ऐप वितरण के लिए डेवलपर पंजीकरण अनिवार्य करने पर Google का खुला पत्र

• दुनिया भर के 38 नागरिक समूहों, गैर-लाभकारी संगठनों और टेक कंपनियों ने Google की Android ऐप बाहरी वितरण के लिए डेवलपर पंजीकरण अनिवार्य करने की नीति का विरोध जताया
• उनका कहना है कि Android में पहले से ही OS-स्तरीय सुरक्षा, ऐप signing, Play Protect जैसे कई सुरक्षा उपाय मौजूद हैं
• उन्होंने आलोचना की कि केंद्रीकृत पंजीकरण प्रणाली innovation, competition, privacy और user freedom को खतरे में डालती है और ऐसा ढांचा बनाती है जिसमें Google सभी ऐप वितरण को नियंत्रित कर सकता है
• साथ ही चेतावनी दी गई कि यह नीति छोटे डेवलपर्स, open source projects, प्रतिबंधित देशों के डेवलपर्स और मानवाधिकार कार्यकर्ताओं के लिए प्रवेश बाधा बढ़ाती है
• हस्ताक्षर करने वाले संगठनों ने Google से नीति वापस लेने, openness और neutrality बहाल करने, और समुदाय के साथ पारदर्शी परामर्श की मांग की

---

नीति के विरोध की पृष्ठभूमि

• Google आगे Play Store के बाहर ऐप वितरित करने वाले सभी डेवलपर्स के लिए केंद्रीकृत पंजीकरण अनिवार्य करने की योजना बना रहा है
  • पंजीकरण प्रक्रिया में पहचान पत्र जमा करना, शर्तों से सहमत होना और शुल्क भुगतान शामिल है
• हस्ताक्षरकर्ता संगठनों का कहना है कि यह कदम Google services से असंबंधित क्षेत्रों तक भी gatekeeping authority का विस्तार करता है
  • उन्होंने चेतावनी दी कि इससे Google को दुनिया भर के ऐप्स को मनमाने ढंग से disable करने की शक्ति मिल सकती है

प्रवेश बाधाएँ और innovation पर असर

• अनिवार्य पंजीकरण individual developers, small teams और open source projects के लिए प्रतिकूल है
  • संसाधनों की कमी, infrastructure तक सीमित पहुंच, या प्रतिबंधित देशों में रहने जैसी वजहों से कई मामलों में पंजीकरण कठिन हो सकता है
• privacy-केंद्रित डेवलपर्स, मानवाधिकार कार्यकर्ता और emergency response organizations भी जोखिम में आ सकते हैं
• ऐसा प्रशासनिक बोझ software diversity में कमी और बड़ी कंपनियों के पक्ष में केंद्रीकरण का कारण बन सकता है

व्यक्तिगत डेटा और निगरानी की चिंता

• Google की पंजीकरण व्यवस्था सभी Android डेवलपर्स का personal data database तैयार करेगी
  • एकत्र की गई जानकारी के storage, use और government requests के जवाब देने के तरीकों को लेकर चिंता जताई गई
• privacy-सुरक्षित या राजनीतिक रूप से संवेदनशील ऐप बनाने वालों के लिए अनावश्यक निगरानी का जोखिम पैदा होता है

मनमाना प्रवर्तन और account suspension का जोखिम

• Google की मौजूदा ऐप समीक्षा प्रणाली की पहले भी अपारदर्शी फैसलों और सीमित appeal process के लिए आलोचना होती रही है
  • automated decisions, स्पष्ट कारण के बिना suspension, और राजनीतिक या प्रतिस्पर्धी कारकों के दखल जैसी समस्याएँ उठाई गईं
• एक ही कंपनी के हाथ में सभी वितरण अधिकारों का नियंत्रण स्वस्थ प्रतिस्पर्धी ecosystem के खिलाफ है

