Come verificare la fonte di Happ ed evitare un APK falso

Dove si scarica davvero Happ

Happ è un client basato sul motore Xray e dispone di un insieme prevedibile di canali di distribuzione legittimi. Per iOS e macOS è l'App Store, per Android è l'APK di installazione, per Windows è la build per desktop. Lo sviluppatore usa GitHub come piattaforma per la documentazione e per la pagina Releases, dove vengono pubblicate build firmate per ogni piattaforma. È proprio la combinazione «store delle applicazioni + release su GitHub» il punto da cui conviene scaricare.

La ricerca «happ github» viene digitata più spesso quando si cerca l'APK per Android direttamente, saltando lo store. È accettabile, ma richiede attenzione: il file va preso dalla pagina Releases di un repository verificato, e non da forum, servizi di file hosting o aggregatori di «mirror». Non forniamo link a copie artigianali e non indichiamo alcuna risorsa di terze parti come l'unica corretta: l'importante è che tu impari a verificare la fonte da solo.

Tieni sempre a mente una cosa: il client Happ e il tuo accesso ai server sono due cose distinte. L'applicazione la installi da una fonte legittima, mentre la chiave e l'abbonamento te li fornisce il bot Telegram del servizio. Nessun APK dovrebbe chiederti login, password degli account o un pagamento al suo interno: la configurazione si collega con un link-abbonamento separato.

Come distinguere il vero repository Happ su GitHub da un falso

I repository falsi copiano il nome, la descrizione e persino gli screenshot, quindi non bisogna guardare l'aspetto ma i segni di un progetto vivo. Controlla il proprietario del repository (organization o account dell'autore), la data di creazione, la cronologia dei commit e l'attività nella sezione Issues. In un progetto autentico i commit arrivano con regolarità e con senso, non tutti in una volta con un «Initial commit» risalente a una settimana fa.

Presta attenzione alla sezione Releases. In un progetto legittimo le release sono numerate per versione, contengono un elenco chiaro delle modifiche e file distinti per ciascuna piattaforma: l'APK per Android, l'installer per Windows e così via. Dovrebbero insospettirti una release senza descrizione, un singolo file dal nome strano, un link «download» che porta a un sito esterno invece che a un asset di GitHub, oltre a un fork con un numero sospettosamente elevato di «stelle» raccolte in un paio di giorni.

Confronta il nome del pacchetto e la versione. Nella scheda dell'applicazione nello store e nel nome dell'APK la versione deve coincidere con quella indicata nella release. Se un fork si spaccia per una build «migliorata» o «sbloccata» di Happ con funzionalità aggiuntive, è la classica esca. Qualsiasi ricompilazione perde la firma originale dello sviluppatore, e non puoi più fidarti del codice al suo interno.

Perché gli APK sconosciuti sono pericolosi

Un APK non è semplicemente il «file del programma», ma un pacchetto di installazione completo con permessi di accesso al sistema. Un Happ ricompilato da qualcun altro può sembrare e funzionare come l'originale, ma allo stesso tempo contenere un SDK pubblicitario iniettato, un miner nascosto, un intercettatore degli appunti o un modulo di rete modificato. Per un client VPN e proxy quest'ultimo è particolarmente critico: è proprio attraverso di esso che passa tutto il tuo traffico.

Le conseguenze tipiche dell'installazione di una build non autorizzata sono pubblicità forzata sopra l'interfaccia, fuga dell'elenco dei tuoi abbonamenti e server, sostituzione della configurazione con nodi altrui e sorveglianza del traffico. Nel peggiore dei casi un client modificato indirizza le connessioni attraverso il server di un malintenzionato, dove i dati possono essere registrati. Apparentemente tutto funziona, la velocità c'è, ma di un canale del genere non ci si può più fidare.

Un altro rischio sono le copie obsolete. Qualcuno una volta ha pubblicato una vecchia versione, questa si è diffusa sui mirror e continua a sopravvivere per anni. Ricevi un client privo di correzioni recenti di sicurezza e di compatibilità con il motore Xray attuale. Per questo conta non solo l'autenticità del file, ma anche il suo essere aggiornato.

Installazione sicura dell'APK di Happ: passo dopo passo

1. Apri la pagina Releases di un repository Happ verificato su GitHub e seleziona l'ultima versione stabile. Scarica l'APK come asset della release stessa, e non tramite un link esterno presente nella descrizione.

2. Prima dell'installazione verifica il checksum. Se nella release sono pubblicati i valori SHA-256, calcola l'hash del file scaricato (su Windows con il comando certutil -hashfile happ.apk SHA256, su Android tramite un'app calcolatrice di hash) e confrontalo carattere per carattere. La corrispondenza conferma che il file non è stato sostituito né si è danneggiato durante il download.

3. Verifica la firma del pacchetto, se sai usare apksigner dell'Android SDK: la firma delle build originali è stabile da una versione all'altra, e il suo cambiamento è un motivo per fermarsi. Come minimo confronta il nome del pacchetto e il numero di versione con quanto dichiarato nella release.

4. Installa l'APK e disattiva subito nelle impostazioni di sistema di Android il permesso «installazione da fonti sconosciute» per l'applicazione tramite cui hai effettuato l'installazione. Poi apri Happ, aggiungi il tuo link-abbonamento ottenuto dal bot Telegram del servizio e assicurati che i server caricati siano proprio i tuoi. Il client non dovrebbe richiedere permessi superflui come l'accesso ai contatti, agli SMS o alle chiamate.

Se un APK sospetto è già installato

Se hai installato Happ da una fonte poco chiara e hai notato pubblicità, connessioni spontanee o server sconosciuti nell'elenco, parti dal presupposto che al client non ci si possa fidare. Disinstalla l'applicazione completamente, e non limitarti a «svuotare la cache»: insieme a essa verranno rimosse le configurazioni salvate, che potrebbero essere state sostituite.

Dopo la disinstallazione cambia il link-abbonamento: rivolgiti al bot Telegram del servizio e rigenera l'accesso, in modo che la vecchia chiave compromessa smetta di funzionare. Se attraverso questo dispositivo hai effettuato l'accesso ad altri servizi mentre il client sospetto era attivo, cambia le password degli account importanti da un dispositivo pulito.

Poi installa di nuovo Happ: dall'App Store sui dispositivi Apple oppure da una release verificata su GitHub per Android e Windows, con l'immancabile verifica del checksum. Prendi l'abitudine di aggiornare sempre dalla stessa fonte: così non solo eviti i falsi, ma ricevi anche in tempo le correzioni di sicurezza.