Veredictos mejorados en dispositivos con Android 13 y versiones posteriores

Hace poco anunciamos que fortalecimos los veredictos de la API de Play Integrity para que sean más rápidos, más resistentes a los ataques y más privados para los usuarios, además de otras mejoras de seguridad.

Resumen de cambios

Más adelante en este documento, encontrarás un resumen detallado de los cambios y las preguntas frecuentes. Los cambios en el veredicto de mayo de 2025 fueron los siguientes:

*Todos los porcentajes de impacto estimados mencionados anteriormente se basaron en promedios, y es posible que las diferentes apps hayan experimentado cambios menores o mayores según su base de instalaciones.

**Los indicadores opcionales (excepto los atributos del dispositivo) son los siguientes: meets-basic-integrity, meets-strong-integrity, actividad reciente del dispositivo, retiro del dispositivo (beta), estado de Play Protect y riesgo de acceso a la app.

Preguntas frecuentes

Descripción general

¿Qué es la API de Play Integrity?

La API de Play Integrity te ayuda a evaluar la confiabilidad del entorno de la app del usuario, ya que obtiene información sobre el dispositivo, la app y el usuario, lo que te permite detectar y responder a posibles abusos y ataques.

¿Qué indicadores proporciona la API de Play Integrity?

La API de Play Integrity incluye la identidad de la app que realiza la solicitud, si Google Play instaló la app que realiza la solicitud y si el dispositivo es un dispositivo Android certificado y original. Estos indicadores se proporcionan de forma predeterminada. Puedes leer estos indicadores en el servidor de backend de tu app y decidir si tu app debe responder y cómo hacerlo. Los desarrolladores de Google Play pueden habilitar la opción para recibir indicadores adicionales en sus instalaciones de Play y ver aún más información.

¿Qué es la Certificación de claves de la plataforma de Android?

La certificación de claves de la plataforma de Android permite que las apps verifiquen el estado del dispositivo y obtengan un indicador sólido de la integridad del inicio con copia de seguridad en hardware. Depende de una clave que Google aprovisiona en el almacén de claves respaldado por hardware del dispositivo. La API de Play Integrity ya usa la certificación de claves para obtener indicadores de seguridad respaldados por hardware en algunos dispositivos y ahora los integrará de forma más profunda en todos los dispositivos que ejecuten Android 13 o versiones posteriores.

Cambios en el veredicto

¿Qué cambios se realizaron en los veredictos de la API de Play Integrity en dispositivos con Android 13 o versiones posteriores?

La API de Play Integrity ahora requiere indicadores de seguridad respaldados por hardware para todos los veredictos de integridad:

• El veredicto de reconocimiento del dispositivo meets-device-integrity indica que el dispositivo en el que se ejecuta la app es un dispositivo Android original y certificado. Este veredicto requerirá que el bootloader del dispositivo esté bloqueado y que el SO Android cargado sea una imagen certificada del fabricante del dispositivo.
• El veredicto de reconocimiento de dispositivo meets-strong-integrity indica que se trata de un dispositivo Android certificado y original con una actualización de seguridad reciente. Este veredicto requerirá meets-device-integrity y actualizaciones de seguridad en el último año para todas las particiones del dispositivo, incluidos un parche de partición del SO Android y un parche de partición del proveedor. Esta condición podría cambiar en el futuro.
• El veredicto de reconocimiento del dispositivo meets-basic-integrity indica que la verificación se realizó en un dispositivo físico con Android. El bootloader del dispositivo puede estar bloqueado o desbloqueado, y el estado de inicio puede estar verificado o no verificado. Es posible que no esté certificado, en cuyo caso Google no puede brindar garantías de seguridad, privacidad o compatibilidad de apps, ni garantizar que el dispositivo no actúe como proxy, por ejemplo, para una instancia virtual de Android. Esto también significa que los dispositivos con permisos de administrador son aptos para devolver meets-basic-integrity siempre que haya certificación de claves.

Estos cambios no afectan la API de Play Integrity en Play Juegos para PC, que seguirá devolviendo meets-virtual-integrity.

