Pour que F-Droid soit fiable, nous devons être transparent. Le rendre facile pour que les personnes prêtent attention à tous les processus et systèmes que nous utilisons nous aide à rester securisé. Ce sont les API avec des informations clés sur le processus de publication.

Paquets actifs

Il existe une API par application accessible via https://f-droid.org/api/v1/packages, qui peut être utilisée pour demander des informations sur les applications dans le dépôt principal. L’API JSON liste actuellement les versions publiées et suggérées. Les applications et paquets archivés ne sont pas disponibles dans cette API.

Exemple de demande :

GET https://f-droid.org/api/v1/packages/org.fdroid.fdroid HTTP/1.1

Exemple de réponse :

HTTP/1.1 200 OK
Content-Type: application/json; charset=utf-8

{
  "packageName": "org.fdroid.fdroid",
  "suggestedVersionCode": 1009000,
  "packages": [
    {
      "versionName": "1.10-alpha0",
      "versionCode": 1010000
    },
    {
      "versionName": "1.9",
      "versionCode": 1009000
    }
  ]
}

Cette API est déjà utilisée par le projet shields.io pour fournir les badges de F-Droid, comme ceux-ci.

L’index du dépôt

F-Droid est construit autour d’un index signé de toutes les applications et paquets qui sont disponibles. Ceci est un fichier JSON, mais plus un index qu’une interface de programmation car toutes les informations sont distribuées par un seul fichier.

• https://f-droid.org/repo/index-v2.json
• https://f-droid.org/repo/index-v1.json
• https://f-droid.org/archive/index-v2.json
• https://f-droid.org/archive/index-v1.json

À partir de l’index-v2, il existe un support pour les fichiers qui ne contiennent que les changements, connus sous le nom de fichiers “diff”. Il existe également un point d’entrée séparé, qui est signé par un JAR et une signature GPG et qui liste les fichiers index et diff disponibles.

• https://f-droid.org/repo/entry.jar
• https://f-droid.org/repo/entry.json
• https://f-droid.org/repo/entry.json.asc

Les formats des indices du dépôt v1 sont sous la forme d’un fichier JAR signé qui contient index-v1.json. La meilleure façon est de vérifier la signature JAR, puis ensuite extraire index-v1.json si elle est valide. La bibliothèque fdroidserver de Python fournit fdroidserver.download_repo_index() pour faciliter cela.

• https://f-droid.org/repo/index-v1.jar
• https://f-droid.org/archive/index-v1.jar

Il existe également des signatures GPG pour vérifier les fichiers JSON :

• https://f-droid.org/repo/index-v2.json.asc
• https://f-droid.org/repo/index-v1.json.asc
• https://f-droid.org/archive/index-v2.json.asc
• https://f-droid.org/archive/index-v1.json.asc

API de recherche d’applications

API Web basique pour effectuer des recherches en texte intégral sur le dépôt f-droid.org.

• https://search.f-droid.org/api/search_apps?q=f-droid

Métadonnées de la version de l’application

Chaque application dans f-droid.org a un fichier de métadonnées de compilation qui lui y correspond dans fdroiddata. Pour encourager la réutilisation créative, nous gardons nos données dans des formats standards dans des endroits faciles à trouver. La collection entière des applications est en format YAML. Le fichier peut être directement accessible par ID d’application en utilisant l’URL de GitLab Raw https://gitlab.com/fdroid/fdroiddata/-/raw/master/metadata/<ApplicationID>.yml (p. ex. https://gitlab.com/fdroid/fdroiddata/-/raw/master/metadata/org.fdroid.fdroid.yml). L’index de dépôt et l’interface de programmation de GitLab pour les fichiers de dépôt peuvent être utilisés pour faire une requête pour connaître les ID d’application disponibles. Ces fichiers sont aussis disponibles dans le miroir sur GitHub, p. ex. https://raw.githubusercontent.com/f-droid/fdroiddata/master/metadata/org.fdroid.fdroid.yml

État du serveur de compilation f-droid.org

Les quatre étapes principales du cycle de compilation sont : checkupdates, build, update et deploy. Il y a un fichier JSON pour chacune de ces étapes contenant des informations sur leur état. Il est publié une fois que l’étape est terminée. L’étape en cours d’exécution est publié dans running.

• https://f-droid.org/repo/status/running.json
• https://f-droid.org/repo/status/build.json
• https://f-droid.org/repo/status/update.json
• https://f-droid.org/repo/status/deploy.json

Deux exemples de comment ces interfaces de programmation JSON peuvent être utilisées sont le site F-Droid Monitor et l’application F-Droid Build Status.

Surveillance du dépôt et des miroirs

mirror-monitor et repo-monitor sont des travaux automatiques qui contrôlent plusieurs statistiques à propos des miroirs de f-droid.org et les dépôts de tierce partie respectivement. Chacun fournit un seul large journal en JSON de tous les fois que les contrôles sont exécutés :

• État des miroirs f-droid.org : https://fdroid.gitlab.io/mirror-monitor/report.json
• état des dépots de tierce partie : https://fdroid.gitlab.io/repo-monitor/report.json

Compilations reproductibles

verification.f-droid.org est un recompileur qui recompile les publications officielles provenant de f-droid.org, puis qui vérifie qu’elles sont compilées de manière reproductible. Il y a un point d’entrée pour chaque paquet basé sur le nom du paquet : https://verification.f-droid.org/org.fdroid.fdroid.json

Ensuite il y a un fichier JSON par APK qui a été vérifié, avec un nom qui suit le schéma