Instalar apps desconocidas: qué es y cómo revocar el permiso

«Instalar apps desconocidas» no es un truco ni un ajuste global: es un permiso que Android concede app por app desde la versión 8. Autoriza a una aplicación concreta (tu navegador, tu gestor de archivos) a instalar otras. Concederlo te saca del control previo de Google Play, y se puede revisar y retirar cuando quieras.

Qué es el permiso «Instalar apps desconocidas»

Cuando abres un archivo con extensión .apk y el móvil te corta el paso con un aviso, no te está diciendo que ese archivo sea un virus. Te está diciendo otra cosa mucho más concreta: que la aplicación desde la que lo has abierto no tiene permiso para instalar software en tu teléfono.

Un APK (Android Package) es sencillamente el formato en el que viaja una aplicación de Android, igual que un .exe en Windows. Google Play también instala APK; la diferencia no está en el archivo, está en quién responde por él. Cuando la app llega desde Play, Google ha revisado al desarrollador, ha firmado el paquete y se hace cargo de retirarlo si sale mal. Cuando llega por cualquier otro camino, esa cadena de responsabilidad no existe, y Android te obliga a asumirla tú de forma explícita.

De ahí el nombre del permiso. «Desconocida» no significa «peligrosa»: significa desconocida para Google. Una app perfectamente legítima descargada de la web del propio fabricante entra en esa categoría. Y una app maliciosa también. El sistema no distingue entre ellas, y por eso el permiso no es una formalidad que se despacha pulsando «aceptar».

Por qué Android lo pide app por app desde Android 8

Hasta Android 7 existía un único interruptor llamado «Orígenes desconocidos» en los ajustes de seguridad. Se activaba una vez y quedaba abierto para siempre y para todo el sistema. Era cómodo y era un desastre: bastaba con que una sola app te convenciera de activarlo para que cualquier otra pudiera instalar software después, sin volver a preguntarte.

Android 8.0 (API 26, lanzado en 2017) lo eliminó. En su lugar introdujo un permiso individual, REQUEST_INSTALL_PACKAGES, que cada aplicación tiene que solicitar por su cuenta y que tú concedes o niegas para esa app y solo para esa app. Google lo documenta en sus notas de cambios de Android 8.0 y lo somete además a una política específica en Play Console: una app solo puede pedirlo si instalar paquetes forma parte de su propósito principal.

El cambio importa por una razón práctica que casi nadie explica. Las apps que suelen tener este permiso concedido en un móvil normal son tres: el navegador de Android que usas a diario, la mensajería por la que te llegan archivos y el gestor de archivos. Son, exactamente, las tres vías por las que a alguien le puede llegar un paquete que no esperaba. Concederlo a tu navegador no es lo mismo que concedérselo a una app de linterna que te lo pidió sin motivo.

Qué riesgo asumes de verdad al concederlo

Conviene ser preciso, porque aquí se exagera en las dos direcciones. Instalar una app fuera de Google Play no te infecta el móvil automáticamente. Lo que hace es retirar varias capas de protección a la vez, y el problema es acumulativo.

La fila que más daño hace no es la primera, es la tercera. Una aplicación instalada por fuera se queda congelada en la versión que instalaste. Seis meses después sigue arrastrando fallos de seguridad que la versión oficial ya corrigió, y no hay nada en el móvil que te avise. Es el escenario silencioso, y es mucho más común que el del malware descarado.

El otro riesgo es de comportamiento, no de software: una app con este permiso puede lanzar la instalación de otras aplicaciones. Si alguna vez te has encontrado apps que no recuerdas haber puesto tú, o el móvil se comporta de forma rara con las descargas, esta lista de permisos es el primer sitio donde mirar.

Cómo comprobar y revocar qué apps tienen el permiso

Esta es la parte útil, y probablemente la razón por la que muchos lectores llegan hasta aquí: quieren saber qué han concedido y cómo deshacerlo. Android guarda esa lista completa y la deja consultar en cualquier momento.

La ruta en un Android reciente es Ajustes › Aplicaciones › Acceso especial de aplicaciones › Instalar aplicaciones desconocidas. Ahí verás todas las aplicaciones del teléfono con una etiqueta al lado que dice «Permitido» o «No permitido». Las que estén en «Permitido» pueden instalar software en tu móvil ahora mismo.

