Cómo detecta Apple las apps instaladas con sideloading en tu iPhone

Apple ha desarrollado varios mecanismos para identificar y gestionar las apps instaladas mediante sideloading en dispositivos iOS. Entender cómo funcionan estos sistemas de detección te ayuda a tomar mejores decisiones sobre qué métodos de sideloading usar y cómo minimizar las interrupciones en las apps que has instalado. Esta guía explica los mecanismos de detección de Apple en términos sencillos.

El núcleo de la verificación de apps: la firma de código

Toda app en iOS debe estar firmada criptográficamente. La firma demuestra que la app proviene de una entidad específica y que no ha sido manipulada desde que se firmó. Apple actúa como raíz de confianza en este sistema: en última instancia, todas las apps válidas de iOS remontan su certificado de firma hasta Apple.

Cuando tu iPhone abre una app, iOS verifica la firma. Si el certificado no es válido, ha caducado o ha sido revocado, la app no se abrirá. Este es el mecanismo fundamental que usa Apple para controlar qué se ejecuta en iOS.

Tipos de certificados y cómo los supervisa Apple

Certificados de desarrollador

Cualquier Apple ID puede firmar apps para uso personal con Xcode o herramientas similares. Una cuenta gratuita está limitada a 3 apps activas con firmas de 7 días, mientras que una cuenta de pago de Apple Developer (99 $/año) puede registrar hasta 100 dispositivos de cada tipo por año. Estos certificados están vinculados a tu cuenta, y Apple ve los ID de las apps y los dispositivos registrados en ella.

Certificados Enterprise

El Apple Developer Enterprise Program (299 $/año) emite certificados diseñados para la distribución interna de apps corporativas. Son más potentes: permiten la distribución a dispositivos ilimitados dentro de una organización. Cuando se usan para distribuir apps públicamente (como hacen muchos servicios de sideloading), esto incumple los términos del programa enterprise de Apple, y Apple revoca los certificados que detecta que se están usando de forma indebida.

Apple no publica sus criterios, pero algunas señales que indican un uso indebido son:

• Distribución a un gran número de dispositivos sin relación entre sí
• Apps distribuidas al público general en lugar de a empleados
• Una velocidad de instalación alta que no coincide con un despliegue corporativo típico

Cuando Apple detecta un abuso, revoca el certificado, lo que rompe todas las apps firmadas con él en cuanto cada dispositivo comprueba el estado del certificado, incluso en dispositivos donde la app ya estaba instalada. Por eso las revocaciones de certificados ocurren periódicamente con las herramientas de sideloading. Obtén más información sobre cómo solucionar rápido los problemas de revocación de certificados.

Informes del dispositivo y telemetría

Apple recopila datos de diagnóstico y uso de los dispositivos cuando los usuarios han dado su consentimiento (algunos investigadores han cuestionado hasta qué punto se respetan realmente estos ajustes). Esta telemetría podría, en teoría, incluir información sobre instalaciones de apps y fallos, aunque Apple no ha explicado públicamente qué datos relacionados con el sideloading recopila exactamente.

Si esto te preocupa, desactivar el uso compartido de análisis en Ajustes → Privacidad y seguridad → Análisis y mejoras reduce lo que tu dispositivo reporta a Apple.

Notarización de apps y el avance hacia un sideloading gestionado

En la UE, Apple se ha visto obligada, bajo la Ley de Mercados Digitales (DMA), a permitir tiendas de apps de terceros. La implementación de Apple utiliza un sistema de «notarización»: las apps deben seguir enviándose a Apple para una revisión básica que combina comprobaciones automatizadas y revisión humana antes de poder distribuirse a través de mercados alternativos.

Esto significa que Apple mantiene visibilidad sobre las apps distribuidas incluso a través de tiendas de terceros en la UE. Las apps que no han pasado por la notarización no pueden distribuirse a través de los canales oficiales de los mercados alternativos de la UE.

Cómo identifica y revoca certificados Apple

Apple no publica cómo detecta los certificados usados de forma indebida. Los métodos probables incluyen:

Detección automatizada

Es probable que Apple use sistemas automatizados para marcar certificados que muestran volúmenes de distribución inusualmente altos o distribución a dispositivos que no coinciden con los patrones de implementación corporativa.

Reportes de usuarios

Los usuarios pueden reportar aplicaciones a Apple. Si llega una gran cantidad de reportes sobre apps asociadas a un certificado específico, ese certificado atrae mayor escrutinio.

Descargas encubiertas

Es probable que Apple examine las apps instaladas mediante sideloading que se distribuyen públicamente para identificar el abuso de certificados y las infracciones de las políticas.

Acciones legales

En el caso de infractores reincidentes o con violaciones graves, Apple ha cancelado cuentas de desarrollador y revocado sus certificados.

Qué ocurre cuando se revoca tu app

Cuando Apple revoca un certificado del que dependen tus apps instaladas:

• Las apps dejan de abrirse en cuanto tu dispositivo verifica el certificado
• Verás un mensaje de «No se puede verificar la app» o «ya no está disponible»
• Los datos almacenados en el contenedor de la app no se ven afectados mientras no la elimines
• Necesitas volver a instalarla usando un certificado válido para poder usarla de nuevo

Esto es un inconveniente, no una catástrofe. Consulta nuestra guía para solucionar el error «No se puede verificar la app» para ver las soluciones.

Cómo minimizar el impacto de las revocaciones

No puedes evitar por completo las revocaciones, ya que dependen de Apple, pero sí puedes minimizar su impacto:

• Usa herramientas de sideloading que renueven los certificados rápidamente cuando ocurren revocaciones
• Mantén actualizada la propia app de sideloading: las actualizaciones suelen venir con certificados nuevos
• Haz copias de seguridad de los datos de las apps que uses con frecuencia
• Usa métodos de firma menos expuestos a revocaciones masivas (las cuentas de desarrollador individuales afectan a menos usuarios)

El panorama general

Los sistemas de detección y revocación de Apple no son infalibles, pero las revocaciones seguirán ocurriendo con herramientas firmadas con certificados empresariales como Scarlet iOS, y lo que dura cada caída varía. Si eso es un precio razonable a cambio de acceder a apps fuera de la App Store, lo decides tú.

Las comunidades de sideloading suelen ser el primer lugar donde se reporta una revocación, así que vale la pena revisarlas cuando las apps dejan de abrirse de repente. Nuestras guías de Scarlet iOS cubren las soluciones habituales.