¿Por qué cambiaron los veredictos de la API de Play Integrity en dispositivos con Android 13 o versiones posteriores?

La API de Play Integrity usaba parcialmente indicadores de seguridad respaldados por hardware en Android 12 y versiones anteriores. Al requerir seguridad respaldada por hardware en Android 13 y versiones posteriores, los veredictos de la API de Play Integrity son más resistentes a los atacantes, más eficaces para las apps y más privados para los usuarios. Los desarrolladores pueden esperar las siguientes mejoras en dispositivos con Android 13 o versiones posteriores:

• Se redujo en aproximadamente un 90% la cantidad de indicadores del dispositivo que se deben recopilar y evaluar para generar el veredicto predeterminado en los servidores de Google. Los indicadores opcionales seguirán requiriendo la recopilación de indicadores adicionales.
• Se mejoró la latencia del veredicto hasta en un 80% para las solicitudes estándar en el peor de los casos y hasta en un 80% para todas las solicitudes clásicas para obtener el veredicto predeterminado. Los indicadores opcionales pueden aumentar la latencia.
• Nivel constante de confiabilidad y compatibilidad con todos los factores de forma de Android con certificación de claves, incluidos dispositivos móviles, tablets, plegables, TVs, automóviles, Wear OS y ChromeOS.
• Mayor diferenciación entre cada etiqueta de dispositivo en el veredicto de reconocimiento del dispositivo: meets-strong-integrity, meets-device-integrity y meets-basic-integrity.

El veredicto de la API de Play Integrity en Play Juegos para PC no cambiará y será el mismo en Android 12 y versiones anteriores que en Android 13 y versiones posteriores.

¿Cómo puedo actualizar la lógica del backend de mi app para que los veredictos de integridad tengan en cuenta la versión del SDK de Android?

Si quieres usar una lógica diferente en el servidor de backend de tu app según la versión del SDK de Android, puedes usar el nuevo campo de atributos del dispositivo en el veredicto. Este es un ejemplo de cómo hacerlo:

val deviceIntegrity =
  JSONObject(payload).getJSONObject("deviceIntegrity")
val sdkVersion =
  if (deviceIntegrity.has("deviceAttributes")) {
    deviceIntegrity.getJSONObject("deviceAttributes").getInt("sdkVersion")
  } else {
    0
  }

if (sdkVersion >= 30) {
  // Provide Android R+ specific experience to the user.
}

JSONObject deviceIntegrity =
  new JSONObject(payload).getJSONObject("deviceIntegrity");
int sdkVersion =
  deviceIntegrity.has("deviceAttributes")
    ? deviceIntegrity.getJSONArray("deviceAttributes").getInt("sdkVersion")
    : 0;

if (sdkVersion >= 30) {
  // Provide Android R+ specific experience to the user.
}

¿Cómo puedo usar la definición de etiqueta meets-strong-integrity anterior en todas las versiones del SDK de Android?

Para ello, actualiza la lógica de backend de tu app para que use meets-strong-integrity cuando se trate de un dispositivo anterior a Android 13 y meets-device-integrity cuando se trate de un dispositivo con Android 13 o una versión posterior que use el nuevo campo de atributos del dispositivo en el veredicto que contiene la versión del SDK de Android. Este es un ejemplo de cómo hacerlo:

val deviceRecognitionVerdict =
  if (deviceIntegrity.has("deviceRecognitionVerdict")) {
    deviceIntegrity.getJSONArray("deviceRecognitionVerdict").toString()
  } else {
    ""
  }

val deviceIntegrityToCheckFor =
  sdkVersion < 33 ? "MEETS_STRONG_INTEGRITY" : "MEETS_DEVICE_INTEGRITY";

if (deviceRecognitionVerdict.contains(deviceIntegrityToCheckFor)) {
  // Looks good!
}

JSONObject deviceIntegrity =
  new JSONObject(payload).getJSONObject("deviceIntegrity");
String deviceRecognitionVerdict =
  deviceIntegrity.has("deviceRecognitionVerdict")
    ? deviceIntegrity.getJSONArray("deviceRecognitionVerdict").toString()
    : "";

String deviceIntegrityToCheckFor =
  sdkVersion < 33 ? "MEETS_STRONG_INTEGRITY" : "MEETS_DEVICE_INTEGRITY";

if (deviceRecognitionVerdict.contains(deviceIntegrityToCheckFor)) {
  // Looks good!
}

Dado que también es un indicador respaldado por hardware, el campo de atributos del dispositivo es más confiable en dispositivos que ejecutan Android 13 y versiones posteriores.