Para retirarlo, entra en la app en cuestión y desactiva el interruptor. No pierdes nada al hacerlo: las aplicaciones que ya tenías instaladas siguen funcionando igual, porque el permiso solo afecta a instalaciones futuras. Si alguna app legítima lo necesitase de verdad, volvería a pedírtelo con su aviso correspondiente.

Un par de matices por marca, sin más detalle del necesario. En las capas de Samsung y Xiaomi el menú existe igual, pero puede aparecer bajo nombres como «Permisos especiales» o dentro del apartado de privacidad en lugar de colgar directamente de «Aplicaciones». Si no lo encuentras, el buscador de los propios Ajustes lo localiza escribiendo «desconocidas».

Merece la pena revisar esa lista dos veces al año, y sobre todo después de comprarle el móvil a alguien de segunda mano o de haber dejado que otra persona lo configurase. Es una comprobación de treinta segundos.

Qué es Google Play Protect y qué hace por ti

Play Protect es el sistema de seguridad que Android trae de serie, activado por defecto. Google lo describe como una protección contra malware y software no deseado que revisa las aplicaciones cuando las instalas y analiza el dispositivo de forma periódica.

Lo relevante para este tema: Play Protect también analiza las apps que no vienen de Google Play. Según la documentación de soporte de Google, si instalas aplicaciones de fuentes desconocidas puede pedirte que las envíes a Google para evaluarlas a nivel de código, y con el ajuste «Mejorar la detección de aplicaciones dañinas» ese envío se hace solo. Si el resultado es malo, puede desactivar la app o retirarla del dispositivo.

Ahora la parte que hay que decir con claridad, porque genera falsa tranquilidad. Play Protect es una red de seguridad, no un filtro previo. Cuando actúa sobre una app instalada por fuera, esa app ya está en tu teléfono, ya se ha ejecutado y ya ha pedido sus permisos.

Hay otra cosa llamada certificación Play Protect, que es distinta y se confunde a menudo. No va de tus apps, va de tu teléfono: Google la concede a los dispositivos que han superado su prueba de compatibilidad con Android y que incluyen las aplicaciones de Google con licencia. Si un móvil no la tiene, Google no conserva ningún registro de que haya pasado esa prueba. Se comprueba abriendo Google Play, tocando tu foto de perfil y entrando en Ajustes › Información. Si te sale «Dispositivo no certificado», tienes el detalle de qué significa la certificación Play Protect explicado aparte.

Y sobre los antivirus: pueden aportar capas extra como la detección de phishing o el aviso de enlaces fraudulentos, pero ninguno compensa instalar software de procedencia dudosa. Si te interesa el tema, revisa qué hacen realmente los antivirus para Android antes de instalar uno. Lo que no debes hacer nunca, y el consejo circula mucho, es desactivar el antivirus o ignorar un aviso del sistema para que una instalación salga adelante. Ese aviso es justamente la parte que funciona.

Los canales oficiales que no necesitan este permiso

Buena parte de las búsquedas sobre apps desconocidas nacen de un malentendido: creer que fuera de Google Play no hay nada legítimo. Hay bastante, y ninguno de estos canales te pide tocar permisos especiales.

• Google Play. El canal por defecto en cualquier Android certificado, con revisión previa, actualizaciones automáticas y devoluciones.
• Galaxy Store. La tienda propia de Samsung, preinstalada en sus dispositivos y con su propio proceso de revisión.
• Amazon Appstore. Tienda oficial de Amazon, el canal nativo de los dispositivos Fire.
• Tiendas del fabricante como las de Xiaomi, Huawei u Honor, preinstaladas en sus propios móviles.
• La web del propio desarrollador, cuando esa web es su canal de distribución declarado. Aquí sí interviene el permiso, y es el único caso en que la discusión tiene sentido, siempre que el dominio sea el oficial de la empresa y no una copia.

Cómo se comprueba que una app viene del canal oficial, en la práctica: busca al desarrollador en la ficha de Google Play y contrasta el nombre exacto; comprueba que el sitio web desde el que descargas es el dominio de la empresa, no uno parecido; y desconfía de cualquier página que te ofrezca una versión «modificada», «premium» o «sin anuncios» de una app de pago. Esa última no es una variante de la app oficial, es otra cosa con el mismo icono.

