Google ya exige desarrollador verificado en Android: por qué también le toca a tu app interna aunque nunca pasó por Play Store

El 30 de septiembre de 2026 Google empezó a bloquear, en dispositivos Android certificados de Brasil, Indonesia, Singapur y Tailandia, la instalación normal de cualquier app cuyo desarrollador no esté verificado ante Google. México no está en esa primera ola. Pero la regla que arrancó ese día no es sobre Play Store: es sobre quién puede poner una app en un teléfono Android, venga de donde venga, y esa parte sí va a llegar.

Qué cambió exactamente el 30 de septiembre

La verificación de desarrolladores de Android vincula cada aplicación con una identidad real: nombre legal, dirección, dirección de correo electrónico verificada, identificación oficial emitida por un gobierno y un teléfono verificado ante Google, según la guía oficial de Android Developer Verification. No es una revisión del contenido de la app, es una revisión de quién la publica. El registro tiene un cargo único de 25 dólares estadounidenses y exige además evidencia de la clave privada con la que se firma el paquete, de acuerdo con el reporte de The Hacker News sobre el plazo del 30 de septiembre.

Desde esa fecha, en los cuatro países de la primera ola, los dispositivos certificados bloquean la instalación normal de apps de desarrolladores no verificados, sin importar si vienen de Google Play o de las tiendas de Samsung, Xiaomi, OPPO, vivo, Honor o Transsion que ya participan en el esquema. Google justifica el arranque en esos cuatro mercados por niveles de malware vía APK desproporcionadamente altos, según el mismo reporte.

México entra en la fase de expansión global que Google confirmó para 2027, de acuerdo con el análisis de Maya Comunicación sobre el alcance real de la medida en México. Eso no significa que el 30 de septiembre haya bloqueado algo aquí: significa que el reloj para registrarse como desarrollador verificado ya corre, porque el registro de identidad no es instantáneo.

El punto que el titular no dice: también cubre el sideloading

La confusión más común es pensar que esto es "sube tu app a Play Store y ya". No es así. La regla cubre explícitamente la distribución fuera de tienda, el sideloading: instalar un APK directamente en un dispositivo sin pasar por ninguna tienda de aplicaciones. Esa es exactamente la forma en que muchas empresas distribuyen sus apps internas o de campo, las que usan auditores, personal de logística o cajas de punto de venta, apps que nunca estuvieron pensadas para publicarse en ningún lado porque sólo las usa el propio personal.

Aquí hay un matiz que vale la pena revisar con cuidado antes de alarmarse de más. Según la página de soporte de Android Enterprise sobre verificación de desarrolladores para apps privadas, las apps privadas distribuidas únicamente a dispositivos inscritos en una solución EMM o MDM, en modalidad completamente administrada o como perfil de trabajo de Android Enterprise, quedan exentas del registro de desarrollador verificado. El filtro no es "¿la app sale de una tienda?", es "¿el dispositivo está administrado formalmente?".

El problema es que buena parte de las apps internas no corren sobre un EMM o MDM real. Corren sobre un dispositivo que alguien configuró a mano, le instaló el APK y se lo entregó al empleado. Ese escenario sí cae bajo la obligación de registro, y en los países de la primera ola ya se bloquea; en el resto, incluido México, queda pendiente para cuando llegue la expansión de 2027.

Lo que sí está confirmado y lo que no

• Fecha de arranque de la primera ola: 30 de septiembre de 2026, en Brasil, Indonesia, Singapur y Tailandia, según el reporte de Android Authority sobre el primer despliegue de las reglas.
• Costo del registro estándar: cargo único de 25 dólares estadounidenses más la creación de un perfil de pago de Google, de acuerdo con el reporte de The Hacker News citado arriba. Google no ha publicado un costo distinto para cuentas empresariales con múltiples apps.
• Expansión global: Google confirmó que la obligación se extiende a dispositivos Android certificados a nivel global durante 2027, sin fecha exacta por país todavía publicada.
• Exención para dispositivos administrados: confirmada en la documentación oficial de Android Enterprise citada arriba, aplica sólo si el dispositivo está inscrito en EMM o MDM, no por el simple hecho de ser una app de uso interno.
• Cuenta gratuita para estudiantes y aficionados: existe una modalidad de distribución limitada, hasta 20 dispositivos, sin el cargo de 25 dólares ni verificación de identidad completa, pensada para desarrollo personal, no para operación de empresa.
• Lo que no está confirmado: no hay fecha exacta para México dentro de la expansión 2027, ni monto de multa o sanción específica ligada a este esquema (no es una ley mexicana, es una política de plataforma de Google).

