Analyseur de manifeste Android

• Analyse complète du manifeste : Analyse toute la structure d'AndroidManifest.xml : nom du paquet, informations de version, versions de SDK, attributs de l'application et toutes les déclarations de composants. Extrait chaque activité, service, receiver de diffusion, fournisseur de contenu et filtre d'intent avec tous leurs attributs depuis le manifeste XML.
• Détection des permissions dangereuses : Classe automatiquement toutes les permissions déclarées par niveau de protection Android : normal, dangereux, signature, système et développement. Signale les combinaisons de permissions dangereuses pouvant permettre le vol de données, la surveillance ou la compromission de l'appareil avec des niveaux de gravité clairs.
• Analyse de sécurité des composants : Signale les problèmes de sécurité dans les déclarations de composants : composants exportés sans garde de permission, mode debug activé en production, allowBackup activé, fournisseurs de contenu exposés, receivers de diffusion non protégés et filtres d'intent pouvant permettre une interaction avec des apps malveillantes.
• Catégorisation des menaces et niveaux de gravité : Chaque constat est catégorisé et gradué : critique (exfiltration de données, exécution de code), élevé (surveillance, élévation de privilèges), moyen (exposition de confidentialité, manipulation de l'appareil) et informatif (suggestions de bonnes pratiques). Filtrez les résultats par gravité pour vous concentrer sur les problèmes les plus importants.

AndroidManifest.xml est un fichier obligatoire dans chaque application Android (APK). Il déclare au système d'exploitation Android des informations essentielles sur l'app : le nom du paquet (identifiant unique de l'app), le code et le nom de version (utilisés pour les mises à jour), les versions minimales et cibles du SDK (quelles versions d'Android l'app prend en charge) et tous les composants de l'app — activités, services, receivers de diffusion et fournisseurs de contenu. Il liste aussi chaque permission requise par l'app et définit les fonctionnalités matérielles et logicielles nécessaires. Le manifeste est écrit en XML et peut être extrait de n'importe quel APK avec des outils comme apktool, aapt, ou simplement en décompressant l'APK et en convertissant l'AndroidManifest.xml binaire en texte lisible.

1. Déclaration dans le manifeste — Les permissions sont déclarées avec <uses-permission android:name="android.permission.NOM_PERMISSION" /> . Sur Android 6.0+, les permissions dangereuses nécessitent aussi des demandes à l'exécution.
2. Niveaux de protection des permissions — Normal : accordées automatiquement (INTERNET, ACCESS_NETWORK_STATE). Dangereux : nécessitent l'approbation de l'utilisateur à l'exécution (CAMERA, LOCATION, RECORD_AUDIO). Signature : accordées uniquement si l'app est signée avec le même certificat que le système. System/SignatureOrSystem : réservées aux apps système.
3. Modèle de permissions à l'exécution — Depuis Android 6.0 (API 23), les permissions dangereuses doivent être demandées à l'exécution via une boîte de dialogue système. Les utilisateurs peuvent accorder ou refuser des groupes de permissions individuels et les révoquer à tout moment depuis les Paramètres.
4. Groupes de permissions et octroi automatique — Les permissions sont organisées en groupes (STORAGE, LOCATION, SMS, etc.). Accorder une permission dans un groupe accorde automatiquement toutes les autres du même groupe. Les utilisateurs voient exactement à quel groupe appartient chaque permission.

• Combinaisons de permissions dangereuses : CAMERA + RECORD_AUDIO suggère une surveillance/espionnage. ACCESS_FINE_LOCATION + INTERNET + SEND_SMS suggère un suivi avec exfiltration par SMS. READ_CONTACTS + GET_ACCOUNTS + INTERNET suggère une collecte de contacts.
• Composants exportés : une activité, un service ou un receiver avec android:exported="true" sans permission requise signifie que n'importe quelle app de l'appareil peut le lancer. C'est une vulnérabilité de sécurité courante dans les SDK tiers et les composants de ROM personnalisées.
• Flag de sauvegarde : android:allowBackup="true" (la valeur par défaut) permet aux utilisateurs de sauvegarder les données de l'app via ADB, ce qui pourrait exposer des données sensibles. Le mettre explicitement à false empêche l'exfiltration de données par sauvegarde.
• Flag de débogage : android:debuggable="true" ne devrait jamais apparaître dans les builds de version. Il permet aux outils de débogage de s'attacher au processus de l'app, exposant les données et contournant les contrôles de sécurité.
• Permissions personnalisées : les apps définissant leurs propres permissions avec des balises <permission> devraient utiliser le niveau de protection signature pour empêcher d'autres apps d'accéder sans autorisation à leurs composants.

Cet outil s'exécute entièrement dans votre navigateur avec du JavaScript côté client. Le contenu XML de votre manifeste et les résultats d'analyse ne sont jamais envoyés à un serveur, stockés dans une base de données ou transmis sur le réseau. Toute l'analyse XML, la classification des permissions, l'analyse des composants et la signalisation de sécurité s'exécutent localement sur votre appareil. Il n'y a aucun appel API, suivi analytique, cookie ou collecte de données d'aucune sorte. Cela le rend totalement sûr pour analyser des apps propriétaires, des builds de pré-version ou des constats d'audit de sécurité sensibles.