Seguridad de los certificados empresariales: lo que necesitas saber
Los certificados empresariales son la forma en que la mayoría de los servicios de sideloading en el dispositivo, incluido Scarlet iOS, instalan apps en un iPhone sin necesidad de un ordenador. Son una tecnología real de Apple, pero la forma en que los servicios de sideloading los usan no es la que Apple tenía pensada, y eso explica tanto la comodidad como los riesgos. Esta guía cubre qué es un certificado empresarial, qué permite realmente confiar en uno, los riesgos reales y cómo mantenerte a salvo. Última revisión: 27 de octubre de 2026, contrastada con las páginas oficiales del programa y de soporte de Apple.
¿Qué es un certificado empresarial?
Apple emite certificados empresariales a través del Apple Developer Enterprise Program, que cuesta 299 dólares estadounidenses al año. Según Apple, solo pueden inscribirse organizaciones que sean una entidad legal con 100 empleados o más, deben pasar una entrevista de verificación y una evaluación continua, y solo pueden usar el programa para apps propias de uso interno distribuidas de forma privada entre sus propios empleados. Piensa en una app de inventario de almacén o en una herramienta clínica interna de un hospital.
En comparación con una app de la App Store o un certificado de desarrollador personal, un certificado empresarial:
- puede firmar apps para cualquier número de dispositivos, sin necesidad de registrar los dispositivos
- se salta por completo la revisión de la App Store
- requiere que el usuario confíe en el desarrollador una vez en Ajustes antes de que sus apps se abran
- no necesita el Modo Desarrollador, que iOS 16 y versiones posteriores exigen para las apps firmadas con un certificado personal (de desarrollo)
Cómo usan los servicios de sideloading los certificados empresariales
Un servicio de sideloading firma las apps de su biblioteca con un certificado empresarial y permite que cualquiera las instale. Eso incumple las normas del programa de Apple, que limitan la distribución a los empleados de la organización. En 2019, Reuters informó de que servicios como TutuApp, Panda Helper, AppValley y TweakBox usaban certificados empresariales de esta manera, y Apple le dijo a Reuters que «los desarrolladores que abusan de nuestros certificados empresariales incumplen el Acuerdo del Programa de Desarrollador Empresarial de Apple y se les revocarán sus certificados».
Apple aplica esto a todo el mundo. En enero de 2019 revocó los certificados empresariales de Facebook y Google después de que ambos los usaran para distribuir al público apps de investigación que recopilaban datos, lo que también afectó a sus apps internas para empleados.
Por eso las apps instaladas con sideloading a veces dejan de abrirse todas a la vez: Apple detectó el certificado en uso público y lo revocó. Nuestra guía sobre qué hacer cuando se revoca el certificado de Scarlet explica cómo solucionarlo.
Algo que la mayoría de las guías explican mal: el nombre del desarrollador que ves en Ajustes normalmente no es el del servicio de sideloading. Es la empresa a la que se emitió el certificado, que a menudo no tiene relación con el servicio y, a veces, es una empresa de otro país. Por eso, que aparezca el nombre de una empresa real no significa que el servicio sea de confianza, y que el nombre te resulte desconocido tampoco significa por sí solo que la app sea maliciosa.
Qué significa realmente confiar en un certificado
La primera vez que abres una app firmada con un certificado empresarial, iOS la bloquea hasta que confíes en el desarrollador. Los pasos de Apple son:
- Abre Ajustes > General > VPN y gestión de dispositivos.
- En Apps de empresa, toca el nombre del desarrollador.
- Toca Confiar en «nombre del desarrollador» (en iOS 18 y versiones posteriores el botón puede decir Permitir y reiniciar) y confirma.
Para este paso necesitas conexión a internet: iOS comprueba el certificado con Apple (la página de soporte de Apple menciona ppq.apple.com) y muestra «No verificado» si no puede hacerlo. iOS también vuelve a comprobar el certificado de vez en cuando, que es como una revocación llega a tu iPhone.
Confiar se aplica al desarrollador, no a una sola app: ahora puede abrirse cualquier app firmada con ese certificado. Lo que confiar no hace:
- no le da a la app acceso a los datos de otras apps; las apps empresariales se ejecutan en el mismo sandbox que las apps de App Store
- no concede permisos; la app sigue teniendo que pedirte acceso a tu ubicación, fotos, cámara, contactos, etc.
- no instala un perfil ni cambia los ajustes del dispositivo
Así que el paso de confiar en sí no es el principal peligro. El peligro está en lo que instalas con él.
Los riesgos reales
- Apps modificadas: la mayoría de las apps firmadas de esta manera son copias modificadas de apps reales. Nadie en Apple las ha revisado, así que una compilación alterada puede capturar lo que escribes en ella, incluidos tus inicios de sesión. Nunca inicies sesión con tu Apple ID principal, tu correo o tu banco dentro de una de ellas.
- Bloqueos de cuenta: servicios como Snapchat y muchos juegos online detectan clientes modificados y pueden bloquear o banear la cuenta.
- Revocaciones: cuando se revoca el certificado, todas las apps firmadas con él dejan de abrirse hasta que el servicio las vuelva a firmar. Mantén una copia de seguridad de los datos que te importan fuera de esas apps.
