Pevnost

VPN pro Android bez Google Play: APK, ověření hashe, instalace.

Blog · 19. 10. 2026 · 7 min

Stav k 19. 10. 2026: Pevnost je v soukromé betě. První server prg1 v Hluboké nad Vltavou (datacentrum WEDOS) běží od 18. října; první krátký test naměřil kolem 300 Mbit/s. Každý nový účet má dvě hodiny zdarma (jedna zkouška na připojení, jedno zařízení), pak 120 Kč za 30 dní nebo 1 200 Kč za rok. Platit jde Bitcoinem on-chain (preferujeme), kartou přes Stripe nebo převodem; Lightning plánujeme, Monero se chystá. Aplikace pro Windows 0.3.1 beta, pro Android 0.1.0 beta. Naposledy revidováno 19. 10. 2026.

Naše aplikace pro Android zatím není v Google Play ani v jiném obchodě. Kdo chce VPN pro Android bez Google Play, nainstaluje ji přímo z našeho webu jako soubor APK. Tento návod prochází stažení, ověření hashe SHA‑256, instalaci, bezpečné aktualizace a alternativu pro ty, kdo nechtějí používat ranou betu.

Co instalujete

Pevnost 0.1.0 beta pro Android, zhruba 20 MB, pro Android 8.0 (API 26) a novější. Aplikace je napsaná v Kotlinu nad oficiální knihovnou WireGuard pro Android. Přihlásí se ID účtu nebo účet založí, klíč zařízení vytvoří přímo v telefonu a zaregistruje jen jeho veřejnou polovinu, ověří náš podpis seznamu serverů a tunel spouští přes systémovou VPN službu Androidu s naším DNS uvnitř. Žádná analytika, žádné hlášení pádů, žádná SDK třetích stran; jediný server, se kterým mluví, je app.pevnost.net. Zdrojový kód zveřejníme s první placenou verzí.

Je to raná beta, kterou jsme zatím nespustili na skutečném zařízení. Počítejte s nedodělky a napište nám, co nefunguje; aktuální stav testování uvádíme na stránce Aplikace.

Proč zatím není v obchodě

Google Play vyžaduje účet vývojáře, revizi každé verze a pro VPN aplikace další formuláře; F‑Droid sestavuje aplikace sám ze zveřejněného zdrojového kódu, který zveřejníme až s první placenou verzí. Do obchodů ji chceme dát, až se beta usadí. Do té doby je přímá instalace jediná cesta, a proto ji popisujeme pořádně, včetně ověření.

1. Stáhněte APK do počítače

Soubor Pevnost-0.1.0-beta-android.apk najdete na stránce Aplikace. Doporučujeme ho stáhnout do počítače: hash se tam ověřuje nejsnáz a do telefonu pak zkopírujete soubor, o kterém víte, že je v pořádku.

2. Ověřte SHA‑256

Očekávaná hodnota, kterou najdete i v souboru /dl/SHA256SUMS:

a936aa497fe08e76581b4fbbc59796181cb568e3c1163a8729ca3f1569a47b67

Ve složce, kam jste soubor uložili, spusťte:

# Windows (PowerShell)
Get-FileHash .\Pevnost-0.1.0-beta-android.apk -Algorithm SHA256
# Windows (příkazový řádek)
certutil -hashfile Pevnost-0.1.0-beta-android.apk SHA256
# Linux
sha256sum Pevnost-0.1.0-beta-android.apk
sha256sum --ignore-missing -c SHA256SUMS     # se SHA256SUMS ve stejné složce
# macOS
shasum -a 256 Pevnost-0.1.0-beta-android.apk

Výsledek se musí shodovat znak po znaku. Pokud ne, soubor smažte a napište na security@pevnost.net.

Když jste APK stáhli rovnou do telefonu, jde hash ověřit i tam: některé správce souborů ho ukazují ve vlastnostech souboru, a kdo používá Termux, spustí stejný příkaz sha256sum jako na Linuxu.

