempre que alguém vos quer tirar uma liberdade, o embrulho vem com a palavra “segurança” a brilhar por cima, porque quem é que pode ser contra a segurança?
Eu. Eu posso, quando a segurança é uma desculpa. E esta é.
Vamos aos factos técnicos, que são a parte onde eu me sinto em casa. A Google já verifica o vosso telemóvel à procura de malware. Chama-se Play Protect, está em todos os Android, faz a análise ao código independentemente de quem o escreveu, e continua a poder desativar remotamente qualquer app maliciosa que encontre no vosso dispositivo. Ou seja, a capacidade de proteger o utilizador contra código mau já existe e não precisa do cartão de cidadão de ninguém.
Então perguntem-se, com calma: se a Google já consegue analisar o código e já consegue bloquear malware, o que é que exigir o vosso documento de identidade acrescenta à segurança?
Nada. Exigir o documento de identidade não torna o código mais seguro. Torna o programador identificável e controlável. E há uma diferença abissal entre certificar código e certificar pessoas. Certificar código é uma questão de engenharia. Certificar pessoas é uma questão de poder. Como sublinhou o Cory Doctorow, que chamou a isto “Darth Android”, a Google não está a certificar apps, está a certificar programadores, o que pressupõe a fantasia de que uma empresa consegue prever se uma pessoa vai fazer algo malicioso no futuro. Não consegue. Ninguém consegue.
E aqui está a parte que desmonta a desculpa de vez: o autor de malware regista-se sem problema nenhum. Paga os vinte e cinco dólares, mete um documento qualquer, compra uma conta de programador já verificada no mercado negro, que é uma prática documentada e comum, e continua a distribuir o lixo dele. A própria Play Store, a loja “segura” e “curada” da Google, já hospedou malware às centenas de milhões de descargas. Quem não se regista é o programador independente. É o investigador de privacidade. É o dissidente. É o miúdo que fez um jogo para os amigos e não quer, com toda a razão, mandar a certidão de nascimento a uma empresa de biliões de dólares.
A Electronic Frontier Foundation foi das mais claras nisto, e eu subscrevo cada letra: identificação obrigatória à entrada é uma ferramenta de censura, não uma ferramenta de segurança. Ken Buckler, num raciocínio que devia estar escrito na parede de quem desenhou isto, notou o óbvio: quanto mais fricção metem em nome da segurança, mais os utilizadores vão tentar contorná-la por completo, e portanto a coisa até torna o Android menos seguro. É o oposto do que dizem estar a fazer.
Agora a parte que vos devia deixar mesmo preocupados: a porta e a base de dados
Chegámos ao coração do assunto, e é aqui que eu preciso que vocês parem de pensar em apps e comecem a pensar em poder.
Quando vocês constroem uma porta única por onde todo o software tem de passar, vocês criaram um ponto de controlo. E um ponto de controlo é uma coisa maravilhosa e terrível ao mesmo tempo, porque é exatamente igual a apontar para si próprio e dizer a todos os governos do mundo: “o interruptor está aqui, venham cá carregar nele.”
A EFF resumiu isto de forma que eu não consigo melhorar: quando montas um portão, estás a convidar as autoridades a usá-lo para bloquear aquilo de que não gostam; e quando construís uma base de dados, estás a convidar os governos a tentar aceder-lhe. É a natureza da coisa. A infraestrutura de controlo, uma vez construída, será usada. Não é uma questão de “se”. É uma questão de “quando” e “por quem”.
E a Google, sejamos francos, não tem propriamente um historial de heroína da resistência. Tem um historial documentado de obedecer quando regimes autoritários exigem que uma app desapareça. Portanto, o que temos aqui é uma empresa privada, sediada num único país, a colocar-se entre todos os programadores do mundo e todos os utilizadores de Android do mundo, com uma base de dados que liga cada bocado de software ao nome legal e ao documento de quem o escreveu. Uma única empresa, não eleita por ninguém, sem prestação de contas a ninguém, a tornar-se o guardião de todos os dispositivos de todos os utilizadores do planeta.
E agora vem a parte do meridiano de Greenwich, porque o pedido que me fizeram foi mesmo esse, e tem toda a razão de ser: isto é perigoso a leste e a oeste, no norte e no sul, em qualquer regime, em qualquer bandeira.
