Un APK es el paquete de instalación de una app de Android. Desde agosto de 2021 Google Play distribuye las apps nuevas como Android App Bundle, así que el archivo suelto que circula por webs de descargas suele ser un trozo incompleto: en Android 10 o superior falla al instalar y, cuando entra, activa bloqueos.

Qué es un APK exactamente

APK es el acrónimo de Android Package. Es un contenedor comprimido que guarda el código compilado de la app, sus recursos (iconos, textos, imágenes), el archivo de manifiesto que declara qué permisos pide y una firma criptográfica que identifica a quien lo publicó. Esa firma es la parte importante y la que casi nadie mira.

La comparación clásica es con los archivos .exe de Windows o los .dmg de macOS, y sirve para entender el formato. También sirve para entender el riesgo: nadie instala a ciegas un .exe que le llega por un enlace.

Lo que cambió en 2021 y casi nadie cuenta

La documentación de Android Developers lo dice sin rodeos: a partir de agosto de 2021 las apps nuevas deben publicarse en Google Play con Android App Bundle. El desarrollador ya no sube un APK, sube un paquete de publicación y es Play quien genera y firma los APK definitivos, ajustados a la pantalla, el idioma y la arquitectura de cada dispositivo. La propia documentación los llama APK base y APK de configuración.

De ahí sale la consecuencia que rompe la premisa de casi todos los tutoriales que siguen circulando. Cuando alguien te ofrece «el APK» de una app moderna, te está dando una pieza de un puzle de varias. Android Developers lo describe entre los problemas conocidos: las instalaciones parciales de apps transferidas, es decir, las que no se instalaron mediante Google Play Store y no contienen uno o más de los APK divididos necesarios, fallan en todos los dispositivos certificados por Google y en los que ejecutan Android 10 o versiones posteriores.

Traducido: el error de instalación no es un fallo de tu móvil ni un archivo corrupto. Es el comportamiento esperado.

Por qué Android te pregunta antes de instalar

Hasta Android 7 existía un interruptor único que abría la puerta a cualquier instalación externa. Desde Android 8 el modelo cambió: el permiso REQUEST_INSTALL_PACKAGES se concede a la app concreta que hace de instaladora. La referencia oficial de permisos de Android lo recoge así: las apps dirigidas a niveles de API superiores al 25 necesitan ese permiso para lanzar una instalación.

Ese cambio no es burocracia. Está protegiendo tres cosas concretas:

• Que ninguna app instale otra a tus espaldas. Antes bastaba con que el interruptor global estuviera activo una vez. Ahora la autorización va ligada a quien la pide, así que un juego no hereda el permiso que le diste a otra cosa.
• Que sepas quién está instalando. El aviso identifica la app que origina la instalación, que es el dato que necesitas para decidir si tiene sentido que esa app instale software.
• Que el daño quede acotado. Si una app resulta ser maliciosa, no arrastra consigo permiso de instalación para todo el sistema.

Este mismo mecanismo explica que a veces aparezcan en tu móvil componentes que tú no instalaste y que sí son legítimos, como los que analizamos en qué es Meta App Installer y para qué sirve. La diferencia entre un componente del sistema y un intruso está justo en esa cadena de quién instaló qué.

Lo que llega el 30 de septiembre de 2026

Google ha publicado el calendario de la verificación de desarrolladores de Android y conviene leerlo con la letra pequeña. El primer hito es el 30 de septiembre de 2026 y afecta a Brasil, Indonesia, Singapur y Tailandia, en dispositivos certificados con Android 7 o superior, pero solo para quien instala desde las tiendas participantes, una lista en la que Google incluye a Play, Galaxy Store, HONOR App Market, OPPO App Market, Palm Store, V-Appstore y GetApps. Es en 2027 cuando el despliegue se amplía a todas las apps en dispositivos certificados de todo el mundo. La idea de fondo: la identidad de quien firma una app deja de ser un dato opcional, y eso apunta directamente al archivo anónimo que hoy circula sin dueño.

Play Protect y Play Integrity: por qué tu banco se entera

Aquí está la consecuencia práctica que ningún tutorial de descarga menciona. Tu móvil no solo permite o impide la instalación: también deja rastro, y hay apps que lo leen.

Google Play Protect viene activado de fábrica, analiza el comportamiento de las apps del dispositivo y, según el soporte de Google Play, cuando instalas apps de fuentes desconocidas puede pedirte que envíes esas apps desconocidas a Google para analizarlas. Hay además un sello aparte, la certificación de Play Protect, que se concede al dispositivo y no a la app, y que explica por qué algunos móviles no ven ciertas apps en la tienda.

Play Integrity es la otra mitad. Es una API que cualquier desarrollador puede consultar para saber en qué condiciones se está ejecutando su app, y devuelve veredictos muy explícitos. Vienen repartidos en dos campos que conviene no mezclar: uno valora la integridad de la app (si el paquete y el certificado son los que distribuye Play) y otro la licencia (si esa cuenta de Google obtuvo la app en Play).

La API no bloquea nada por sí sola: informa. Quien decide es cada app, y las de banca, pago, identidad y algunos juegos competitivos llevan años decidiendo que no. Por eso el patrón típico no es «me he infectado», sino «me funciona todo menos la aplicación del banco». Y la solución tampoco es un truco, es haber instalado desde donde el desarrollador publica.

Casos legítimos y su vía oficial

Casi nadie busca un APK por deporte. Detrás hay un problema real, y casi todos tienen una salida que no pasa por descargar un archivo suelto.