Lo que Google va a cambiar en este terreno

Este permiso está a punto de dejar de ser lo único que separa una app de fuera de Play de tu teléfono. Google ha anunciado un sistema de verificación de desarrollador que obliga a quien distribuye una app a registrar su identidad, publique o no en Google Play.

La documentación oficial del programa fija dos hitos. El 30 de septiembre de 2026 la comprobación empieza a aplicarse en Brasil, Indonesia, Singapur y Tailandia, en dispositivos certificados con Android 7 o posterior, y solo para las apps instaladas desde las tiendas participantes, con Google Play entre ellas. El despliegue al resto del mundo está anunciado para 2027, y ahí sí alcanza a todas las apps de un dispositivo certificado, vengan de donde vengan. Google ha anunciado también una vía para usuarios avanzados, pensada para quien asuma de forma explícita el riesgo de una app de un desarrollador no registrado.

Traducido a lo que te afecta: el anonimato de quien firma un paquete se acaba, y el permiso de apps desconocidas pasa a ser una comprobación entre varias en lugar de la única. Mientras tanto, la lista de Ajustes que has visto más arriba sigue siendo tu herramienta de control.

Preguntas frecuentes

¿Es peligroso dejar el permiso concedido a una app?

No es peligroso por sí mismo, pero es una puerta que queda abierta. Mientras esté concedido, esa aplicación puede lanzar la instalación de otras en cualquier momento sin volver a pedirte autorización general. Si se la concediste para un caso puntual y ya no la necesitas, lo razonable es retirarla desde Ajustes › Aplicaciones › Acceso especial de aplicaciones › Instalar aplicaciones desconocidas.

¿Cómo sé qué aplicaciones tienen ese permiso en mi móvil?

Entra en Ajustes › Aplicaciones › Acceso especial de aplicaciones › Instalar aplicaciones desconocidas. Android muestra la lista completa de apps con la etiqueta «Permitido» o «No permitido» al lado de cada una. En capas como las de Samsung o Xiaomi el apartado puede llamarse «Permisos especiales» o estar dentro del menú de privacidad, y el buscador de los Ajustes lo encuentra escribiendo «desconocidas».

¿Qué es exactamente un archivo APK?

APK significa Android Package y es el formato en el que se empaqueta cualquier aplicación de Android, incluidas las que instalas desde Google Play. La extensión del archivo es .apk. No es un formato sospechoso ni ilegal: lo que cambia la situación no es el archivo, sino de dónde procede y quién responde por él.

¿Play Protect analiza también las apps que no vienen de Google Play?

Sí. Google explica en su documentación de soporte que Play Protect analiza el dispositivo en busca de aplicaciones potencialmente dañinas procedentes de otras fuentes, y que puede pedirte que envíes esas apps desconocidas a Google para evaluarlas. La diferencia es de momento: con una app de Play el análisis ocurre antes de que llegue a ti, y con una de fuera ocurre cuando ya está instalada.

¿Por qué mi móvil me avisa de que una app puede ser dañina?

Porque Play Protect ha analizado el paquete y ha encontrado algo que encaja con patrones de software malicioso o no deseado. Ese aviso no se ignora ni se esquiva desactivando el antivirus: es la última comprobación que te queda cuando la app no ha pasado por ninguna revisión previa. Si aparece, lo sensato es cancelar la instalación y buscar la aplicación en un canal oficial.

¿Descargar una app desde la web del fabricante es seguro?

Cuando esa web es el canal de distribución oficial de la empresa, es una vía legítima y bastante común. Las dos comprobaciones que no puedes saltarte son el dominio (que sea el de la compañía y no una imitación con el nombre cambiado) y las actualizaciones, porque esa app no se actualizará sola y tendrás que estar pendiente tú de las versiones nuevas.

Si quito el permiso, ¿pierdo las apps que instalé con él?

No. Retirar el permiso solo impide instalaciones futuras desde esa aplicación concreta. Todo lo que ya estuviera instalado en el teléfono sigue funcionando exactamente igual, con sus datos y su configuración intactos. Por eso revocarlo es una medida sin coste y conviene hacerlo en cuanto deje de ser necesario.