Las mejores alternativas a la Play Store: F-Droid, Aurora Store y más

Si usas Android y te preocupa la seguridad, la privacidad y tu dependencia de Google, tarde o temprano te planteas qué hacer con la Play Store. En móviles con ROMs como GrapheneOS o LineageOS, teléfonos Huawei sin servicios de Google o simplemente en dispositivos donde quieres alargar batería y reducir rastreo, buscar alternativas a la tienda oficial deja de ser un capricho para convertirse en casi una obligación.

El problema es que alrededor de las tiendas alternativas hay muchos mitos, medias verdades y riesgos reales: APKs modificados (riesgo de malware), repositorios que rozan la piratería, permisos excesivos, apps bancarias delicadas, etc. En esta guía vamos a repasar, con todo lujo de detalles, las mejores alternativas a la Play Store (F-Droid, Aurora Store, Aptoide, APKPure, APKMirror, Uptodown, Obtainium…) y cómo encajan en un escenario orientado a la seguridad y la privacidad, incluyendo el caso específico de usar la Play Store en sandbox en GrapheneOS.

Instalar apps en GrapheneOS: ¿Play Store en sandbox o tiendas alternativas?

GrapheneOS se ha convertido en una de las ROMs de referencia para quien prioriza seguridad y endurecimiento del sistema, pero en el día a día seguimos necesitando apps de bancos, redes sociales o mensajería. La gran duda suele ser: ¿mejor usar la Play Store en modo sandbox o depender únicamente de alternativas como F-Droid o Aurora Store?

En GrapheneOS, los servicios de Google (Google Play Services, Play Store y el marco de servicios) se instalan como apps de usuario totalmente aisladas, sin privilegios especiales de sistema. Esto significa que no tienen acceso automático a identificadores críticos del dispositivo, ni a datos fuera de su perfil, y sólo pueden ver lo que tú les concedas mediante los permisos estándar de Android.

Si decides instalar la Play Store en este entorno, lo más prudente es utilizar una cuenta desechable que no esté vinculada a tu identidad real, activar una VPN para ocultar tu IP y utilizar almacenamiento con ámbito restringido (scoped storage) para limitar aún más lo que pueden ver las apps. Según la propia documentación de GrapheneOS, con esta configuración se minimizan bastante las posibilidades de identificación directa, aunque nunca es privacidad absoluta.

Para aplicaciones delicadas como las bancarias, desde el punto de vista de seguridad pura suele ser más fiable descargarlas desde la Play Store o desde el repositorio oficial del desarrollador (GitHub, web del banco) que desde tiendas de terceros, ya que se reduce el riesgo de APKs manipulados. El dilema, por tanto, es más de modelo de amenaza y nivel de privacidad que de seguridad técnica.

Un enfoque bastante equilibrado para usuarios de GrapheneOS y ROMs similares es combinar: Play Store en sandbox con cuenta desechable para apps críticas (bancos, servicios muy sensibles) y tiendas alternativas como F-Droid, Aurora o repositorios verificados para el resto de aplicaciones.

Aurora Store: acceder a Google Play sin pasar por Google

Aurora Store se ha convertido en la puerta de entrada más popular al catálogo de Google Play sin necesidad de tener la Play Store instalada ni los Google Play Services. Es, técnicamente, un cliente no oficial y de código abierto que se conecta a la infraestructura de Google y descarga los APKs legítimos directamente de sus servidores.

Esta app es especialmente útil en móviles sin servicios de Google, como muchos Huawei recientes o terminales con ROMs personalizadas. Con Aurora puedes descargar casi cualquier aplicación gratuita de la Play Store (WhatsApp, Instagram, Spotify, apps de bancos, etc.) sin usar tu propia cuenta de Google. En su lugar, emplea cuentas anónimas desechables que actúan como intermediarias, de forma que Google no asocia las descargas con tu identidad real.

Uno de sus puntos fuertes es la capacidad de simular otro dispositivo o región. Si tu móvil aparece como no compatible con una app, Aurora puede hacerse pasar por un modelo como un Pixel reciente y permitirte descargarla igual. Lo mismo con las restricciones geográficas: si una aplicación está disponible en otro país, Aurora suele poder mostrarla y descargarla sin problema, algo especialmente atractivo para quienes quieren probar novedades antes de que lleguen a su región.

Además, Aurora Store se encarga de mantener actualizadas las aplicaciones que tienes instaladas, tanto si las descargaste con ella como si vinieron originalmente de la Play Store. Esto funciona de manera bastante transparente: puedes optar porque Aurora gestione las actualizaciones sin interferir demasiado con el sistema, y si en algún momento vuelves a la Play Store oficial, ambas pueden convivir mientras respetes el tema de las firmas digitales.

