Test & Avis Expert
Accrescent est une boutique d'applications Android orientée sécurité, développée par Logan Magee sous licence Apache-2.0. Elle est explicitement présentée comme étant en phase alpha, sans date annoncée pour une version stable.
Comment ça marche
Le principe tient à la chaîne de signature. Les développeurs déposent eux-mêmes leurs applications déjà compilées et signées, via une console dédiée : Accrescent ne compile ni ne signe à leur place, et les clés restent donc chez eux. La boutique épingle ensuite ces clés — la première installation est vérifiée, et toute mise à jour ultérieure doit être signée par la même clé, ce qui remplace le modèle de confiance au premier usage. Accrescent tourne sur Android 10 et versions ultérieures, avec des mises à jour sans intervention de l'utilisateur à partir d'Android 12. Les applications déposées n'ont pas besoin d'être libres : le projet considère que le modèle de licence ne détermine pas à lui seul la sécurité, tout en étant lui-même ouvert. Il refuse par ailleurs délibérément les dépôts tiers, pour deux raisons qu'il documente : Android suppose qu'un installateur est une source unique, et une liste de clés de dépôts arbitraires ne peut pas être maintenue de façon sûre.
Ce que ça ne protège pas
L'épinglage des clés garantit qu'une mise à jour vient bien du même auteur que l'installation initiale. Il ne dit rien de ce que fait l'application : un logiciel propriétaire signé correctement reste un logiciel propriétaire dont le comportement n'est pas vérifiable. Le catalogue est réduit, et l'absence de dépôts tiers signifie que vous dépendez entièrement de ce qu'Accrescent accepte de distribuer. Vérifier l'authenticité de la boutique elle-même demande une manipulation : comparer l'empreinte du certificat de signature avec apksigner, en la lisant depuis une source différente de celle du téléchargement — sauf sur GrapheneOS, où l'installation passe par la boutique du système. Enfin le projet repose sur un mainteneur principal et reste en alpha : ce sont deux facteurs de fragilité à intégrer avant d'en faire sa source principale d'applications.
Face aux alternatives
F-Droid propose un catalogue bien plus fourni et n'accepte que du logiciel libre, mais recompile et signe les applications lui-même, ce qui introduit un délai et déplace la confiance vers la forge F-Droid plutôt que vers l'auteur. Obtainium supprime l'intermédiaire en allant chercher les APK directement chez chaque éditeur, sans catalogue ni revue préalable. Aurora Store répond à un besoin différent : accéder au catalogue du Play Store sans compte Google.
