Mock LocationCómo instalar un APK de forma segura fuera de Google Play
Instalar una aplicación desde un archivo APK es una práctica habitual para programas que no entran en Google Play por las normas de la tienda. El riesgo no está en la forma de instalar, sino en que el archivo es fácil de sustituir por el camino. Veamos cómo se comprueba y por qué la firma de la aplicación importa más de lo que parece.
Descarga el archivo solo desde el sitio web del desarrollador
Los agregadores de APK suelen distribuir archivos recompilados con anuncios integrados o cosas peores. La página oficial de descarga publica el tamaño del archivo, la versión y la suma de comprobación; los agregadores normalmente no tienen esa información.
Comprueba la suma SHA256
La página de descarga indica el hash SHA256 del archivo. Calcúlalo para el APK descargado con cualquier gestor de archivos que tenga esta función y compara las cadenas. Si coinciden, el archivo ha llegado exactamente como se publicó; si no, no lo instales y vuelve a descargarlo.
Permite la instalación desde la fuente
Abre el archivo descargado: Android muestra una advertencia y te ofrece ir a los ajustes. Activa «Permitir desde esta fuente». El permiso se concede a una aplicación de origen concreta (el navegador o el gestor de archivos), no a todo el sistema.
Instala la aplicación
Vuelve atrás y confirma la instalación. Android muestra la advertencia de que una aplicación de origen desconocido puede ser dañina para cualquier APK de fuera de una tienda: no es el resultado de analizar este archivo en concreto.
Retira el permiso si ya no lo necesitas
Después de instalar, puedes desactivar el permiso de instalación desde la fuente en el mismo sitio, en los ajustes de la aplicación de origen. Esto no afecta a las actualizaciones posteriores: una aplicación con autoactualización pedirá el permiso aparte y de forma explícita.
Por qué importa la firma de la aplicación
Cada APK está firmado con la clave del desarrollador. Android comprueba la firma al instalar y no deja instalar un archivo firmado con otra clave encima de la aplicación instalada: el intento termina con un error de actualización incompatible.
Es a la vez una protección y el motivo de una limitación práctica: la compilación de la tienda y la del sitio web están firmadas con claves distintas, así que una no puede sustituir a la otra sin desinstalar la aplicación. Los datos no se pierden si has iniciado sesión: los lugares y el historial vuelven con la sincronización.
Por qué una actualización no borra los datos
Instalar una versión nueva encima de la anterior es una actualización, no una reinstalación: el sistema conserva el almacenamiento de la aplicación. Los lugares locales, el historial, los ajustes y la sesión de tu cuenta se mantienen, y una ubicación simulada activa se restaura automáticamente.
Los datos solo se pierden al desinstalar por completo la aplicación, y solo los locales: todo lo sincronizado con la cuenta se recupera al iniciar sesión.
Qué significa la advertencia de Play Protect
Play Protect puede mostrar una advertencia al instalar cualquier aplicación de fuera de la tienda, incluso una totalmente inofensiva. Es una heurística basada en parte en el hecho de distribuirse fuera de Google Play, no un veredicto sobre un archivo concreto.
Una comprobación con sentido por tu parte es comparar la suma de comprobación con la publicada en la página oficial de descarga: responde a la pregunta de si es el archivo correcto, no a si le gusta a la heurística de la tienda.