Como extra interesante, Aurora muestra información sobre rastreadores y permisos potencialmente agresivos de cada aplicación antes de que la descargues. Esto te permite decidir con más criterio si quieres instalar una app que, por ejemplo, pide acceso a tus contactos, ubicación, almacenamiento completo o lectura de red de manera que parece innecesaria para su función.

A nivel de distribución, Aurora Store está disponible como APK directo y también a través del repositorio de F-Droid. El proyecto mantiene su propio repositorio Git, es abierto y su fichero de instalación es bastante ligero. Aun así, conviene descargarlo siempre desde sus fuentes oficiales (página del proyecto o F-Droid) para evitar clones maliciosos que pudieran hacerse pasar por Aurora.

F-Droid, Neo Store y Droid-ify: el ecosistema libre y privado

Si lo que más te preocupa es deshacerte de todo lo posible que huela a Google y priorizas transparencia, licencia libre y ausencia de rastreadores, entonces el repositorio de referencia en Android es F-Droid. No es sólo una tienda, sino un enorme catálogo de software libre y de código abierto (FOSS), donde todas las apps están sometidas a un proceso de revisión bastante exigente.

En F-Droid no vas a encontrar TikTok, Instagram o el cliente oficial de YouTube, pero a cambio descubrirás un montón de alternativas muy respetuosas con la privacidad. Por ejemplo, NewPipe como cliente de YouTube sin anuncios y con reproducción en segundo plano, Termux como potente emulador de terminal Linux, o K-9 Mail como uno de los gestores de correo más seguros y veteranos del ecosistema Android.

Cada aplicación que entra en F-Droid pasa por una fase de compilación reproducible y revisión, de forma que el repositorio puede garantizar que el APK publicado corresponde con el código fuente anunciado. Además, en las fichas suele indicarse si la app contiene o no rastreadores, bibliotecas de analítica o componentes propietarios, algo muy útil para quienes quieren minimizar cualquier telemetría.

Eso sí, la aplicación oficial de F-Droid como cliente se ha quedado algo anticuada en diseño e interacción. Por eso, muchos usuarios recomiendan usar clientes alternativos como Neo Store o Droid-ify, que se conectan al mismo repositorio pero ofrecen una interfaz mucho más moderna, fluida y agradable, con integración de Material You y opciones de búsqueda y actualización mejoradas.

El flujo ideal para un perfil muy preocupado por la privacidad suele ser usar F-Droid (a través de alguno de estos clientes) para instalar apps esenciales como navegadores privados, gestores de correo, reproductores multimedia sin rastreadores y herramientas de sistema, reservando otras tiendas únicamente para aplicaciones imprescindibles que no existan en FOSS, como algunos servicios de banca o redes sociales específicas.

Aptoide y APKPure: tiendas alternativas generalistas

Más allá de Aurora y F-Droid, existen otras tiendas como Aptoide y APKPure que ofrecen catálogos muy amplios y se han hecho populares especialmente en países donde muchos usuarios no tienen acceso completo a la Play Store. Son opciones a considerar, pero con ciertos matices importantes si te preocupan la seguridad y la procedencia de cada APK.

Aptoide, por ejemplo, destaca por permitir la instalación de apps sin necesidad de crear una cuenta, algo que resulta muy cómodo si no quieres vincular tu identidad a la tienda. Dispone de su propia aplicación para Android y, en esencia, funciona como un gran mercado de aplicaciones donde conviven repositorios oficiales de desarrolladores con otros gestionados por terceros.

Esta arquitectura de «tiendas dentro de la tienda» aporta flexibilidad, pero también exige cierta prudencia al elegir de qué repositorios instalar. Aunque Aptoide ha ido incorporando controles antimalware y sistemas de verificación, el hecho de que cualquiera pueda subir apps a su propio repositorio implica un riesgo mayor que en catálogos más cerrados o con revisiones estrictas como F-Droid o APKMirror.

APKPure, por su parte, es una tienda alternativa centrada en ofrecer APKs de versiones oficiales de aplicaciones populares, con un enfoque bastante similar al de otros repositorios. Su app para Android permite buscar, instalar y actualizar aplicaciones de forma automática. Aun así, al no ser un cliente directo de la infraestructura de Google como Aurora, siempre hay que considerar que actúa como intermediario y confiar en sus sistemas internos de verificación.

A nivel de código, en el pasado se ha comentado que la aplicación de Aptoide estaba liberada bajo licencia de código abierto, lo que genera más confianza, aunque eso no significa necesariamente que todo el ecosistema sea tan transparente como F-Droid. Por eso, conviene mantenerse al día de las noticias de seguridad y revisar periódicamente qué permisos piden estas tiendas y cómo gestionan la privacidad y la recopilación de datos.