Co hash dokazuje: že máte přesně ten soubor, který jsme zveřejnili, ne poškozené stažení ani upravenou kopii, kterou vám někdo poslal přes chat nebo nabízí na cizím webu. Co dokázat nemůže: kdyby někdo ovládl náš web, mohl by změnit soubor i hash najednou. Proto je důležitý ještě podpis.

3. Podpis hlídá aktualizace

Každé vydání podepisujeme stejným klíčem a Android nainstaluje aktualizaci přes existující aplikaci jen tehdy, když nese stejný podpis. Jakmile máte nainstalovanou ověřenou verzi, podvrženou „aktualizaci“ podepsanou někým jiným systém odmítne. Pokud by aktualizace někdy skončila chybou, že je v konfliktu s existujícím balíčkem, aplikaci neodinstalovávejte a neinstalujte načisto. Ověřte hash a napište nám.

Kdo má Android SDK, může si otisk podpisového certifikátu vypsat příkazem apksigner verify --print-certs, zapsat si hodnotu SHA‑256 a u další verze ji porovnat. Aplikace se sama neaktualizuje; nové verze se objeví na stránce Aplikace s novým hashem.

4. Instalace

  1. Zkopírujte APK do telefonu, třeba kabelem v režimu přenosu souborů, a otevřete ho v aplikaci Soubory.
  2. Android požádá o povolení Instalace neznámých aplikací pro aplikaci, ze které soubor otevíráte (najdete ho v Nastavení → Aplikace → Zvláštní přístup aplikací; přesné názvy se podle výrobce liší). Povolte ho.
  3. Google Play Protect může varovat před aplikací od neznámého vývojáře. Pokud hash seděl, zvolte instalaci přesto.
  4. Po instalaci povolení instalace neznámých aplikací zase vypněte.

Google ohlásil ověřování vývojářů i pro aplikace instalované mimo Google Play, zaváděné postupně od roku 2026 a nejdřív mimo EU. Pokud se to dotkne instalace našeho APK, napíšeme to na stránce Aplikace.

Když instalace selže

5. První spuštění

Založte účet, nebo zadejte ID účtu, které už máte; nový účet má dvě hodiny zdarma. Aplikace vytvoří klíč v telefonu. Android se jednou zeptá, zda povolit VPN připojení; potvrďte. Pak zapněte systémový kill switch: Nastavení → Síť a internet → VPN → ozubené kolo u Pevnosti → Trvalá VPN a Blokovat připojení bez VPN. Proč, vysvětluje článek Kill switch: co dělá a kdy chybí. Nakonec si udělejte test úniku DNS a IP.

Aplikace nepoužívá žádné služby Googlu, takže by měla běžet i na telefonech bez služeb Google Play, například s GrapheneOS nebo LineageOS. Zatím jsme to nezkoušeli; když to vyzkoušíte vy, napište nám, jak to dopadlo.

Alternativa: oficiální WireGuard

Pokud ranou betu používat nechcete, nainstalujte oficiální aplikaci WireGuard z F‑Droidu nebo Google Play a naimportujte konfiguraci ze stránky účtu jako soubor nebo QR kód. Je vyzrálá a open source; klíče zařízení pak spravujete na stránce účtu místo v aplikaci. Postup je v návodu na nastavení WireGuardu. F‑Droid je zároveň další cesta, jak mít VPN na Androidu bez Google Play: aplikace odtamtud nepotřebuje účet Google.

Kterou cestu zvolit? Chcete se přihlásit ID účtu a nechat klíč vzniknout v aplikaci bez stahování souborů: naše aplikace. Chcete co nejprověřenější software a nevadí vám spravovat konfiguraci ručně: oficiální WireGuard. Obě se připojují ke stejnému serveru, ke stejnému resolveru a pod stejnou politikou bez logů. Můžete začít jednou a přejít na druhou; každé zařízení jen potřebuje vlastní klíč.