Permisos de aplicaciones de Android explicados

Cada aplicación de Android solicita permisos para acceder a partes de su dispositivo, pero las pantallas de solicitud rara vez explican qué permiten realmente esos permisos hacer una aplicación. El siguiente resumen cubre todos los permisos principales de Android, señala los pocos que realmente afectan su privacidad y le brinda algunas reglas simples para decidir qué permitir.

¿Qué son los permisos de Android?

Los permisos de Android son un mecanismo de seguridad que controla a qué puede acceder una aplicación en su dispositivo. Cuando instala o ejecuta una aplicación, es posible que solicite acceso a varias funciones de hardware (cámara, micrófono) o datos (contactos, ubicación). Comprender estos permisos es crucial para mantener su privacidad y seguridad.

Categorías de permisos

Android divide los permisos en dos categorías principales:

Permisos normales (concedidos automáticamente)

Estos permisos no suponen un riesgo significativo para la privacidad del usuario y se conceden automáticamente:

• INTERNET: Acceso a Internet, casi todas las aplicaciones lo necesitan.
• VIBRAR: Controla el motor de vibración del dispositivo.
• ESTABLECER_FONDO DE PANTALLA: Cambiar el fondo de pantalla del dispositivo
• DESPERTAR_BLOQUEO: Evita que el dispositivo entre en suspensión
• ACCESO_NETWORK_STATE: Verifique el estado de conectividad de la red
• BLUETOOTH: Conéctese a dispositivos Bluetooth emparejados

Permisos peligrosos (requieren la aprobación del usuario)

Estos permisos involucran datos del usuario o características del dispositivo que podrían afectar la privacidad:

Cuando sospechar

Debes cuestionar una solicitud de permiso cuando no coincida con la función de la aplicación:

• 🚩 Una aplicación de linterna que solicita acceso a Contactos o SMS
• 🚩 Una calculadora que solicita acceso a Cámara o Micrófono
• 🚩 Una aplicación de fondo de pantalla que solicita acceso a Teléfono o Registro de llamadas
• 🚩 Un juego que solicita permisos SMS
• 🚩 Cualquier aplicación que solicite TODOS los permisos a la vez

Cómo verificar los permisos de un APK antes de instalarlo

Si estás descargando un APK, debes verificar sus permisos antes de instalarlo:

1. Utilice nuestro Herramienta de información de APK para extraer la lista de permisos completa
2. Revise cada permiso según el propósito declarado de la aplicación.
3. Compara permisos con la aplicación oficial en Play Store
4. Si algo parece sospechoso, no lo instales.

Permisos especiales: los que no aparecen en el momento de la instalación

Más allá de los permisos "normales" y "peligrosos", Android tiene un tercer nivel llamado permisos especial o appops. Estas son las capacidades más poderosas de la plataforma, lo suficientemente poderosas como para que el sistema operativo fuerce un viaje deliberado y por separado a la Configuración para habilitar cada una. También son los que más comúnmente abusan del malware. Si una aplicación descargada solicita alguno de estos, deténgase y pregunte por qué.