En general, si ya cuentas con alternativas como Aurora Store para el catálogo de Google y repositorios verificables como F-Droid, APKMirror o Uptodown, lo más sensato es reservar Aptoide y APKPure para casos puntuales, evaluando siempre la reputación del desarrollador y el origen del APK que quieres descargar.

APKMirror y Uptodown: repositorios de APK seguros

No siempre necesitas una tienda con interfaz completa, recomendaciones y cuentas. En muchas ocasiones lo que buscas es simplemente descargar un APK concreto, recuperar una versión anterior de una app que te funciona mejor o probar una beta de forma controlada. Ahí es donde entran en juego repositorios como APKMirror y Uptodown, que han ganado fama de ser lugares relativamente seguros dentro del mundo de las descargas manuales.

APKMirror se ha convertido casi en la referencia obligada para entusiastas de Android. Su mayor valor está en la verificación de las firmas criptográficas de las aplicaciones: sólo publican un APK si la firma digital coincide con la del desarrollador original (por ejemplo, Google, Samsung, Meta, etc.). Si la firma no cuadra, ese fichero simplemente no se acepta, lo que hace realmente difícil que se cuele malware disfrazado de app legítima.

Además, APKMirror conserva múltiples versiones de cada aplicación, incluyendo betas y builds específicas para diferentes arquitecturas. Esto resulta muy útil cuando una actualización rompe algo en tu móvil y quieres hacer un «rollback» a una versión anterior que te funcionaba bien. Basta con buscar la app, elegir la release adecuada y descargar el APK correspondiente.

Uptodown, por otro lado, es un repositorio de origen español que ha crecido muchísimo y ofrece tanto descarga web de APKs como una app propia que actúa como tienda, gestionando actualizaciones y notificaciones. Una de sus características destacadas es que someten todos los archivos que alojan a análisis con múltiples motores antivirus (a través de servicios tipo VirusTotal), proporcionando un extra de tranquilidad frente a posibles amenazas.

Usar estos repositorios es especialmente recomendable cuando el desarrollador de una app no ofrece descarga directa en su web o en GitHub, pero tú quieres evitar tiendas generales de terceros. Aun así, seguirás teniendo que gestionar tú mismo la instalación desde orígenes desconocidos y controlar a mano las actualizaciones, salvo que uses la app oficial de Uptodown para automatizar una parte del proceso.

Obtainium y descargas directas desde GitHub y GitLab

En los últimos años ha ganado fuerza una filosofía diferente: en lugar de depender de tiendas o repositorios centralizados, cada vez más usuarios de Android prefieren instalar las apps directamente desde sus fuentes oficiales, normalmente repositorios de código como GitHub o GitLab. Aquí es donde entra en escena Obtainium, una herramienta muy interesante para usuarios avanzados.

Obtainium no es una tienda al uso con servidor propio, sino una especie de gestor inteligente de descargas directas. Su funcionamiento se basa en que tú le facilitas la URL del proyecto en GitHub, GitLab o plataformas similares, y la app se encarga de vigilar periódicamente esa página en busca de nuevas versiones.

Cuando el desarrollador publica un nuevo release, Obtainium detecta el cambio, descarga el APK y te ofrece instalarlo, de forma similar a como lo haría una tienda, pero sin intermediarios ni repositorios adicionales. Es, por tanto, una de las formas más «puras» de mantener actualizadas aplicaciones de código abierto que se distribuyen casi exclusivamente por estos canales.

Este enfoque es especialmente útil para proyectos que no están disponibles en la Play Store ni en F-Droid, como ciertas herramientas de personalización avanzada, módulos para Magisk, proyectos en fase experimental o utilidades muy específicas. También resulta cómodo para quienes quieren control absoluto sobre qué versión instalan y prefieren comprobar por sí mismos el código fuente o los changelogs antes de actualizar.

Eso sí, para aprovechar de verdad Obtainium conviene tener un nivel de usuario algo más alto de lo normal: hay que entender bien de dónde vienen los APKs, qué repositorios son oficiales, y ser consciente de que si el desarrollador comete un fallo o sufre una intrusión, la cadena de distribución directa también se ve afectada.

Permisos, seguridad de las tiendas y riesgo de malware

Al salir de la Play Store, uno de los factores más importantes es aprender a gestionar mejor los permisos de Android y los riesgos de las fuentes desconocidas. Cada tienda o app de repositorio requiere aceptar ciertos permisos sensibles, y conviene saber qué implican realmente y cómo pueden afectar a tu privacidad.

Entre los permisos habituales encontrarás el acceso a la red completa (para crear sockets y comunicarse con distintos servidores), la capacidad para ver conexiones de red y comprobar qué redes están disponibles y conectadas, o la posibilidad de mostrar notificaciones para avisarte de nuevas actualizaciones o problemas.