प्रतिस्पर्धा पर रोक और regulatory मुद्दे

• पंजीकरण के जरिए Google सभी ऐप development trends और प्रतिस्पर्धियों की रणनीतियों को समझ सकेगा
  • इससे market information asymmetry पैदा होगी और प्रतिस्पर्धी उत्पादों को पहले से block या copy करने का जोखिम बढ़ेगा
• यूरोपीय संघ, अमेरिका आदि के नियामक पहले से ही platform monopoly और self-preferencing की जांच कर रहे हैं,
  और हस्ताक्षरकर्ता संगठनों ने जोर दिया कि Google को openness और interoperability बनाए रखनी चाहिए

मौजूदा सुरक्षा ढांचे की पर्याप्तता

• Android में पहले से sandboxing, permission system, signing verification और sideloading warnings जैसी सुरक्षा सुविधाएँ मौजूद हैं
• पिछले 17 वर्षों से इन्हीं व्यवस्थाओं के जरिए उपयोगकर्ताओं की सुरक्षा बनी हुई है,
  और उनका तर्क है कि यदि Google को सच में सुरक्षा की चिंता है तो उसे मौजूदा mechanisms को मजबूत करने पर ध्यान देना चाहिए

संयुक्त मांगें

• third-party distribution के लिए डेवलपर पंजीकरण की अनिवार्यता तुरंत वापस ली जाए
• नागरिक समाज, डेवलपर्स और regulators के साथ पारदर्शी परामर्श किया जाए
• platform neutrality सुनिश्चित कर Google के व्यावसायिक हितों और platform संचालन को अलग किया जाए
• Android की openness बहाल कर free software और digital sovereignty की रक्षा करने का आह्वान किया गया

हस्ताक्षरकर्ता संगठन

• EFF, FSF, FSFE, F-Droid, Nextcloud, Proton, Vivaldi, Tor Project सहित 38 संगठनों ने भाग लिया
• उनका संकल्प है कि Google developer verification program को बंद करे,
  और security तथा openness के बीच संतुलन मिलकर खोजा जाए

[GN⁺]

Hacker News की राय

• इस पत्र का सबसे विवादास्पद हिस्सा यह दावा है कि “Existing Measures Are Sufficient(मौजूदा उपाय पर्याप्त हैं)”
  Google ने नवंबर 2025 की घोषणा में आधिकारिक ब्लॉग के ज़रिए attack vector को साफ़ तौर पर समझाया था
  उदाहरण के लिए, दक्षिण-पूर्व एशिया में ठग पीड़ितों को फ़ोन कर कहते हैं कि “बैंक खाता हैक हो गया है”, डर पैदा करते हैं, और सुरक्षा के लिए एक ‘verification app’ इंस्टॉल करने को कहते हैं। यह app असल में malware होता है, जो notifications intercept करता है, 2FA code चुरा लेता है, और खाते से पैसा उड़ा देता है
  Google का कहना है कि ऐसे हमलों को रोकने के लिए developer identity verification ज़रूरी है। पहचान सत्यापन न हो तो malicious app अनंत बार बनते रहेंगे और यह ‘whack-a-mole’ जैसा खेल चलता रहेगा
  मुझे भी अनिवार्य registration ज़्यादा कड़ा लगता है, लेकिन “अभी सब ठीक है” जैसी प्रतिक्रिया के बजाय बेहतर विकल्प चाहिए। उदाहरण के लिए, notification·SMS interception जैसी sensitive permissions पर ही registration अनिवार्य किया जा सकता है, या जो developer register न करें उनसे महंगे certificates की मांग जैसे समझौता-आधारित विकल्प भी संभव हैं

