Tarde o temprano, cualquier persona que use Android se topa con una aplicación que no está en Google Play. Puede ser la herramienta interna de una empresa, la versión de prueba de un desarrollador, una app regional o una plataforma de ocio que la tienda no distribuye en ese país. La descarga llega entonces como un archivo con extensión .apk, y ahí empiezan las dudas: ¿es seguro?, ¿qué permiso hay que dar?, ¿se actualiza sola?
Este tutorial responde las tres preguntas en orden. No es un procedimiento complicado: son cuatro pantallas. Pero cada paso tiene una razón técnica que conviene entender antes de tocar nada.
Un caso documentado: cuando no existe instalador oficial
La parte más útil de este tutorial es, paradójicamente, aprender a detectar cuándo no hay que instalar nada. Ocurre a menudo: el usuario busca «app de tal marca», encuentra decenas de páginas que ofrecen la descarga, y la marca en realidad nunca publicó un instalador. Todo lo que circula con su nombre viene entonces de terceros.
Un ejemplo bien documentado de esa situación es la ficha sobre descargar Casongo en Android: el análisis concluye que el operador no publica ningún instalador en su propio dominio, señala que cualquier archivo que circule con ese nombre proviene de un tercero y termina recomendando la vía del navegador con acceso directo. Es exactamente el razonamiento que enseña este tutorial, aplicado a un caso real: si el fabricante no distribuye el archivo, no hay archivo legítimo que descargar, y la ausencia de instalador oficial no es un obstáculo a superar, sino una respuesta.
Un indicio secundario que aparece en ese mismo análisis merece atención pedagógica: los paquetes de dudosa procedencia suelen pedir permisos que la función declarada no justifica. Cuando la lista de permisos no encaja con lo que la aplicación dice hacer, la conclusión ya está tomada.
Qué es exactamente un APK
Un APK (Android Package) es un archivo comprimido que contiene todo lo que necesita una aplicación: el código compilado, los recursos gráficos, el archivo de manifiesto que declara los permisos y una firma criptográfica del desarrollador. Esa firma es la pieza clave de toda esta lección: Android la comprueba al instalar y la vuelve a comprobar en cada actualización. Si una actualización llega firmada con otra clave, el sistema la rechaza.
De ahí se deduce la regla de seguridad más importante, y también la más ignorada: un APK modificado por un tercero está firmado por ese tercero, no por el autor original. Puede funcionar igual de bien, y puede llevar código añadido que el autor nunca escribió. El sistema no puede distinguir la buena intención de la mala; solo comprueba que la firma sea consistente consigo misma.
Antes de descargar: verificar el origen
El 90 % del riesgo se elimina en este paso, antes de que exista ningún archivo en el teléfono. Cuatro comprobaciones:
- El dominio. Descarga desde el sitio oficial del desarrollador o de la marca, escrito completo y con certificado válido. Los dominios con guiones añadidos, extensiones raras o palabras como «mirror», «mod» o «premium» son la señal más clara de redistribución.
- La ruta. Un enlace de descarga que salta a otro dominio a mitad de camino es motivo suficiente para abandonar.
- Los foros y los canales de mensajería. Son la vía por donde circulan la mayoría de los paquetes alterados. No hay forma de verificar quién compiló ese archivo.
- Las tiendas alternativas. Algunas son proyectos serios que publican el hash de cada archivo; muchas otras simplemente reempaquetan. Si la tienda no dice de dónde saca el archivo, no lo sabes.
El paso a paso en Android
Las versiones recientes de Android cambiaron el modelo: ya no existe un interruptor global de «orígenes desconocidos», sino un permiso que se concede aplicación por aplicación, a la que hace de instaladora. Esto es una mejora de seguridad, y conviene aprovecharla.
- Descarga el archivo con el navegador, desde el dominio que verificaste. Fíjate en el nombre y el peso que anuncia la página; una diferencia grande es señal de que bajaste otra cosa.
- Abre el archivo desde la carpeta de descargas. Android mostrará un aviso porque la fuente no está autorizada todavía.
- Concede el permiso solo al navegador que usaste: Ajustes → Aplicaciones → tu navegador → «Instalar aplicaciones desconocidas». Nada más.
- Lee la pantalla de permisos antes de confirmar. Es la única vez que el sistema te los enseña juntos.
- Retira el permiso en cuanto termine la instalación. Toma diez segundos y cierra la puerta a cualquier descarga futura que intente instalarse sola.
En iOS este procedimiento no existe: Apple no permite instalar paquetes fuera de sus canales autorizados. Cuando una app no está en la tienda de Apple, la única vía es el navegador, y de ahí el consejo que aparece en todos los manuales: guardar el sitio como acceso directo en la pantalla de inicio, lo que produce un icono y un comportamiento muy parecidos a los de una aplicación nativa.
Actualizaciones: el punto que casi ningún tutorial cubre
Aquí está la diferencia real entre instalar desde la tienda e instalar a mano, y no se trata del momento de la instalación sino de los meses siguientes. Google Play actualiza en segundo plano; un APK instalado a mano no se actualiza solo. Los parches de seguridad llegan cuando la propia aplicación avisa y el usuario vuelve a repetir el proceso completo, siempre desde el mismo origen y con la misma firma.
Conviene por tanto apuntar tres cosas al instalar: de qué dominio salió el archivo, qué versión es y en qué fecha. Con eso, la próxima actualización es un trámite de dos minutos; sin eso, seis meses después nadie recuerda de dónde vino la app que tiene permisos concedidos en su teléfono.
Resumen para llevar
Instalar fuera de la tienda es una operación legítima y a veces la única posible. Se vuelve arriesgada por tres motivos, y los tres se controlan: origen no verificado, permiso de instalación dejado abierto y ausencia de actualizaciones. Verifica el dominio, concede el permiso a una sola aplicación y retíralo, y anota la versión.
Y una advertencia final que corresponde al ejemplo usado: cuando la aplicación en cuestión implica dinero real, el acceso está reservado a mayores de 18 años y conviene informarse en fuentes que documenten sus condiciones antes que en las que solo ofrecen el archivo.
