El muestrario

1. Qué es y por qué existe

Cuando un documento de este sitio dice «en el muestrario» o «medido sobre el muestrario», se refiere siempre al mismo conjunto de ficheros: 58 APK sueltos y 28 contenedores de split, 86 en total. Contando los 659 APK que van dentro de los contenedores, son 717 APK. Esta página dice cuáles son, de dónde salen, qué sesgos arrastran y cómo se midieron, para que cualquier cifra citada se pueda comprobar o, al menos, situar.

Una advertencia antes de seguir. De los 28 contenedores, solo los tres .xapk siguen en la máquina de referencia, y de los otros 25 no se registró el SHA-256. Las cifras que dependen de ellos —las de WhatsApp, Netflix, Twitch o las aplicaciones de Google empaquetadas como .apks— se pueden leer, pero no volver a medir aquí. Los 58 sueltos y los tres .xapk, en cambio, están identificados byte a byte en la «sección 9 · Cómo comprobar una copia».

2. Composición

Dentro de los 28 contenedores van 659 APK: 67 en los tres .xapk, 39 en el ZIP de SAI y 553 en los otros 24. Aparte hay un .aab de prueba, com.ejemplo.fixture.aab, del que salen los dos APK Set; no cuenta entre los 86 porque no contiene ningún APK.

Algunas cifras hablan de «86 aplicaciones». Es la misma cuenta hecha por fichero, no por aplicación distinta: Keep aparece dos veces, como .xapk y como .apks, y los dos APK Set son la misma aplicación de prueba.

3. Los 58 APK sueltos

La versión y los SDK salen de aapt2 dump badging; la firma, de apksigner verify --print-certs; la última columna dice si https://f-droid.org/repo/<fichero> responde hoy con el mismo tamaño en bytes.

El nombre sigue la convención de F-Droid, <paquete>_<versionCode>.apk, salvo en cinco:

• Tarjeta Transporte Virtual_1.0.20_APKPure.apk, cuyo paquete es com.crtm.virtual.
• Cuatro que llevan el versionName en lugar del versionCode: com.x8bit.bitwarden_2026.5.0.apk, org.gnucash.android_2.4.0.apk, org.torproject.android_17.8.0.apk y org.fossify.calculator_1.4.0.apk. Este último, además, es el paquete org.fossify.math, y F-Droid lo publica como org.fossify.math_10.apk.

4. Los 28 contenedores

El sitio no nombra los ocho .apkm uno por uno. Por eliminación, las aplicaciones de la tabla de la «sección 10.2 de R8 y ProGuard · El resultado, y por qué el umbral de dos caracteres es el instrumento equivocado» que no están en ningún otro contenedor tienen que ser siete de ellos: Twitch, Snapchat, Shazam, Reddit, Signal, LinkedIn Learning y VLC Remote. El octavo no se cita por su nombre en ningún documento.

La clasificación por estructura de estos ficheros, y por qué catorce .apks no son APK Set, está en la «sección 5 de Formatos y extensiones · La extensión miente, y está medido» y en la «sección 6.3 de AAB, splits y contenedores · La comprobación sobre el muestrario».

5. De dónde salen y cuándo

Los 58 sueltos. Lo que se puede afirmar con evidencia es esto:

• 54 están hoy en el repositorio principal de F-Droid con el mismo nombre y el mismo tamaño en bytes. Se comprobó con una petición HEAD por fichero el 25 de septiembre de 2026, sin descargarlos. De esos 54, 40 llevan la firma de F-Droid (CN=FDroid, OU=FDroid, O=fdroid.org), que es la que pone F-Droid a lo que compila él; 12 la de Fossify y 1 la de Briar, es decir, la de su desarrollador, que F-Droid publica tal cual cuando comprueba que su propia compilación reproduce ese APK; y el cliente de F-Droid va con la clave de su autor original, Ciaran Gultnieks.
• 3 están firmados por su propio proyecto y no están en F-Droid con ese nombre: Bitwarden, GnuCash y Orbot. Tampoco aparecen, por su versionCode, en el archivo de F-Droid, en IzzyOnDroid ni en el repositorio de Guardian Project. Su origen exacto no se registró.
• 1 viene de APKPure, como dice su nombre: Tarjeta Transporte Virtual_1.0.20_APKPure.apk. Es el único suelto con source stamp en el bloque de firma y su certificado tiene el DN CN=Android, OU=Android, O=Google Inc., L=Mountain View, ST=California, C=US.

Los ficheros tienen fecha del 8 de junio de 2026, salvo el de APKPure, que es del 9. Las versiones son las de entonces: la de Wikipedia, por ejemplo, es r/50590-r-2026-05-28.