Muchas de estas aplicaciones también necesitan leer y escribir en el almacenamiento compartido, ya que descargan APKs en carpetas accesibles por el usuario. Esto implica permisos como leer contenido del almacenamiento compartido o editar y eliminar archivos en ese mismo espacio. En algunas versiones de Android, especialmente en fabricantes que no aplican bien el almacenamiento con ámbito restringido, esto puede dar más visibilidad de la que te gustaría a las apps sobre tus documentos y descargas.

Otras capacidades avanzadas incluyen la opción de solicitar instalación y desinstalación de paquetes, consultar todos los paquetes instalados en el sistema o pedir permiso para ignorar optimizaciones de batería y ejecutar servicios en primer plano (por ejemplo, de tipo «dataSync»). Estas funcionalidades son útiles para que la tienda pueda gestionar actualizaciones de fondo y mantener las apps al día, pero también suponen un vector potencial de abuso si la aplicación en sí no es de confianza.

Algunas tiendas y gestores también cuentan con permisos más específicos, como el de impedir que el teléfono entre en modo de suspensión, ejecutarse al inicio del sistema o actualizar otras aplicaciones sin interacción directa del usuario. Incluso es posible que se definan permisos personalizados, como receptores dinámicos no exportados o APIs específicas de servicios auxiliares. Todo ello forma parte del complejo ecosistema de gestión de software en Android, pero refuerza la idea de que sólo deberías otorgar estos permisos a proyectos con una reputación consolidada.

Por último, hay permisos relacionados con credenciales y gestión avanzada del almacenamiento externo, como MANAGE_EXTERNAL_STORAGE o USE_CREDENTIALS, que dan un control muy amplio sobre tu dispositivo. Estos deben ser concedidos con extremo cuidado, especialmente si el desarrollador no es ampliamente conocido o su app no ha sido auditada por la comunidad.

Buenas prácticas al instalar apps fuera de la Play Store

Usar tiendas alternativas puede ser perfectamente seguro si se toman una serie de precauciones básicas. El primer mandamiento es evitar de manera contundente todo lo que huela a apps modificadas o «moddeadas» que prometen funcionalidades de pago gratis, como «Spotify Premium sin coste» o juegos crackeados. Ese es el principal canal de entrada de malware, troyanos bancarios y robo de datos en el ecosistema Android.

En segundo lugar, conviene controlar con lupa el ajuste de «instalar aplicaciones de orígenes desconocidos». Lo recomendable es habilitarlo únicamente para la tienda o navegador que vayas a utilizar en ese momento (Aurora, F-Droid, el propio navegador, Uptodown, etc.) y desactivarlo después de la instalación. De esa forma reduces la ventana de exposición en caso de que otra app maliciosa intente aprovechar el permiso.

Otro aspecto clave es el tema de las firmas digitales. Si instalaste una app desde la Play Store y luego intentas actualizarla con un APK descargado de otra fuente, Android comprobará que la firma coincide. Si no coincide, te dará error de instalación. Eso suele ser un aviso de que el APK procede de otro origen (quizá legítimo pero distinto) o, en el peor de los casos, de que ha sido modificado. Lo ideal es mantener siempre la misma cadena de confianza: si empiezas con Play Store, sigue con Play Store o Aurora (que descarga desde Google); si empiezas con F-Droid, mantente en F-Droid, etc.

Para quienes persiguen niveles altos de privacidad, puede ser útil combinar estas prácticas con el uso de una VPN confiable, bloquear permisos innecesarios mediante el gestor de permisos de Android y aprovechar perfiles o usuarios separados para aislar aplicaciones más intrusivas. En ROMs como GrapheneOS esto se refuerza con un modelo de sandbox muy robusto, pero incluso en Android estándar se pueden obtener mejoras significativas si se configuran bien las opciones.

Finalmente, siempre es buena idea revisar periódicamente qué tiendas y repositorios sigues teniendo instalados, qué permisos conservan activos y si de verdad necesitas que se ejecuten al inicio o permanezcan en segundo plano. Reducir la superficie de ataque y limitar las apps que tienen acceso amplio a tu sistema es una de las formas más efectivas de mantener tu móvil bajo control sin renunciar a la comodidad de las alternativas a la Play Store.

Elegir entre Play Store en sandbox, Aurora Store, F-Droid, Aptoide, APKPure, APKMirror, Uptodown u Obtainium dependerá de tu equilibrio personal entre comodidad, seguridad y privacidad, pero combinando varias de estas herramientas y aplicando las pautas anteriores es posible disfrutar de casi todo el ecosistema Android con mucho menos rastro y sin renunciar a la protección frente a malware y apps poco fiables.