• Servicio de Accesibilidad (BIND_ACCESSIBILITY_SERVICE: diseñado originalmente para lectores de pantalla y asistencia para personas con discapacidad física). Una aplicación con este permiso puede leer todo lo que aparece en tu pantalla, ver lo que escribes e incluso tocar botones en tu nombre. Otorgar solo a aplicaciones donde la función está obviamente relacionada con la accesibilidad (TalkBack, flujos de autocompletar de administradores de contraseñas, aplicaciones de diccionario de lectura de pantalla).
• Administrador del dispositivo/Propietario del dispositivo: permite que una aplicación bloquee el dispositivo, borre datos, cambie la contraseña y desactive la cámara. Casi ninguna aplicación de consumo necesita esto. Los clientes de gestión móvil empresarial (MDM) son una excepción legítima.
• Dibujar sobre otras aplicaciones (SYSTEM_ALERT_WINDOW: permite que una aplicación pinte sobre cualquier otra cosa en la pantalla). Usado legítimamente por burbujas de chat y traductores superpuestos; abusado por malware de tap-jacking que oculta un botón de "sí, vaciar mi cuenta" debajo de una superposición falsa de "reclama tu premio".
• Acceso a todos los archivos (MANAGE_EXTERNAL_STORAGE: omite las protecciones de almacenamiento con alcance en Android 11+ y permite que la aplicación vea todos los archivos en el almacenamiento compartido). La mayoría de las aplicaciones deberían utilizar los selectores de fotografías/documentos estándar.
• Oyente de notificaciones: permite que una aplicación lea cada notificación en el dispositivo. Una gran característica para aplicaciones de centros de productividad; una herramienta perfecta para el robo de credenciales cuando se abusa de ellas (las aplicaciones bancarias publican códigos de un solo uso en el flujo de notificaciones).
• Instalar aplicaciones desconocidas: convierte la aplicación host en un cargador lateral. Configure esto en su navegador o administrador de archivos solo cuando realmente necesite instalar un APK desde fuera de Play Store, luego vuelva a desactivarlo.

Combinaciones de permisos a tener en cuenta

Los permisos individuales cuentan sólo una parte de la historia. Las combinaciones suelen ser más reveladoras que una sola petición:

• Accesibilidad + Oyente de notificaciones + SMS: este es el clásico trío bancario-troyano de Android. El troyano lee el contenido en pantalla, intercepta la notificación de contraseña única del banco y también puede extraer la OTP del propio SMS si el usuario lo recibe por mensaje de texto. Ninguna aplicación de consumo legítima combina los tres.
• Cámara + Micrófono + ALL_FILES_ACCESS + ubicación en segundo plano: aplicación de vigilancia de estilo publicitario que se hace pasar por una linterna, una calculadora o un fondo de pantalla. Rechazar y desinstalar.
• SISTEMA_ALERT_WINDOW + BIND_DEVICE_ADMIN: comportamiento de clase ransomware. La aplicación puede mostrar una pantalla de "tu teléfono está bloqueado, paga X" en la parte superior del iniciador y evitar que el usuario lo desactive.
• Teléfono + Contactos + Registro de llamadas para una aplicación que no es un marcador, una aplicación de contactos o una herramienta de grabación de llamadas: extrema precaución. Esta combinación no tiene ningún uso legítimo fuera del conjunto muy limitado de aplicaciones que Google ofrece en esas categorías.

Un ejemplo de auditoría elaborado

Supongamos que encontró un APK de "antorcha" gratuito en un foro y lo ejecutó en nuestro Herramienta de información de APK antes de instalarlo. El manifiesto muestra los siguientes permisos solicitados:

android.permission.CAMERA
android.permission.FLASHLIGHT
android.permission.INTERNET
android.permission.READ_CONTACTS
android.permission.READ_SMS
android.permission.RECEIVE_SMS
android.permission.READ_PHONE_STATE
android.permission.ACCESS_FINE_LOCATION
android.permission.SYSTEM_ALERT_WINDOW

Se necesita una aplicación de antorcha permiso de la cámara (para acceder al LED a través del subsistema de la cámara), el permiso de la linterna y posiblemente el permiso de Internet para anuncios. Todo lo que está debajo de esa línea es injustificado.READ_SMS+READ_CONTACTS+RECEIVE_SMS+ ubicación + aplicaciones dibujadas es la firma de vigilancia y robo de OTP descrita anteriormente. Decisión: no instalar. Elimina el archivo. a lo sumo

Ejecute el mismo tipo de verificación en cada APK que descargue. Cinco minutos con un auditor de permisos le salvan de problemas que ninguna aplicación antivirus puede solucionar después del hecho.