A oeste, no mundo que gosta de se chamar livre, já vimos como funciona. Uma app que rastreava agentes de imigração foi removida de uma loja de aplicações apesar de ser, à luz da própria constituição americana, discurso protegido. Já vimos o governo dos Estados Unidos, com autoridade de segurança nacional, mandar desligar produtos digitais para categorias inteiras de pessoas definidas não pelo que fizeram, mas pelo que são: estrangeiros. Foi o que aconteceu com a Anthropic, e eu escrevi sobre isso aqui com o coração nas mãos. Agora imaginem essa mesma lógica, mas em vez de dois modelos de IA, é a capacidade de instalar qualquer aplicação no telemóvel de toda a gente. Como escreveu um comentador que me ficou na memória: se o teu país entrar alguma vez na mira dos “interesses americanos” e apanhar com sanções, é possível que deixes de conseguir instalar apps dos teus próprios concidadãos. A app do teu governo local. A app do teu banco. A app da mercearia da esquina. Tudo dependente de uma porta que fica noutro continente.
A leste, e digo leste no sentido lato, em qualquer sítio onde a liberdade seja um bem escasso, isto é ainda mais direto. Um governo que queira silenciar uma app de mensagens cifradas, um VPN, uma ferramenta de jornalistas, uma app de organização de protestos, já não precisa de invadir milhões de telemóveis um a um. Precisa de fazer um telefonema. Um telefonema à empresa que controla a porta, ou uma lei que a obrigue, e a app evapora-se de todos os aparelhos do país de uma só vez. E a base de dados que liga cada app ao documento do programador? Essa é a lista de alvos entregue de bandeja. Whistleblowers, jornalistas e ativistas sob governos autoritários serão as primeiras vítimas. As pessoas em situações de violência doméstica, que dependem de apps discretas para pedir ajuda, são as seguintes. Todas essas pessoas têm razões legítimas e vitais para distribuir ou usar software sem pôr a sua identidade legal numa base de dados que um governo pode requisitar.
E não vos parece uma coincidência simpática que a Google não vá estrear isto nos Estados Unidos nem na Europa, onde há reguladores atentos e imprensa a chatear? Vai começar por mercados como o Brasil, a Indonésia, Singapura e a Tailândia. Mercados enormes, em crescimento, e com regulação mais fraca. Quando os reguladores dos países ricos acordarem, o estrago já está feito e normalizado. Já há, aliás, apps governamentais no Brasil e apps bancárias na Índia que se recusam a abrir se detetarem o modo de programador ligado. Ou seja, o mecanismo de “escolha do utilizador avançado” já está, na prática, a ser usado para punir quem ousa ter controlo sobre o próprio aparelho. A ratoeira já fechou nalguns sítios, e nós nem demos por ela.
Isto é a soberania tecnológica outra vez, meus amigos, exatamente o mesmo tema de sempre, só que agora não é sobre onde correm os vossos LLMs ou os vossos containers. É sobre o objeto que vos dá acesso ao banco, ao Estado, à saúde, aos amigos e à informação. Entregar a chave desse objeto a um guardião único e estrangeiro não é uma questão de conveniência. É uma questão de soberania, de direitos humanos e de dignidade.
Vamos ser justos, porque eu não sou fanboy de ninguém, muito menos anti-Google (apenas) por desporto
Não quero que isto soe a caça às bruxas cega, porque não é. Sejamos honestos sobre alguns pontos.
Primeiro, há de facto um problema real de burlas por engenharia social, sobretudo com pessoas mais velhas e menos habituadas à tecnologia, a serem levadas a instalar apps maliciosas por telefone. Isto existe e faz vítimas reais. A Google não inventou o problema. Apenas alguém se está a aproveitar dele.
Segundo, um sistema de reputação e de responsabilização de quem distribui software em massa não é, em abstrato, uma ideia disparatada. Há um argumento defensável de que quem publica software para milhões de pessoas devia ter algum grau de responsabilidade identificável, tal como quem abre um restaurante tem de ter licença.
Tudo isto é verdade. E nada disto, absolutamente nada, justifica a solução escolhida. Porque o período de vinte e quatro horas não trava o burlão, que passa meses a ganhar a confiança da vítima e para quem um dia de espera é irrelevante. Porque a verificação de identidade não trava o malware, que se regista à vontade. E porque a resposta a um problema de literacia digital é educação, não é tornar toda a gente num menor de idade que precisa de autorização do senhorio para mudar um móvel de sítio dentro da própria casa. Podem ter um problema real e mesmo assim escolher a pior solução possível. Ter um bom motivo à porta não desculpa o que se faz lá dentro.
O que devem fazer agora, sem dramas e sem fanatismos
Como sempre, eu não vim aqui só para vos assustar. Vim para vos dar um plano. E o plano é o mesmo de sempre, com um exemplo novo a dar-me razão.
