Qué es un archivo APK: significado, contenido y seguridad

¿Qué es un APK? Significado y definición

APK significa Android Package (paquete de Android), el formato de archivo que usa Android para distribuir e instalar aplicaciones. A veces también se explica como Android Package Kit. Android Developers describe el APK como un archivo comprimido con la extensión .apk que contiene lo que una app necesita para funcionar. Cuando alguien habla de descargar APK, casi siempre se refiere a apps que se obtienen fuera de Google Play.

Técnicamente, un archivo APK es un archivo en formato ZIP con una estructura interna fija y una firma digital. Cada uno identifica su app con un nombre de paquete, también llamado ID de aplicación, como com.example.notas, y con un código de versión que sube en cada lanzamiento. Android usa el nombre de paquete y la firma para decidir si un archivo es una app nueva o una actualización de una que usted ya tiene.

Qué hay dentro de un archivo APK: su formato

Si descomprime un APK, encontrará casi siempre las mismas partes:

AndroidManifest.xml: la declaración de la app, con su nombre de paquete, sus componentes, los permisos que pide y el hardware que necesita. Dentro del APK se guarda en un formato binario compilado. La descripción general del manifiesto explica cada elemento.
classes.dex: el código compilado de la app en formato Dalvik Executable (DEX). Las apps grandes agregan classes2.dex, classes3.dex y así sucesivamente.
resources.arsc y res/: recursos compilados, como el diseño de las pantallas, las imágenes y los textos traducidos.
assets/: archivos que la app lee tal como están, como fuentes, datos o páginas web.
lib/: bibliotecas nativas compiladas para tipos de procesador específicos, en carpetas como lib/arm64-v8a/, según la documentación del NDK de Android.
META-INF/ y el bloque de firma: los archivos de la firma original, de estilo JAR, están en META-INF. Los esquemas de firma más recientes guardan la firma en un bloque de firma que protege todo el archivo, como explica el Proyecto de Código Abierto de Android.

Un programa para archivos comprimidos abre un APK, pero no decodifica el manifiesto. El Analizador de APK de Android Studio sí lo hace.

APK frente a Android App Bundle (AAB) y APK divididos

Un Android App Bundle, con la extensión .aab, es un formato de publicación, no de instalación: no se puede instalar directamente en un teléfono. Los desarrolladores suben el paquete y Google Play genera con él APK optimizados para cada configuración de dispositivo. Desde agosto de 2021, Google Play exige ese formato a las apps nuevas, según la documentación de Android App Bundle.

El resultado son los APK divididos (split APK): un APK base más APK de configuración para la densidad de pantalla, el tipo de procesador y el idioma, que se instalan juntos. Eso tiene efectos prácticos:

Una app de su teléfono puede estar formada por varios archivos APK, así que copiar solo el archivo base a otro dispositivo muchas veces falla.
Algunos sitios de descarga reempaquetan los APK divididos en formatos propios, como .xapk, que necesitan otra app para instalarse. Es un programa más y una fuente más en la que tiene que confiar.

De dónde vienen los archivos APK: Google Play e instalación manual

La mayoría de las personas nunca maneja un archivo APK. Google Play descarga e instala en segundo plano los APK divididos que corresponden, y las tiendas de los fabricantes funcionan de forma parecida. Instalar una app desde cualquier otro lugar se llama instalación manual o sideloading.

Sitios de desarrolladores: algunas empresas ofrecen una descarga directa, a menudo con una suma de verificación publicada.
Otras tiendas de apps: cada una fija sus propias reglas de revisión.
Teléfonos del trabajo: los empleadores pueden instalar apps internas mediante la administración de dispositivos.
Enlaces y adjuntos: los APK que llegan por mensaje de texto, chat, correo o un anuncio emergente son una vía común para meter malware en un teléfono. Trate como peligroso cualquier APK que no esperaba.

Google también anunció la verificación de desarrolladores para apps instaladas en dispositivos Android certificados, que empieza en algunos países a fines de 2026 y se ampliará después. Consulte esa página para saber dónde aplica y qué significa para las apps instaladas manualmente.

Cómo saber si un archivo APK es seguro antes de instalarlo

Ninguna revisión por sí sola demuestra que un APK sea seguro. Siga estos pasos en orden y deténgase en el primero que falle:

Origen. Descargue el archivo del sitio oficial del desarrollador o de una tienda de confianza, escribiendo usted mismo la dirección. Evite las copias modificadas o pirateadas de apps de pago: son una forma clásica de esconder malware.
Nombre de paquete y versión. Compare el nombre de paquete con el oficial. En una ficha de Google Play aparece después de id= en la dirección web. Un nombre parecido pero distinto, o una versión que el desarrollador nunca publicó, es una señal de alerta.
Suma de verificación. Si el desarrollador publica un hash SHA-256, compárelo con su copia. En Windows, Get-FileHash usa SHA-256 de forma predeterminada; en Linux o macOS, use sha256sum o shasum -a 256.
Continuidad del certificado de firma. Ejecute apksigner verify --print-certs app.apk, una herramienta del SDK de Android, y compare el resumen del certificado con el de una versión anterior o con la huella digital que publica el desarrollador. Por lo general, Android solo acepta una actualización firmada con la misma clave, o con una clave nueva que el desarrollador rotó mediante un proceso admitido, así que un firmante distinto necesita una explicación. Las copias de Google Play pueden estar firmadas con una clave que administra Google, por lo que pueden diferir de la descarga directa del desarrollador.
Permisos frente a propósito. Una app de linterna no tiene por qué leer mensajes de texto, usar servicios de accesibilidad, leer sus notificaciones ni convertirse en administradora del dispositivo. Nuestra guía para leer permisos y hallazgos de un APK Android entra en más detalle.
Google Play Protect. Manténgalo activado. Play Protect revisa las apps al instalarlas, incluidas las que vienen de fuera de Google Play, y puede advertirle, desactivar o quitar las dañinas. Que no avise no es una garantía.
Análisis. Un escaneo de malware detecta amenazas conocidas, y un analizador estático como ASL X-Ray muestra lo que la app parece capaz de hacer. Ninguno de los dos puede demostrar que una app sea segura.