Qué revisar en tu operación, en qué orden

1. Mapea cómo llega hoy cada app interna al dispositivo. Si el proceso es "se instala el APK a mano en un teléfono nuevo", esa app está en el grupo que va a necesitar un desarrollador verificado. Si el dispositivo está inscrito en un EMM o MDM con perfil de trabajo, probablemente ya está exenta, pero confírmalo con quien administra esa plataforma, no lo asumas.
2. Pregunta quién firma el APK hoy. El registro de desarrollador exige evidencia de la clave privada de firma. Si la app la construyó un proveedor externo y nadie en tu empresa tiene esa clave, ese es el primer cuello de botella que hay que resolver, antes de que sea urgente.
3. Decide si conviene formalizar un EMM o MDM en vez de registrar desarrollador. Para flotillas de dispositivos dedicados (los que usan tus auditores o tu personal de reparto), inscribirlos en una gestión empresarial puede ser la ruta más simple: resuelve la exención y de paso da control remoto, borrado y actualización centralizada que el sideloading manual nunca dio.
4. Si tu app también vive en Play Store, el registro de desarrollador en Play Console ya cubre la parte de tienda; lo que falta es registrar ahí mismo los paquetes que distribuyes fuera, según indica la guía oficial de Android Developer Verification.
5. No esperes a que México entre en la ola. El registro de identidad, según reportan varios medios que cubrieron el lanzamiento, no es instantáneo: implica validación de documentos y puede tardar. Empezarlo con meses de margen cuesta lo mismo que empezarlo con una semana, pero evita que una fecha de corte agarre a medias a toda la flotilla.

Dónde esta regla no aplica, o donde la respuesta obvia es la equivocada

Si tu empresa sólo usa apps que ya están en Google Play y las instala la gente desde ahí, no tienes nada nuevo que hacer: tu cuenta de Play Console ya pasa por un proceso de verificación. El problema real está en las apps que nadie piensa como "publicadas" porque viven fuera de cualquier tienda.

Tampoco es correcto asumir que inscribir los dispositivos en un EMM resuelve todo de forma automática y permanente: la exención aplica mientras el dispositivo siga administrado; si un empleado sale de la flotilla gestionada o usa su propio teléfono para la misma app sin enrolarlo, vuelve a caer en la obligación de desarrollador verificado. Y si tu app de campo depende de colaboradores externos con sus propios dispositivos, no vas a poder meterlos a tu EMM, así que ahí el registro de desarrollador es la única salida.

Esto es justo el tipo de decisión de arquitectura que conviene resolver antes de que el reloj regulatorio apriete, no después: qué apps quedan dentro de una gestión empresarial formal y cuáles necesitan una identidad de desarrollador propia es un problema de plataformas y apps, no de parchar un acuerdo de distribución a último momento. Es el mismo tipo de trabajo que hicimos para una certificadora que llevaba sus auditorías en papel y hoy opera con app en campo: ahí la pregunta de fondo también era cómo llega la app al dispositivo del auditor y quién la controla.

La lógica de este cambio es parecida a la de otros plazos que ya cubrimos aquí, como el registro electrónico de jornada obligatorio desde enero de 2027 o la ventana para nombrar un responsable de ciberseguridad antes de que sea obligatorio: la fecha de corte no es el problema, el problema es descubrir ese día que nadie mapeó cómo se distribuían las apps internas. Si ese inventario no existe todavía en tu empresa, ese es justo el diagnóstico que conviene arrancar ya, antes de que la expansión de 2027 deje de ser una fecha lejana.

Fuentes

• Android Developer Verification Guides, Android Developers (oficial)
• Google Sets Sept. 30 Deadline for Android Developer Verification in Four Countries, The Hacker News
• Android developer verification: el cambio que todavía no bloquea a México, Maya Comunicación
• Android developer verification for private apps, Android Enterprise Help (oficial)
• Android's controversial new developer verification rules are officially here, Android Authority