La instalación de APKs en Android ha sido históricamente una de las señas de identidad del sistema. Frente al modelo cerrado de iOS, permitir que el usuario descargue un archivo APK desde una web y lo instale por su cuenta ha sido una libertad muy valorada. Ese escenario está cambiando: Google ha puesto en marcha un sistema de verificación de desarrolladores que añade nuevas barreras al sideloading y que ya ha empezado a aplicarse en varios países.
La primera fase se activó el 30 de septiembre en Brasil, Indonesia, Singapur y Tailandia. Sin embargo, el arranque no ha sido tan contundente como se esperaba: la compañía ha suavizado el alcance inicial y ha limitado el control a las apps distribuidas a través de una lista concreta de tiendas. España no aparece entre los mercados incluidos en esta primera oleada, así que los usuarios españoles, por ahora, no notarán el cambio en su día a día.
Qué cambia con la verificación de desarrolladores
El nuevo programa vincula el nombre del paquete de cada aplicación y su clave de firma con la identidad de quien la desarrolla. Para que una app quede registrada, el creador debe verificar su identidad y demostrar que controla el APK mediante una clave privada. Si el desarrollador no está verificado y la app tampoco procede de una tienda autorizada, el sistema bloquea la instalación convencional.
Google justifica esta medida por seguridad. Según sus análisis, las aplicaciones instaladas fuera de Google Play tienen más probabilidades de contener software malicioso que las distribuidas en la tienda oficial. La idea es frenar el anonimato de actores malintencionados que publican APKs modificados. Aun así, la comunidad teme que el remedio afecte también a proyectos legítimos y que la instalación de APKs se convierta en un proceso farragoso.
El despliegue inicial ha generado confusión. Aunque se habló de un bloqueo general para APKs externos, lo cierto es que la verificación se aplica por ahora a las apps que llegan desde siete tiendas participantes. Las descargas directas desde una web quedan fuera de esta fase, igual que las instalaciones realizadas mediante ADB o desde tiendas que no están en la lista. Eso sí, Google mantiene su hoja de ruta: la expansión global está prevista para 2027.
Tiendas autorizadas y alcance inicial
Las siete tiendas incluidas en el programa son Google Play, Samsung Galaxy Store, Xiaomi GetApps, HONOR App Market, OPPO App Market, vivo V-Appstore y Transsion Palm Store. Si una aplicación se distribuye a través de uno de estos canales y su desarrollador está registrado, el proceso de instalación sigue siendo el habitual. El usuario no debería encontrar pasos adicionales.
El alcance inicial se limita a dispositivos certificados con Android 7 o posterior, y afecta a móviles y tabletas en los cuatro países piloto. España no está entre ellos, al igual que el resto de Europa. La medida tampoco alcanza todavía a los APKs que se descargan directamente de una página web, ni a las tiendas que no forman parte de la lista. Por eso, muchos usuarios han tenido la sensación de que el despliegue ha comenzado a medio gas.
La lista de canales autorizados no es casual. Google quiere que las tiendas de fabricantes mantengan sus propios procesos de revisión y que la verificación no dependa solo de Play Store. La compañía ha repetido que no pretende eliminar el sideloading de un plumazo, pero sí añadir capas de control para reducir el riesgo de malware.
El flujo avanzado para instalar APKs no verificados
Cuando la restricción se aplique de verdad a un APK no verificado, el usuario tendrá que superar un procedimiento bastante más largo que el actual. Primero habrá que activar los ajustes para desarrolladores y marcar la casilla de apps no verificadas. Después, el sistema mostrará un aviso para confirmar que nadie está coaccionando al usuario. A continuación, será necesario reiniciar el móvil y esperar 24 horas.
Una vez transcurrido ese plazo, se podrá instalar la aplicación usando la huella o el PIN. En ese momento, el usuario podrá elegir si concede un permiso temporal de siete días o si lo mantiene de forma indefinida. ADB, la herramienta de depuración USB, sigue funcionando sin cambios y permite instalar archivos APK en PC y dispositivos sin pasar por el reinicio ni por la espera de un día. Para muchos usuarios avanzados, esa sigue siendo la vía más práctica.
La comunidad también ha explorado otras alternativas, como el uso de herramientas que aprovechan la depuración en el propio móvil o el root. Los dispositivos rooteados y las ROM de Android sin servicios de Google pueden esquivar algunas de estas barreras, pero no son opciones recomendadas para el usuario medio. La medida, por tanto, no supone un cierre total, aunque sí añade fricción.
Impacto en F-Droid, GitHub y aplicaciones modificadas
Uno de los efectos colaterales más comentados es el que afecta a los repositorios de software libre. Proyectos alojados en GitHub o distribuidos por F-Droid pueden verse perjudicados porque, al modificar un APK, su firma cambia. Android puede catalogar ese archivo como no verificado, aunque se trate de una aplicación legítima y auditada por la comunidad. Esto complica la viabilidad de muchas herramientas abiertas.
F-Droid es uno de los nombres que más suenan en este debate. La comunidad teme que la verificación deje fuera aplicaciones legítimas que no están en las tiendas autorizadas. Al actualizar o adaptar un APK, la firma cambia y el sistema puede tratarlo como no verificado. Eso no significa que F-Droid vaya a dejar de funcionar de la noche a la mañana, pero sí añade incertidumbre al software libre y a los desarrolladores independientes.
En Europa, la Ley de Mercados Digitales ha empujado a permitir tiendas alternativas y métodos de pago externos. Sin embargo, la política de Google añade requisitos que pueden chocar con esa filosofía. Para los defensores del software libre, el equilibrio entre seguridad y apertura es cada vez más delicado. No se trata solo de evitar malware, sino de que las alternativas legítimas no queden ahogadas por medidas pensadas para los malos actores.
Qué pueden hacer los usuarios y qué se espera para 2027
Para quien instala APKs de forma habitual, el consejo es mantener la calma: en España y en la mayor parte de Europa, la primera fase no cambia nada. Las descargas directas y las tiendas no participantes siguen funcionando como antes. Eso sí, conviene estar atento a las actualizaciones de Google y a los cambios en las tiendas de fabricantes, porque el programa se irá ampliando.
Google prevé extender las protecciones de verificación a escala mundial en 2027. No ha fijado un mes ni un día concreto, pero la intención es que cualquier teléfono Android certificado acabe aplicando estas reglas. La fecha de caducidad del instalador clásico se va acercando, y eso afectará tanto a los usuarios como a los desarrolladores independientes.
Mientras tanto, los métodos alternativos como ADB seguirán siendo la tabla de salvación para muchos. También habrá quien opte por no actualizar o por usar dispositivos con ROMs alternativas. La instalación de APKs no desaparece, pero deja de ser un simple interruptor para convertirse en un proceso con más controles.
El panorama de la instalación de APKs en Android está en plena transformación. Google ha comenzado a exigir verificación a los desarrolladores en cuatro países piloto, aunque de momento la medida se limita a siete tiendas y deja fuera las descargas directas y España. El flujo avanzado, con reinicio y espera de 24 horas, se aplicará cuando el bloqueo llegue a los APKs no verificados, mientras ADB y otras vías técnicas mantienen una puerta abierta. La expansión global prevista para 2027 y el impacto sobre F-Droid, GitHub y el software libre marcan un debate que mezcla seguridad, control y libertad en el ecosistema Android.
Continúar leyendo...