¿Qué otros cambios de veredicto se realizaron?

Invertimos continuamente en hacer que los indicadores existentes en la API de Play Integrity sean más confiables y, periódicamente, lanzamos nuevas funciones para ayudar a los desarrolladores a enfrentar las amenazas emergentes y los nuevos casos de uso. Otras mejoras en los veredictos que realizamos incluyen las siguientes:

• Respuesta con licencia de Play: Para devolver una respuesta con licencia de Play, la API de Play Integrity ahora siempre requiere que Google Play haya instalado o actualizado la app solicitante. Esto corrige algunos casos extremos y facilita la interpretación de la respuesta para los desarrolladores.
• Disponibilidad de los indicadores opcionales: Todos los indicadores opcionales disponibles para los desarrolladores que usan Google Play Console o SDK Console de Play (excepto los atributos del dispositivo) ahora requieren que Google Play instale o actualice la app solicitante en Android 13 o versiones posteriores. Esto incluye meets-strong-integrity, meets-basic-integrity, la actividad reciente del dispositivo, la recuperación del dispositivo (beta), el veredicto de riesgo de acceso a la app y el veredicto de Play Protect. Estandarizamos todas las demás solicitudes de la API de Play Integrity para recibir la verificación del dispositivo (solo con la etiqueta meets-device-integrity), la verificación del instalador, la verificación de integridad de la app y los atributos del dispositivo (si están habilitados).
• Cambios en el veredicto para dispositivos específicos: La API de Play Integrity cambia automáticamente los veredictos de los dispositivos en más situaciones para proteger las apps antes en todas las versiones del SDK de Android, por ejemplo, cuando hay evidencia de actividad excesiva o de vulneración de claves. Esto incluye la capacidad de Play para recurrir a otros indicadores y generar veredictos temporales sobre los dispositivos de los usuarios cuando no hay indicadores respaldados por hardware disponibles. Se recomienda a los desarrolladores que usen los diálogos de corrección de Play integrados en la app o que dirijan a los usuarios a la app de Play Store para solucionar los problemas relacionados con el veredicto de integridad. Con el tiempo, estos diálogos abordarán más situaciones y brindarán orientación específica a los usuarios para indicarles qué deben corregir según su dispositivo o cuenta específicos.

¿Cómo informo problemas relacionados con los veredictos de integridad?

Para informar problemas con las respuestas de la API de Play Integrity, ya sean con los veredictos históricos o los nuevos, sigue las instrucciones de la página de asistencia.

Disponibilidad

¿Qué se requiere para que funcione la API de Play Integrity?

La API de Play Integrity requiere que Google Play Store y los Servicios de Google Play estén instalados en un dispositivo, lo que incluye dispositivos Android y Google Play Juegos para PC. Las solicitudes clásicas requieren Android 4.4 (nivel de API 19) o versiones posteriores, y las solicitudes estándar requieren Android 5.0 (nivel de API 21) o versiones posteriores. En los dispositivos que ejecutan Android 13 (nivel de API 33) y versiones posteriores, la API de Play Integrity ahora tendrá el mismo nivel de confiabilidad y compatibilidad en todos los factores de forma de Android con la certificación clave, incluidos dispositivos móviles, tablets, plegables, TVs, Auto, Wear OS y ChromeOS.

¿Por qué la API de Play Integrity tiene veredictos diferentes para distintos dispositivos?

