Проверка файла до запуска: четыре шага

Четыре проверки, каждая из которых занимает секунды. Делать их стоит до запуска, а не после: запущенный установщик уже сделал то, что собирался.

Четыре проверки по порядку

1. Вес

   Десятки мегабайт — норма. Сотни килобайт — загрузчик-посредник, запускать не нужно. Это самая быстрая и самая результативная проверка (подробно).

2. Имя

   Должно соответствовать релизу: имя приложения, вид сборки, версия, формат. Слова mod, premium, pro, repack, activated в имени разработчик не пишет никогда (как читаются имена).

3. Издатель

   Windows: правая кнопка по файлу → «Свойства» → вкладка «Подробно». Смотрите строку с названием компании — должно значиться LLC ITDEV.

   macOS: после установки — правая кнопка по приложению → «Свойства», либо системный диалог при первом запуске назовёт разработчика.

   Android: проверяется уже после установки, в сведениях о приложении.

   SHOT-P01

4. Разрешения после установки

   На Android откройте сведения о приложении и посмотрите список разрешений. Приложению не нужны ни контакты, ни СМС, ни звонки, ни доступ к файлам. Камера — единственное объяснимое: она нужна для считывания QR-кода с адресом.

Что делать, если признак не сошёлся

Когда антивирус ошибается

Сообщение антивируса о приложении из официального источника — обычно срабатывание эвристики: программа работает с сетевым подключением, и это выглядит для неё подозрительно. Особенно часто такое бывает у сборок без широко известной подписи.

Порядок разумных действий: сначала пройти четыре проверки выше, и только если всё сошлось — решать, доверять ли антивирусу. Отключать защиту насовсем ради установки одного приложения не нужно; в большинстве случаев достаточно один раз разрешить конкретный файл.

Чего проверка не даёт

Порядок важнее полноты

Проверки выстроены не случайно: они идут от самой быстрой и самой результативной к самой точной и самой поздней. Вес отсекает загрузчиков и недокачанные файлы за три секунды. Имя ловит пересобранные сборки. Издатель — последняя проверка до запуска. Разрешения — единственная, которая делается уже после установки.

Если времени совсем нет, делайте первую: она одна закрывает большую часть случаев и не требует ничего, кроме взгляда на папку загрузок (про вес).

Где смотреть издателя на каждой системе

На Android проверка приходится на «после» — это неприятно, но неизбежно: до установки система об издателе пакета вам ничего не скажет. Поэтому там вес и имя файла становятся особенно важными (про apk).

Разрешения: короткий список нормального приложения

Приложению нужен доступ к сети и право создавать сетевое подключение — это два разрешения, и они появляются сами собой. Плюс камера, если вы собираетесь считывать адрес QR-кодом. Всё.

Контакты, СМС, журнал звонков, микрофон, местоположение, доступ ко всем файлам — ничего из этого приложению для работы не требуется. Список разрешений, который выглядит как список разрешений социальной сети, означает, что вы поставили не то (что именно).

Проверка занимает меньше, чем кажется

Полный порядок — четыре действия и примерно минута времени. Взглянуть на размер в папке загрузок. Прочитать имя файла. Открыть свойства и посмотреть издателя. После установки — заглянуть в разрешения. Ни одно из них не требует ни программ, ни знаний.

Сравните с тем, во что обходится пропуск этой минуты: переустановка приложения, смена адреса доступа и неприятное подозрение, что что-то ушло не туда (что делать в этом случае).

Отдельно про файлы от знакомых

Файл, присланный в мессенджере другом, кажется безопасным просто потому, что прислал его знакомый человек. Но он тоже где-то его скачал — и, скорее всего, не задавал себе тех вопросов, которые задаёте вы сейчас.

Поэтому проверяйте его так же, как любой другой. Плюс учтите, что пересылка через мессенджер иногда портит файл: он приходит переименованным или пересобранным, и система отказывается его открывать (как это выглядит).

Если проверить нечем

Бывает: телефон не показывает издателя до установки, а имени и веса вам мало. Тогда работает косвенная проверка — установить и сразу посмотреть разрешения и издателя в сведениях о приложении. Если что-то не сходится, удалить приложение недолго.

Это компромисс, а не полноценная проверка. Полноценная начинается с источника: файл из магазина или релизов проверять почти не нужно (какие источники).

Проверка после установки, если сомнения остались

Посмотрите издателя и разрешения в сведениях о приложении и сверьте версию с релизом. Если всё сходится — вопрос закрыт. Если нет, удалять приложение и ставить заново дешевле, чем гадать (порядок).

Одно правило вместо четырёх проверок

Если запоминать некогда, запомните это: качайте только оттуда, где за файл кто-то отвечает (три источника). Тогда все проверки превращаются в формальность, а не в единственную линию обороны.