Por eso aquí no vas a encontrar el paso a paso para instalar uno, ni la ruta de ajustes ni la lista de webs de descarga que llevan años copiándose entre sí. No es prudencia mal entendida: con lo que hemos visto arriba, ese procedimiento o falla en el propio instalador o termina dejándote una app sin firma reconocible, sin canal de actualización y capaz de tumbarte la del banco. Lo que sí tiene sentido es buscar tu situación en esta tabla.

Ojo con las alternativas que ya no existen

Aquí hay un dato que invalida media docena de listas que siguen publicadas. Amazon dejó de dar soporte a Amazon Appstore en dispositivos Android el 20 de agosto de 2025, según su propio aviso a desarrolladores. Sigue funcionando en Fire TV y en las tablets Fire, pero como tienda alternativa para un móvil Android ya no cuenta. Las que siguen vivas y son canal oficial del fabricante son AppGallery de Huawei y Galaxy Store de Samsung.

Cuando la app no se instala y no es culpa tuya

Si el mensaje que ves habla de incompatibilidad, el problema no está en de dónde viene el archivo. Está en la versión de sistema o en los requisitos que declara la app, y lo desarrollamos en tu dispositivo no es compatible con esta versión. Buscar el mismo paquete en otro sitio no arregla eso y sí añade riesgo.

Qué hacer si ya instalaste un APK de origen dudoso

Si has llegado hasta aquí después de haberlo hecho, esto es lo que importa. Hazlo en este orden.

1. Mira qué permisos tiene concedidos. Los cuatro que más deberían preocuparte son accesibilidad, administración del dispositivo, superposición sobre otras apps y acceso a SMS o notificaciones. Un lector de PDF no necesita ninguno de ellos. Esa combinación es la que permite leer lo que escribes o interceptar códigos de verificación.
2. Pasa un análisis con Play Protect. Está en la propia Play Store y comprueba el dispositivo entero, no solo lo que viene de la tienda. Si te ofrece enviar la app desconocida a Google, acepta: así se analiza también para el resto de usuarios.
3. Desinstálala. No la dejes «por si acaso» ni te quedes solo con desactivarla. Si no te deja desinstalarla con normalidad, es una señal de alarma en sí misma.
4. Cambia las contraseñas desde otro dispositivo. Correo primero, porque es la llave que recupera todo lo demás. Después banca y redes. Revisa las sesiones abiertas y ciérralas todas.
5. Revisa los movimientos de tu banco y las suscripciones activas. El fraude más habitual de este tipo de apps son las altas en servicios de pago que pasan desapercibidas durante meses.
6. Actualiza el sistema. Muchos ataques dependen de fallos ya corregidos, así que ponerte al día cierra la puerta. Te lo contamos en cómo actualizar Android a la última versión.

Si después de todo esto siguen apareciendo anuncios a pantalla completa fuera de las apps, redirecciones del navegador o consumo de datos raro, queda el restablecimiento de fábrica con copia previa solo de tus archivos personales, nunca de las apps.

Preguntas frecuentes

¿Todas las apps de Google Play son APK?

Sí, lo que acaba instalado en tu móvil son APK, pero desde agosto de 2021 el desarrollador de una app nueva ya no los sube: entrega un Android App Bundle y es Google Play quien genera y firma el APK base y los APK de configuración que corresponden a tu dispositivo. El matiz importa, porque la obligación se escribió para las apps nuevas, no para las que ya estaban publicadas en 2021, y por eso todavía queda catálogo antiguo servido como APK único. Aun así, lo que instala la tienda y lo que circula por ahí como un solo archivo no son lo mismo.

¿Es ilegal instalar un APK?

Instalar software fuera de una tienda no es ilegal por sí mismo, y Android lo permite técnicamente. Lo que suele ser ilegal es lo que se distribuye por esa vía: apps de pago repartidas gratis, versiones modificadas o paquetes con el código alterado. Y aunque el archivo sea legítimo, sigues perdiendo la firma verificada, las actualizaciones automáticas y el reconocimiento de Play Integrity.

¿Por qué mi aplicación del banco ha dejado de abrirse?

Porque muchas apps de banca y de pago consultan Play Integrity antes de arrancar. Si la respuesta es UNRECOGNIZED_VERSION, es decir que el certificado o el nombre del paquete no coinciden con los registros de Google Play, o UNLICENSED, que Google asocia a apps transferidas desde una fuente desconocida, la app decide bloquearse. No es un fallo del móvil: es la política de esa aplicación.

¿Puedo abrir un archivo APK en un iPhone?

No. Un APK contiene código compilado para Android y iOS usa otro formato y otro modelo de firma, así que no hay nada que abrir ni que convertir. Si una app existe en las dos plataformas, se descarga en la App Store; si solo existe en Android, no hay equivalente en iPhone.

Quiero una versión antigua de una app, ¿hay alguna forma segura?

Segura, no. Android no instala encima una versión con número inferior a la que ya tienes, así que habría que desinstalar y perder los datos de la app, y la versión antigua se queda sin los parches de seguridad publicados desde entonces. Si el problema es un cambio concreto de la nueva versión, el camino útil es reportarlo al desarrollador y buscar una alternativa que siga mantenida.

¿Qué cambia con la verificación de desarrolladores de Android?

Google ha fijado el 30 de septiembre de 2026 como primer hito, en Brasil, Indonesia, Singapur y Tailandia, sobre dispositivos certificados con Android 7 o superior y solo para las instalaciones que vengan de las tiendas participantes, entre ellas Google Play y Galaxy Store. La ampliación a todas las apps en dispositivos certificados de todo el mundo llega en 2027. La consecuencia es que la identidad del desarrollador deja de ser un dato opcional más allá de Google Play, así que el archivo anónimo que hoy circula sin dueño tiene todavía menos futuro.