Android dará un giro clave al sideloading: las aplicaciones solo podrán instalarse en dispositivos certificados si su creador ha verificado su identidad. La medida, que alcanza tanto a instalaciones desde tiendas alternativas como a descargas directas de APK, busca cortar de raíz el anonimato que facilita la distribución de malware y estafas.
Google insiste en que no cierra la puerta a las fuentes alternativas: el sideloading sigue permitido, pero con un requisito previo de identidad. La compañía justifica el cambio con datos internos: hay más de 50 veces más malware procedente de fuentes de Internet que en Google Play, y sus barreras actuales ya evitaron la publicación de 2,3 millones de apps maliciosas en la tienda oficial en 2024.
Qué cambia para el sideloading en Android
El cambio afectará a dispositivos Android certificados (los que cuentan con servicios de Google y Play Protect). En ellos, cualquier app que se intente instalar —también por sideloading— deberá estar registrada por un desarrollador verificado. Quedan fuera builds sin Google, minoritarias fuera de China, donde esta exigencia no aplica.
Google lo describe como un “control de identidad en el aeropuerto”: se confirma quién firma la app, pero no se inspecciona su contenido. Es decir, no es una auditoría de seguridad del código; la verificación persigue la trazabilidad y la responsabilidad para frenar con rapidez a actores reincidentes.
Para quienes distribuyen fuera de la Play Store, Google creará una Android Developer Console específica. Allí se gestionará la verificación y el registro de las aplicaciones (incluyendo nombres de paquete y claves de firma), de modo que el sistema pueda autorizar su instalación en dispositivos certificados.
Los desarrolladores que ya operan en Google Play probablemente cumplan con buena parte de los requisitos, puesto que la Play Console exige verificación desde 2023. La novedad es que estas reglas se extienden a todos los canales de distribución.
Cómo será la verificación y a quién afecta
El proceso pedirá a cada desarrollador nombre legal completo, dirección, correo electrónico y teléfono. En el caso de empresas u organizaciones, se exigirá información adicional, como un identificador único empresarial (p. ej., D-U-N-S) y la verificación de la propiedad del sitio web oficial. Estos datos no serán públicos; solo Google tendrá acceso.
Google habilitará un flujo diferenciado para estudiantes y desarrolladores por afición, adaptado a sus necesidades, con requisitos menos estrictos que los comerciales y sin abonar la tasa de 25 dólares de registro habitual. No obstante, para que sus apps puedan instalarse en dispositivos certificados, deberán pasar por la ruta de verificación correspondiente.
La compañía remarca que la medida no cambia la esencia del ecosistema: Android seguirá siendo abierto y los desarrolladores conservarán la libertad de distribuir sus apps directamente o a través de tiendas de terceros. El cambio es que, a partir de su despliegue, el sistema exigirá identidad verificada del autor en todos los casos.
Calendario oficial del despliegue: en octubre de 2025 se abrirá un early access para iniciar la verificación; en marzo de 2026 el proceso se habilitará para todos los desarrolladores; y en septiembre de 2026 será obligatorio en una primera fase para Brasil, Indonesia, Singapur y Tailandia, mercados especialmente golpeados por el fraude. La expansión se completará a lo largo de 2027 a nivel global.
Además de los datos estadísticos, Google cita apoyos institucionales en los países piloto, como ministerios y asociaciones bancarias que ven la medida como un avance para reducir apps falsas convincentes y delitos financieros. A la vez, en la comunidad técnica hay debate sobre el equilibrio entre seguridad y privacidad de los desarrolladores independientes, que deberán vincular su identidad real a sus proyectos.
Para los usuarios, el efecto práctico será que seguirá siendo posible instalar APK desde la web o tiendas alternativas, pero solo si el creador está verificado. Para los equipos de seguridad, el nuevo requisito añade trazabilidad y dificulta que un mismo actor reaparezca con otra app dañina tras un bloqueo previo.
La foto que queda es la de un Android que refuerza su perímetro sin cerrar puertas: mismo nivel de apertura en la distribución, con un filtro de identidad por delante que promete menos anonimato abusivo y respuesta más rápida ante amenazas, especialmente en el terreno del sideloading.