Cómo se comportan los permisos en diferentes versiones de Android

El permiso UX se ha modificado casi todos los años. La misma capacidad subyacente puede parecer muy diferente en Android 9 frente a Android 15:

• Androide 6 (2015): introdujo permisos de ejecución para el grupo peligroso. Las aplicaciones ya no podían exigir todo en el momento de la instalación; tenían que preguntar cuándo usaban la función.
• Permisos de ubicación de tres estados Androide 10: (Permitir todo el tiempo / Permitir solo mientras se usa / Denegar). La ubicación en segundo plano se convirtió en un permiso otorgado por separado.
• Permisos Androide 11: únicos (otorgados para una sola sesión) y revocación automática de permisos para aplicaciones no utilizadas durante varios meses.
• Permiso de notificación independiente Androide 13: para aplicaciones recién instaladas; permisos de medios granulares (READ_MEDIA_IMAGES, READ_MEDIA_VIDEO, READ_MEDIA_AUDIO que reemplazan el READ_EXTERNAL_STORAGE general).
• Androide 14: acceso parcial a fotos/vídeos, por lo que las aplicaciones pueden solicitar "sólo estas fotos" en lugar de toda la biblioteca.
• Androide 15: controles de servicio en primer plano más estrictos; Los tipos de servicios declarados deben coincidir con los permisos de tiempo de ejecución realmente utilizados.

Si todavía tiene una versión anterior de Android, no obtendrá las protecciones más nuevas. Tenga aún más cuidado con lo que instala.

Preguntas

Si niego un permiso, ¿la aplicación dejará de funcionar?

La mayoría de las aplicaciones se degradan con gracia: el botón de la cámara aparece atenuado, la función de reconocimiento de ubicación está desactivada y el resto sigue funcionando. Una pequeña minoría de aplicaciones mal escritas fallan o se niegan a iniciarse, en cuyo caso pregúntese si realmente necesita una aplicación que exige tanto.

¿Por qué a veces una aplicación vuelve a pedir permiso?

O seleccionaste previamente "Solo esta vez" (una concesión única), o el permiso fue revocado porque no usaste la aplicación durante un período prolongado y Android lo revocó automáticamente. Ambos comportamientos son protecciones intencionales.

¿Puedo ver todos los permisos que declara un APK antes de instalarlo?

Sí. Coloque el APK en nuestro Herramienta de información de APK y analizará el AndroidManifest.xml en su navegador, decodificará el formato XML binario y enumerará cada entrada de uses-permission que la aplicación declaró. Compare esa lista con lo que esperaría de la categoría de la aplicación antes de tocar "Instalar".

Administrar permisos en su dispositivo

Cómo revisar los permisos de la aplicación

1. Ir a Configuración → Aplicaciones
2. Seleccione una aplicación
3. Toca Permisos
4. Revisar y alternar permisos según sea necesario

Cómo ver todas las aplicaciones con un permiso específico

1. Ir a Configuración → Privacidad → Administrador de permisos
2. Seleccione una categoría de permiso (Cámara, Ubicación, etc.)
3. Ver todas las aplicaciones que tienen acceso a ese permiso
4. Revocar el acceso de aplicaciones que no lo necesitan

Cambios de permisos de Android 13+

Las versiones recientes de Android han realizado mejoras significativas en el manejo de permisos:

• Permisos de medios granulares: En lugar de acceso completo al almacenamiento, las aplicaciones deben solicitar tipos de medios específicos (fotos, vídeos, audio)
• Las aplicaciones Permiso de notificación: ahora deben pedir permiso para enviar notificaciones
• Revocación automática: Los permisos se revocan automáticamente para las aplicaciones que no has usado en meses
• Ubicación aproximada: Puede otorgar ubicación aproximada en lugar de precisa
• Permisos únicos: Otorgar cámara/micrófono/ubicación solo para una sesión

Reglas prácticas para auditar los permisos de las aplicaciones

Los permisos son el medio donde se gana o se pierde gran parte de su privacidad, por lo que vale la pena leerlos en lugar de acceder a ellos. Cuestione cualquier cosa que no se ajuste a la función de la aplicación y ejecute un APK a través de nuestro extractor de información de APK antes de descargarlo. Una aplicación bien construida pide lo que necesita para funcionar y no mucho más.