Primeiro, instalem o F-Droid em todos os Android que têm. Lojas alternativas só sobrevivem se as pessoas as usarem de facto. Cada instalação é um voto pela existência de um ecossistema fora da porta da Google. Não custa nada e faz diferença.
Segundo, tratem a saída como uma opção séria, não como uma birra. Existem sistemas como o GrapheneOS, o LineageOS, o /e/OS, que vos devolvem o controlo do vosso próprio hardware. Não é para toda a gente, eu sei, e não estou a dizer que amanhã deitem o telemóvel fora e vão viver para uma cave. Mas se sois do tipo de pessoa que me lê, provavelmente sois exatamente o tipo de pessoa que consegue montar isto num fim de semana. E manter um dispositivo mais antigo, já livre destas amarras, guardado na gaveta, é o equivalente móvel daquilo que eu prego há anos: se é crítico, então tem redundância.
Terceiro, e este é o mais importante e o mais fácil: falem com os reguladores. A Europa tem, pela primeira vez em muito tempo, dentes afiados nesta matéria. Uma eurodeputada já questionou formalmente se o registo central obrigatório da Google é sequer compatível com o Digital Markets Act. Os reguladores de todo o mundo estão genuinamente preocupados com a concentração de poder no setor tecnológico e querem ouvir os cidadãos afetados. Vocês são cidadãos afetados. Escrevam. Assinem a petição que já passou as cem mil assinaturas. Partilhem a página keepandroidopen.org, onde estão reunidas dezenas de organizações, da EFF à Free Software Foundation, do Tor Project à GrapheneOS, todas a dizer a mesma coisa que eu vos digo aqui.
Quarto, se sois programadores, não ainem o jogo. Não se registem. O plano da Google só funciona se os programadores obedecerem. O F-Droid foi inequívoco: aconselham a não aderir a este programa, agora nem nunca. Falem com outros programadores e organizações. Recusem-se a normalizar a entrega do vosso documento e da vossa chave privada a uma empresa como pré-condição para escreverem software. A resistência coletiva é a única coisa que ainda pode virar isto.
Quinto, e este é para quem decide, não para quem só carrega em botões: parem de tratar a soberania digital como tema de conferência. Se a vossa organização depende de distribuição interna de apps Android, isto é um risco operacional real e datado, com prazo em Setembro de 2026. Façam o exercício chato de listar onde é que a vossa operação assenta em software que a Google pode desligar remotamente. Vão assustar-se com a quantidade de sítios.
Conclusão
No post sobre a Anthropic, eu disse que a parte verdadeiramente perturbadora não era o que tinha acontecido àqueles dois modelos, que até voltaram dias depois. A parte perturbadora era que tinha acontecido uma vez, com naturalidade, com base legal, e que a única coisa que separou a Europa de um apagão total foi o detalhe de terem desligado dois modelos e não todos.
Aqui é a mesma frase, mas com o volume no máximo. A parte perturbadora não é o F-Droid, que provavelmente sobreviverá de alguma forma. A parte perturbadora é o princípio que fica estabelecido: a empresa que fabricou o teu dispositivo passa a decidir, depois de tu o teres comprado, que software é que tu tens direito a correr. Em software, a isto chamava-se um “rug pull”, mas ao menos podias sempre instalar software concorrente. Em hardware, isto é um facto consumado que te tira a agência e te deixa à mercê dos caprichos de um único guardião. E se a Google consegue trancar retroativamente milhares de milhões de aparelhos que foram vendidos como plataformas abertas, todos os outros fabricantes do planeta estão a ver e a tomar notas. O vosso computador é o próximo. A vossa televisão. O vosso carro.
O erro deixou de ser confiar num preço, como no caso da IA. Passou a ser confiar que o objeto que trazes no bolso continua a ser teu. Ontem provou-se que um governo pode carregar num interruptor que uma empresa construiu. Hoje a empresa está a construir o mesmo interruptor para o telemóvel de toda a gente, e a chamar-lhe segurança.
Não é catastrofismo. É a data marcada no calendário. Setembro de 2026. Não digam que não avisei, porque desta vez avisei com bastante antecedência.
Se é crítico, então tem redundância. E não há nada mais crítico do que o direito de correr o que quiseres na máquina que é tua.
Espero que tenham gostado do post, mesmo sabendo que não é dos mais alegres. Como sempre, se acharem algo fora do sítio ou que mereça reparo, já sabem onde me encontrar.
Um abraço.
Nuno