Очень простая идея: просто добавьте поддельную строку запроса в URL.
<param name="source" value="app.xap?r12345"/>
Большинство серверов должны игнорировать его, а файл обычно обрабатывать - зависит от вашего сервера. Если вы действительно умны, вы можете сделать страницу хостинга динамической и автоматически добавить строку тикового числа или дату-время в строку запроса. Это гарантирует, что вы получите кеширование, когда захотите, но принудительно загрузите, когда есть изменения.
В идеале, ваш сервер должен сделать это за вас. Но если нет ...