Metodologi Verifikasi APK

Terakhir diperbarui: 6 November 2026. Halaman ini menjelaskan apa yang benar-benar dilakukan sistem kami — bukan yang direncanakan.

Halaman ini hanya berlaku untuk berkas di Perpustakaan APK Legal. Halaman info aplikasi di katalog adalah halaman penjelasan, bukan berkas terverifikasi: aplikasi yang belum diuji tidak mendapat skor atau klaim "aman". Sebuah hasil pemindaian yang bersih berarti nol deteksi oleh mesin yang bernama pada waktu yang tercatat — bukan jaminan sebuah aplikasi sepenuhnya aman.

Syarat file: hanya yang legal

Hanya berkas dari sumber resmi yang bisa masuk pipeline: aplikasi open-source atau file yang disediakan langsung oleh developer. Kami tidak menerima APK bajakan, mod, judi, atau dewasa, dan tidak mendistribusikan ulang berkas tanpa izin yang terdokumentasi.

Lima langkah pipeline (berurutan)

1. Hash SHA-256. Hash berkas dihitung dan dicatat. Hash inilah identitas berkas itu — berkas yang hash-nya berubah dianggap berkas yang berbeda.
2. Struktur APK. Berkas harus bisa dibaca sebagai APK: ada AndroidManifest.xml, ada file dex, ada blok tanda tangan (META-INF), dan tidak ada APK di dalam APK. Satu saja tidak ada, file ditolak.
3. Tanda tangan developer. Sidik jari SHA-256 sertifikat penanda tangan diekstrak dari blok tanda tangan dan dicocokkan dengan sidik jari resmi developer yang didaftarkan admin dari sumber resmi. Tidak cocok berarti file ditolak — tanda tangan yang valid membuktikan siapa penandatangannya dan keutuhan berkas, bukan bahwa aplikasinya berperilaku baik.
4. Pemindaian multi-engine (VirusTotal). Hash berkas dicari di VirusTotal. Ambang terbit kami: 0 malicious dan 0 suspicious. Hash yang belum dikenal VirusTotal tidak bisa terbit — file baru wajib dianalisis dulu oleh admin. Bila kunci API VirusTotal belum diatur di server, langkah ini gagal dan file tidak bisa terbit.
5. Audit izin. Izin dari manifest dideklarasikan admin dan dijelaskan dengan bahasa sederhana; setiap izin berbahaya wajib punya penjelasan yang cukup. Pemeriksaan izin bukan deteksi malware.

Gerbang terbit & skor

Satu langkah gagal berarti file tidak bisa terbit. Skor keamanan hanya dihitung bila semua langkah lolos (sumber 25–30, tanda tangan 25, pemindaian 25, izin 16–20). Setelah itu masih ada review manual oleh admin sebelum status menjadi diterbitkan. Status berkas di sistem kami: draft, diterbitkan, ditandai (flagged), atau ditolak — dan hasil pemindaian bisa berstatus bersih, menunggu, atau gagal.

Status saat ini — jujur

Per 6 November 2026, kunci API VirusTotal (VT_API_KEY) belum diatur di server, sehingga langkah pemindaian belum bisa lolos untuk berkas apa pun dan Perpustakaan masih kosong — dengan sengaja. Begitu kunci gratis diatur, berkas pertama baru bisa diuji lewat pipeline ini. Hash berkas yang sudah terbit diperiksa ulang setiap minggu: bila hash di penyimpanan tidak lagi sama dengan hash yang tercatat, berkas itu ditahan.

Koreksi & banding

Bila kamu menemukan kesalahan pada sebuah catatan verifikasi, atau merasa sebuah file salah ditandai, laporkan ke kontak@cekapk.com (atau dmca@cekapk.com untuk klaim hak cipta). Target peninjauan kami 2 hari kerja. Bila sebuah aplikasi merilis versi baru, catatan verifikasi versi lamanya dianggap kedaluwarsa sampai versi baru itu diuji ulang.

Lihat juga: Keamanan APK · Perpustakaan APK Legal · Laporan Transparansi · Kebijakan Privasi