  • मुझे समझ नहीं आता कि community को अलग प्रतिक्रिया क्यों देनी चाहिए। दुनिया मूल रूप से सुरक्षित नहीं है, और पूरी सुरक्षा सिर्फ़ आज़ादी छीनने की कीमत पर ही मिल सकती है
    लोगों को ख़ुद गलत चुनाव करने की आज़ादी भी होनी चाहिए। किसी ठग की बात मानकर app इंस्टॉल करना कोई attack vector नहीं, बल्कि व्यक्ति की अपनी पसंद है। इस वजह से users को अपने device पर app इंस्टॉल करने से रोकना वैसा ही है जैसे बैंक कहे, “यह पैसे बार में खर्च होंगे, इसलिए निकासी मना है”
  • मैं इस पत्र का लेखक और हस्ताक्षर समन्वयक हूँ। मैं यह नहीं कह रहा कि “सब ठीक है”, बल्कि यह बता रहा हूँ कि Android पहले से ही क्रमिक security hardening के ज़रिए नए threat models का जवाब देता आया है
    उदाहरण के लिए, Android 13~14 का Restricted Settings फ़ोन पर APK इंस्टॉल करवाने वाले scam को रोकता है, और Android 15 का Enhanced Confirmation Mode system settings में छेड़छाड़ करने की कोशिश करने वाले malicious app को रोकता है
    ये features पहले से असर दिखा रहे हैं, फिर भी Google का अचानक सब कुछ बंद करने की ओर जाना पहले की दिशा से विच्छेद है। malware हमेशा से मौजूद रहा है, और Play Store के अंदर भी है। मौजूदा चरम कदम को सही ठहराने के लिए पर्याप्त आधार नहीं है
  • developer registration इस समस्या का समाधान नहीं है। चोरी की गई IDs सस्ते में मिल जाती हैं, और अपराधी एक दिन में दर्जनों नए app अपलोड कर सकते हैं
    असली समस्या है तकनीकी साक्षरता की कमी, लोगों का भरोसा करने का स्वभाव, क़ानून-प्रवर्तन क्षमता की कमी, और कुछ देशों में ठगी गिरोहों पर ढील
    मेरा banking app call चल रही हो या remote control चालू हो तो खुलता ही नहीं। लेकिन rooted device पर इसका कोई उपाय नहीं। आख़िरकार हर देश का सिर्फ़ Google को दोष देना ज़िम्मेदारी से बचना है
    ऐसी पाबंदियाँ कुछ ही दिनों में bypass हो जाएँगी, और आम users को ही ज़्यादा असुविधा होगी
  • अगर किसी को security warning नज़रअंदाज़ करवाया जा सकता है, तो उससे सीधे 2FA code बुलवाना या दूसरी phishing techniques इस्तेमाल करना भी संभव है
  • इस समस्या का कोई परफ़ेक्ट समाधान नहीं है। अगर users को unverified apps इंस्टॉल करने दिए जाएँ, तो malicious app का जोखिम रहेगा, और अगर रोका जाए, तो user freedom सीमित होगी
    जटिल ‘unlock’ प्रक्रिया भी रखी जा सकती है, लेकिन आख़िरकार उसका मतलब यही होगा कि आम users unofficial apps इंस्टॉल न कर सकें
    scam की समस्या सचमुच गंभीर है, लेकिन प्रस्तावित समाधान बीमारी से भी बदतर इलाज जैसा लगता है

• एक judge ने Google से कहा था कि “Apple अपने platform पर competitors न होने की वजह से antitrust का मामला नहीं बनता” (Epic मुक़दमे से जुड़ा)
  Google ने उस बात को जैसा का तैसा मान लिया। इसलिए मौजूदा policy आई है। मुझे लगता है यह हाल के फ़ैसलों में सबसे ख़राब फ़ैसलों में से एक है

  • ऐसे मुद्दों को judge नहीं बल्कि संसद को देखना चाहिए। telecom की तरह जिन platforms पर सब निर्भर हैं, उन्हें क़ानून से regulate किया जाना चाहिए
    मेरे हिसाब से EU का Apple और Google को gateway platform घोषित करने वाला तरीका काफ़ी बेहतर है। अमेरिकी संसद आधुनिक दृष्टिकोण के लिए क़ानूनी ढाँचा तैयार नहीं कर पा रही है
  • मुझे याद है कि तुमने कुछ दिन पहले भी यही comment लिखा था। पिछली comment link
  • क्या तुम बता सकते हो कि तुम किस ruling की बात कर रहे हो? यह निष्कर्ष कैसे निकला, यह जानना चाहता हूँ

• developer registration की समस्या यह है कि इससे Google और सरकार को apps को censor करने का अधिकार मिल जाता है
  अगर सरकार कहे “VPN apps पर रोक लगाओ”, तो Google registration requirements का इस्तेमाल करके उन्हें block कर सकता है