Cómo instalar un archivo APK en Android con seguridad

En Android 8.0 y versiones posteriores, el permiso para instalar apps de fuera de la tienda se concede app por app, con un ajuste llamado Instalar apps desconocidas. Los nombres de los menús cambian según el fabricante del teléfono.

Descargue el APK y haga las revisiones anteriores antes de abrirlo.
Abra el archivo desde la app de archivos o desde las descargas del navegador.
Cuando Android lo pida, dé el permiso solo a esa app, por ejemplo Archivos o Chrome. No se lo dé a apps de mensajería ni de redes sociales.
Regrese, toque Instalar y lea los permisos que pide la app la primera vez que la use. Niegue lo que esa función no necesite.
Después, quite el permiso: abra Configuración, luego Apps, luego Acceso especial de apps, luego Instalar apps desconocidas, y desactive la app que usó.
Borre el APK de sus descargas para no reinstalarlo por error.

En Android 7.1 y versiones anteriores, un solo interruptor, Orígenes desconocidos, en Configuración, luego Seguridad, cumple la misma función; desactívelo al terminar. Instalar un archivo APK en el propio teléfono no requiere la depuración USB.

Cómo quitar una app que instaló desde un APK

Las apps instaladas manualmente se desinstalan como cualquier otra: abra Configuración, luego Apps, elija la app y toque Desinstalar, o mantenga presionado su ícono y elija Desinstalar. La Ayuda de Android también explica cómo quitar apps desde Play Store.

El botón Desinstalar aparece en gris: la app puede ser administradora del dispositivo. Busque la lista de apps de administración del dispositivo en los ajustes de seguridad, desactive ahí la app y luego desinstálela.
La app se vuelve a abrir o esconde su ícono: reinicie en modo seguro, que en la mayoría de los teléfonos pausa las apps descargadas, y desinstálela desde ahí.
Después: revise Accesibilidad y Acceso a notificaciones por si quedaron entradas, revise Google Play Protect en Play Store y cambie las contraseñas de las cuentas que usó mientras la app sospechosa estaba instalada, empezando por el correo.

Dónde encaja ASL X-Ray

ASL X-Ray es un analizador de APK para revisar lo que una app Android puede hacer antes de instalarla. Lee el archivo de la app sin instalarlo, abrirlo ni emularlo. Su informe explica lo que la app parece capaz de hacer, por qué se marcó cada comportamiento, en qué parte del archivo está la evidencia y cuánto de la app se pudo leer realmente. Diez de sus 48 reglas unen hallazgos separados en patrones con nombre, como una app que dibuja sobre otras ventanas mientras lee su contenido.

Cada informe indica cuánto de la app pudo leer y aclara que el análisis estático no puede demostrar que una app sea segura. Las bibliotecas nativas compiladas se cuentan, pero su código máquina no se lee, y el código ofuscado, el contenido cifrado y el código que se descarga después de instalar quedan fuera de su alcance, así que una puntuación baja no equivale a un visto bueno.

La app para teléfono, ASL X-Ray Lite, revisa una app en el propio dispositivo y no declara ningún permiso de la plataforma, ni siquiera el de acceso a internet. Conozca cómo funciona ASL X-Ray.

Preguntas frecuentes

¿Qué significa APK?

APK significa Android Package (paquete de Android), el formato de archivo que usa Android para instalar apps. El archivo termina en .apk y es un archivo ZIP firmado que contiene el manifiesto, el código, los recursos y, si las hay, las bibliotecas nativas de la app.

¿Los archivos APK son seguros?

El formato en sí no es ni seguro ni peligroso. Un APK es tan confiable como su origen y su firmante. Un archivo del desarrollador o de una tienda de confianza, con un certificado de firma que coincide y permisos razonables, es mucho menos riesgoso que uno que llega por mensaje o que ofrece una copia pirateada de una app de pago.

¿Cuál es la diferencia entre un APK y un AAB?

El APK es lo que instala el teléfono. El Android App Bundle (AAB) es lo que los desarrolladores suben a Google Play, que lo convierte en APK divididos y optimizados para cada dispositivo. Un AAB no se puede instalar directamente.

¿Por qué no se instala mi archivo APK?

Causas comunes: ya hay una app instalada con el mismo nombre de paquete pero firmada con otra clave, el APK no es compatible con su versión de Android o su procesador, es solo una parte de un conjunto de APK divididos, Play Protect lo bloqueó o una política del trabajo prohíbe la instalación manual.

¿Puedo abrir un archivo APK en una computadora con Windows?

Puede ver su contenido con un programa para archivos comprimidos o con el Analizador de APK de Android Studio, y revisar ahí su hash y su firma. Para ejecutarlo hace falta un dispositivo o un emulador de Android.

¿Dónde quedan los APK descargados en Android?

Normalmente en la carpeta Descargas, que puede abrir con el administrador de archivos del teléfono, que suele llamarse Archivos o Mis archivos. Borre el APK después de instalar; la app instalada ya no lo necesita.

Guías relacionadas

Conozca el producto completo

Consulte funciones, acceso actual y límites

¿Qué es un archivo APK? Significado, contenido y cómo revisarlo