La API de Play Integrity proporciona varios veredictos del dispositivo para adaptarse a los desarrolladores con diferentes casos de uso y tolerancias al riesgo, y para permitir una estrategia de aplicación por niveles. Por ejemplo, cuando la app y el dispositivo son más confiables, un desarrollador podría optimizar los pasos de verificación del usuario. Por otro lado, cuando un dispositivo es desconocido, el desarrollador podría requerir una verificación adicional del usuario antes de realizar acciones protegidas o sensibles. Esta puede ser una forma eficaz de reducir el abuso y los ataques.

¿Qué es un dispositivo Android certificado?

Un dispositivo Android certificado (también conocido como dispositivo Android certificado por Play Protect) es un dispositivo que ejecuta software predecible, que pasó cientos de pruebas de compatibilidad de Google, que cumple con el modelo de seguridad y permisos de Android, y que se envió con el paquete de funciones antimalware de Google Play Protect. Cuando la API de Play Integrity puede verificar que un dispositivo es un dispositivo Android genuino y certificado, devuelve la respuesta meets-device-integrity en el veredicto de reconocimiento del dispositivo.

¿Qué es un dispositivo meets-basic-integrity?

La API de Play Integrity también devuelve una respuesta opcional en el veredicto del dispositivo, meets-basic-integrity. Si un dispositivo solo devuelve el veredicto meets-basic-integrity sin meets-device-integrity ni meets-strong-integrity, significa que no se puede verificar el SO Android, pero la certificación de claves está presente. Esto indica que la verificación se realizó en un dispositivo físico con Android, pero Google no puede garantizar la seguridad, la privacidad ni la compatibilidad de la app del dispositivo, y no puede garantizar que el dispositivo no actúe como proxy, por ejemplo, para una instancia virtual de Android. Según los casos de uso y la tolerancia al riesgo de los desarrolladores, estos pueden decidir cómo quieren que se ejecute su app en estos dispositivos.

¿Cualquier desarrollador puede usar la API de Play Integrity?

Sí, cualquier desarrollador de Android puede realizar solicitudes a la API de Play Integrity para recibir los veredictos de integridad predeterminados. El uso se limita a 10,000 solicitudes por día, independientemente del canal de distribución. Los desarrolladores que publican sus apps en Google Play, además de cualquier otro canal de distribución, también pueden solicitar un aumento en su cuota diaria.

¿Cualquier desarrollador puede usar la certificación de claves de la plataforma de Android?

Sí, cualquier desarrollador de Android puede usar la certificación de claves de la plataforma de Android para obtener un registro de certificación de claves, que puede verificar con el certificado público de la clave raíz de certificación de Google. La API de Play Integrity ofrece a los desarrolladores los beneficios de la certificación de claves y funciones adicionales sin la complejidad de tener que integrarse con la certificación de claves por su cuenta.

Aplicación

¿Cómo usan los desarrolladores los veredictos de la API de Play Integrity?

Los desarrolladores deben decidir si usarán los veredictos de la API de Play Integrity y cómo lo harán. Algunos desarrolladores recopilan los indicadores para realizar análisis internos contra el abuso, mientras que otros tomarán decisiones sobre el comportamiento de su app en función del veredicto. Por ejemplo, los desarrolladores podrían decidir exigir que los dispositivos menos confiables realicen pasos adicionales de verificación del usuario cuando se cree una cuenta, o podrían decidir que los dispositivos menos confiables jueguen juntos en el mismo servidor multijugador.

¿La API de Play Integrity bloquea usuarios o dispositivos?

No, la API de Play Integrity no bloquea el acceso a ninguna funcionalidad por sí misma. Es un servicio opcional para desarrolladores que proporciona indicadores, y los desarrolladores eligen cómo actuar en función de ellos.

¿Qué deben hacer los usuarios si su dispositivo no supera las verificaciones de la API de Play Integrity?

Los usuarios pueden ir a la app de Play Store en su dispositivo, abrir el menú Configuración, desplazarse hacia abajo hasta Información y, luego, buscar la certificación de Play Protect. Si hay algún problema con la certificación de Play Protect del dispositivo, habrá un botón que los usuarios podrán presionar para intentar solucionar el problema. Esto actualizará el estado de certificación del dispositivo y proporcionará orientación específica sobre lo que se debe corregir.