  • क्या उनके पास पहले से ही ऐसा अधिकार नहीं है?
  • उससे भी ज़्यादा गंभीर बात है। अगर installation सिर्फ़ official route से ही संभव हो जाए, तो Google यह track कर सकेगा कि कौन कौन-से apps इस्तेमाल कर रहा है
    उदाहरण के लिए, ICE tracking app इंस्टॉल करने वाले लोगों की रिपोर्ट सरकार को की जा सकती है और वे terrorist list में डाले जा सकते हैं

• registration system हज़ारों वैध developers पर ही friction cost डालेगा, जबकि malicious actors shell company या चोरी की ID के सहारे वापस आते रहेंगे
  identity verification और crime deterrence अलग-अलग मुद्दे हैं

  • सच तो यह है कि यह friction ‘safety’ के लिए नहीं, बल्कि जानबूझकर किया गया design है। Google छोटे developers को बाहर करना चाहता है
    वह पहले ही Play Store में individual developers को असली नाम दिखाने पर मजबूर करता है, app visibility ranking घटाता है, और “इस app की installs कम हैं” जैसी warnings दिखाता है
    आख़िरकार यह बड़ी कंपनियों के apps केंद्रित ecosystem बनाने की रणनीति है। इससे maintenance burden घटेगा और revenue बढ़ेगा
  • हाँ, यह नहीं कहा जा सकता कि friction का कोई असर ही नहीं होता। चोरी की ID से हज़ारों accounts बनाना मुश्किल है, लेकिन malicious app variants बनाना उससे कहीं आसान है
    यह संतुलन क़ीमती है या नहीं, यह अलग बात है, लेकिन इसे पूरी तरह बेकार भी नहीं कहा जा सकता
  • Google Play Store में भी malicious apps को ठीक से नहीं रोक पाता। अब भी fake·spam apps भरे पड़े हैं

• मैं Google से कहना चाहता हूँ: sideloading पर बहस करने से पहले Play Store के malware को साफ़ करो

• अगर Play Store के बाहर installation पर रोक लग गई, तो power users के लिए यह तबाही होगी
  मैंने rooting छोड़ दी है, लेकिन ad blocking वगैरह APK से ही संभाला है। अगर ऐसे apps बंद हो गए, तो Android इस्तेमाल करने की वजह ही खत्म हो जाएगी

• इस बार हस्ताक्षरकर्ताओं की सूची उन संगठनों की सूची जैसी लगती है जिन्हें Google खत्म करना चाहता है

  • बिल्कुल वही बात है। Google को civil society से कोई मतलब नहीं, उसे सिर्फ़ अपनी ताकत बढ़ाने की पड़ी है
    उम्मीद है कि यह कदम लोगों को Google के विकल्प खोजने के लिए प्रेरित करेगा

• अगर Android और iOS दोनों बंद ecosystems बन जाएँ, तो मैं हर बार iOS ही चुनूँगा
  Android इस्तेमाल करने की वजह उसकी openness है। अगर वही चली गई, तो फिर Apple का smooth UX और ecosystem चुनना बेहतर होगा

  • मैं पिछले 1 साल से मजबूरी में iOS इस्तेमाल कर रहा हूँ, और अब तक मुझे वह smooth UX या मज़बूत ecosystem महसूस नहीं हुआ

• सच कहूँ तो, “हाशिये के समुदायों पर असमान प्रभाव” वाली बात hackers से ज़्यादा तीसरी दुनिया के बुज़ुर्ग पीड़ितों पर लागू होती है
  वे अक्सर scam apps के झाँसे में आकर अपनी संपत्ति खो देते हैं

• “Don’t be evil” अब “सरकारी ID registration के बाद ही बुरा मत बनो” जैसा हो गया है
  Google ने अदालत में Android की openness का हवाला देकर antitrust मुक़दमों में अपना बचाव किया था, लेकिन अब वह ख़ुद वही दरवाज़ा बंद कर रहा है
  वह security को बहाना बना रहा है, लेकिन असल में जिस समस्या को हल करना चाहता है वह “बेकाबू developers” नहीं, बल्कि “जिन developers से कमाई नहीं की जा सकती” है