Google implementa "Flujo Avanzado" para instalación de APKs no verificadas: equilibrio entre libertad del usuario y seguridad
El gigante de Mountain View introduce un nuevo protocolo de desactivación de protecciones tras resolver su conflicto antimonopolio con Epic Games
Google ha anunciado una actualización significativa en su arquitectura de seguridad de Android. La compañía está desplegando una nueva configuración denominada "Flujo Avanzado" (Advanced Flow) que permite a usuarios técnicos desactivar el requisito de verificación de desarrolladores para aplicaciones instaladas fuera de la Play Store.
Contexto: Del conflicto legal a la apertura controlada
Esta medida llega semanas después de que Google resolviera su prolongado litigio antimonopolio con Epic Games. Como parte de las consecuencias derivadas del acuerdo, la empresa ya había anunciado una reducción en las comisiones de la Play Store —del 30% al 20% para compras in-app, con un 5% adicional para quienes mantengan el billing de Google—, pero ahora va un paso más allá modificando las políticas de sideloading.
Cómo funciona el Flujo Avanzado
El nuevo protocolo implementa una serie de barreras de fricción intencionales diseñadas para diferenciar entre usuarios conscientes y víctimas potenciales de ingeniería social:
- Activación del Modo Desarrollador: El punto de entrada requiere habilitar opciones de desarrollo en Ajustes del Sistema, un paso que elimina activaciones accidentales o manipulaciones de un solo toque por parte de actores maliciosos.
- Verificación de coerción: El sistema ejecuta una comprobación de seguridad para detectar si el usuario está siendo guiado remotamente por un tercero.
- Ciclo de reinicio y reautenticación: El dispositivo debe reiniciarse y el usuario debe volver a autenticarse, interrumpiendo cualquier sesión de acceso remoto o llamada telefónica activa que un actor malicioso pudiera estar monitoreando.
- Periodo de reflexión de 24 horas: Una barrera temporal que aprovecha el principio de que los estafadores dependen de la urgencia artificial. Este cooldown permite al usuario evaluar si realmente desea proceder.
- Confirmación biométrica: Tras el periodo de espera, el cambio requiere autenticación mediante huella dactilar, reconocimiento facial o PIN.
Opciones de configuración post-activación
Una vez completado el proceso, los usuarios pueden optar entre dos modos de operación:
- Ventana temporal de 7 días: Ideal para pruebas o instalaciones puntuales
- Desactivación indefinida: Para usuarios avanzados que gestionan su propio riesgo de seguridad
Es importante señalar que, incluso con estas protecciones desactivadas, Android continuará mostrando advertencias de desarrollador no verificado, aunque con la posibilidad de omitirlas con un solo toque.
Alternativa para desarrolladores independientes
Paralelamente, Google ha introducido cuentas de distribución gratuitas y limitadas, dirigidas a estudiantes y desarrolladores aficionados. Esta modalidad permite distribuir aplicaciones a un máximo de 20 usuarios sin requerir verificación de identidad oficial ni pago de cuotas de registro —una solución intermedia entre el modelo abierto y el ecosistema cerrado.
Análisis de impacto
La implementación del Flujo Avanzado representa un caso de estudio interesante en arquitectura de seguridad usable (usable security). Google intenta resolver la tensión inherente entre:
- Seguridad por defecto (security by default) para usuarios generales
- Libertad técnica para usuarios avanzados y power users
Según datos de la Global Anti-Scam Alliance (GASA) citados por Google, el 57% de los adultos a nivel mundial fueron víctimas de algún tipo de estafa durante 2025, lo que justifica la capa adicional de protección basada en fricción (friction-based security).
Veredicto técnico
Para el público técnico de este blog, el Flujo Avanzado es una solución pragmática. No elimina el walled garden de Android, pero crea una puerta trasera legítima con cerradura de combinación. La pregunta que queda en el aire es si estas barreras serán suficiente para usuarios técnicos sin comprometer la seguridad del ecosistema general.
¿Qué opinan? ¿Prefieren la fricción intencional de Google o modelos más permisivos como los de FOSS? Los leo en los comentarios.
¿Te interesa recibir análisis técnicos como este directamente? Suscríbete a nuestra newsletter semanal.