- Perfiles de configuración: algunos servicios también te piden instalar un perfil de configuración. Eso es algo distinto y más potente que confiar en un certificado: un perfil puede añadir una VPN, un certificado raíz que permita a alguien leer tu tráfico cifrado, o gestión del dispositivo. Comprueba qué contiene un perfil antes de instalarlo, y no instales ninguno que añada un certificado raíz o gestión del dispositivo a menos que sepas exactamente por qué.
- Trucos con DNS: algunas guías te dicen que bloquees las comprobaciones de certificados de Apple con un perfil DNS para que las apps revocadas sigan funcionando. Eso también bloquea una protección que iOS usa para ti, y las apps dejan de funcionar en cuanto falla la configuración DNS, así que no lo recomendamos.
Cómo valorar un certificado y el servicio que hay detrás
Fíjate en el servicio, no en el nombre del certificado
Como se explica más arriba, el nombre que aparece en Ajustes suele pertenecer a un tercero. Lo que importa es el servicio que te dio la app: cuánto tiempo lleva existiendo, si tiene una comunidad activa que reporte problemas, y si es transparente sobre lo que firma.
Comprueba de dónde vienen las apps
Un servicio que solo firma una biblioteca seleccionada o apps de repos conocidos supone un riesgo menor que uno que firma lo que sea que alguien suba. Nuestra lista de las mejores bibliotecas y repositorios de IPA para 2026 incluye una nota de seguridad para cada fuente.
Presta atención a las señales de alerta
- presión para confiar en algo o instalarlo de inmediato
- una solicitud de tu contraseña de Apple ID o datos de pago solo para instalar apps
- un perfil de configuración con un certificado raíz o gestión de dispositivos, cuando solo esperabas una app
- apps que se comportan de forma extraña después de instalarlas: consumo excesivo de batería, actividad de red inesperada o apps que no instalaste
Cómo quitar la confianza
Para dejar de confiar en un desarrollador, sigue los pasos de Apple:
- Abre Ajustes > General > VPN y gestión de dispositivos.
- En Apps de empresa, toca el nombre del desarrollador.
- Toca Eliminar app. Esto elimina todas las apps de ese desarrollador, y el desarrollador deja de ser de confianza en el dispositivo.
Si además instalaste un perfil de configuración, elimínalo en el mismo menú, en Perfil de configuración.
Comparativa con otros métodos de firma
| Método | Propietario del certificado | Duración de las apps |
|---|---|---|
| Empresa (Scarlet iOS y similares) | Una organización, compartida por muchos usuarios | Hasta que Apple lo revoque |
| Apple ID gratuita (AltStore, SideStore, Sideloadly) | Tú | 7 días, 3 apps activas |
| Cuenta de desarrollador de pago (Feather, KSign, herramientas de ordenador) | Tú | Hasta 1 año |
| App Store o mercados de la UE | El desarrollador, revisado por Apple | Sin límite |
Con tu propio certificado, el uso que hagan otras personas no puede provocar su revocación; el coste es la configuración (un ordenador o una cuenta de desarrollador de 99 dólares estadounidenses al año). Con un certificado de empresa compartido tienes la configuración más fácil, pero aceptas el riesgo de revocaciones. Para comparar la opción de usar tu propio certificado, consulta Feather vs Scarlet iOS, y para todas las herramientas gratuitas, comparativa de herramientas de sideloading gratuitas.
Preguntas frecuentes
¿Es peligroso confiar en un certificado de empresa?
El paso de confiar por sí solo no le da a una app acceso adicional; las apps siguen aisladas (sandboxed) y deben solicitar permisos. El riesgo está en las apps que instales con él, y en cualquier perfil de configuración que un servicio te pida.
¿Por qué el certificado muestra una empresa de la que nunca he oído hablar?
Los servicios de sideloading usan certificados emitidos a otras organizaciones. El nombre te indica de quién es el certificado, no quién gestiona el servicio.
¿Apple me castigará por usar una app firmada con certificado empresarial?
Apple actúa contra el certificado, no contra el usuario: cuando lo revoca, las apps dejan de abrirse. Servicios independientes (redes sociales, juegos) sí pueden banear cuentas que usen clientes modificados.
¿Puedo usar apps firmadas con certificado empresarial sin internet?
La primera vez que confías en el certificado necesitas conexión a internet, porque iOS lo verifica con Apple. Después, las apps se abren sin conexión hasta que iOS vuelve a comprobar el certificado.
En resumen
Un certificado empresarial es una tecnología legítima de Apple que los servicios de sideloading usan fuera de las reglas de Apple. Por eso es fácil (sin ordenador y con un certificado compartido en lugar de tu Apple ID) y por eso es frágil (las revocaciones). Confiar en uno no es el riesgo principal; lo son las apps modificadas, los baneos de cuenta y los perfiles de configuración. Usa fuentes conocidas, mantén tus cuentas principales fuera de las apps modificadas, y lee is iOS sideloading safe y nuestra guía sobre cómo proteger tu privacidad usando tiendas de apps de terceros para el resto. Si quieres el inicio más sencillo, puedes conseguir Scarlet iOS desde nuestra página de instalación.