Los contenedores. Los tres .xapk y los catorce .apks vienen de APKCombo —los tres primeros llevan su APKComboInstaller.url— y los ocho .apkm de APKMirror, que firma el propio ZIP con META-INF/APKMIRRO.RSA. El ZIP plano de Netflix no dice de dónde sale: es el formato que consume Split APKs Installer, no uno que genere («Formatos y extensiones → §3.6 · El ZIP plano y SAI»). Los APK de dentro conservan la firma de Google Play, y sus base.apk llevan el bloque que Play añade al distribuir, descrito en la «sección 11 de APK Signing Block · El bloque desconocido de Google Keep: 0x2146444e»; los split no lo llevan. Los tres .xapk tienen fecha del 8 de agosto de 2026; la de los demás no se registró.

Las mediciones que citan fecha van del 12 de agosto al 25 de septiembre de 2026.

6. Sesgos

Lo que el muestrario no representa importa tanto como lo que sí:

1. Domina F-Droid. 54 de los 58 sueltos salen de ahí: software libre, con el código fuente publicado. No es, sin embargo, un grupo «sin ofuscar»: F-Droid entrega ofuscado lo que el proyecto configura ofuscado, y 20 de los sueltos lo están tanto como Twitch. Como grupo de control solo sirven los otros 37 («sección 10.3 de R8 y ProGuard · El grupo de control de F-Droid»).
2. Google Play entra solo a través de terceros. Las 26 aplicaciones de Play llegaron por APKCombo, APKMirror, APKPure o SAI, no descargadas de Play. Los APK de dentro conservan la firma de Play, pero el contenedor lo fabrica el tercero.
3. Ni packers, ni protectores comerciales, ni PairIP, ni malware. Se buscaron y no hay ninguno: «sección 6.3 de Packers y protectores · El muestrario: cero packers» y «sección 8 de Anti-análisis y hardening · PairIP». Un detector de esas cosas no se puede validar aquí, solo comprobar que no da falsos positivos.
4. Pocos juegos. Cuatro: Candy Crush, Clash Royale, Coin Master y My Talking Tom, que es donde más se aplican las protecciones comerciales.
5. Solo DEX de las versiones 035 a 039. En los 58 sueltos, los 140 classes*.dex se reparten en 63 de la 035, 24 de la 037, 44 de la 038 y 9 de la 039. Ni un 040 ni un 041.
6. Un corte en el tiempo. Las versiones son las de junio de 2026 en los sueltos y las de agosto en los tres .xapk, y 45 de los 58 sueltos tienen targetSdkVersion entre 35 y 37. El más antiguo apunta a 27.
7. Huecos de formato. No hay ningún .apks exportado por SAI, ningún APK Set que no sea de prueba, ningún .obb y un solo ZIP de SAI.

7. Cómo se midió

Cada cifra lleva su script en la sección donde se usa, pegado tal cual se ejecutó. Todos suponen la misma disposición en disco:

~/muestras-apk/            los 58 APK sueltos y los 3 .xapk
~/muestras-apk/splits/     los otros 25 contenedores y el .aab de prueba

Las mediciones de todo el muestrario son estas:

8. La máquina de referencia

Un Mac con Apple Silicon y macOS. Las versiones de las herramientas son las que dice cada documento en el momento de la medición:

La imagen de Android 17 con páginas de 16 KB no arranca en esta máquina: el emulador no activa el hipervisor para ella —hvf is not enabled on this aarch64 host—, ni en la versión 36.6.11 ni en la 37.1.11, y la emulación por software falla. Lo que el sitio dice de cómo se comporta un Android 17 sale del código de android-17.0.0_r1, no de una ejecución.

9. Cómo comprobar una copia

Los SHA-256 de los 61 ficheros que siguen en la máquina de referencia, en el formato que lee shasum -a 256 -c:

a1a9b919f5eeb8bc3a1c11061dc2b9f7eb67ba7079b881e027296d15489d9e56  GoogleAuthenticator_com.google.android.apps.authenticator2.xapk
8ffcf0f62bd2d7674d7099bb7832af0e58febcad4219985a9f6f85fa13089b44  GoogleCalculator_com.google.android.calculator.xapk
df5d0c8834f7cd2546022452fbbf5becf4331820608bd8f6e6acd67ef9353860  GoogleKeep_com.google.android.keep.xapk
b45e0108cf332274aceacb0f4bb445e1359f673b57fb5be91b9a8d5546070506  Tarjeta Transporte Virtual_1.0.20_APKPure.apk
8a46de27d2237a54712f54a3d195e7e78822c9375f3eb53a6056f19ec1d7a7be  app.pachli_50.apk
b6b729266534e3fd8f0a076120b39a9d5b25ad9dadf1d912d5e42b286b64a565  chat.simplex.app_354.apk
c4ce0df0bbb0e82be4e4bd7d8a3e000f08e04457187d560fe2ca3ae52941bf49  com.aurora.store_75.apk
ab633d31cc0fa49e3ae29a3b816a7fcbe04033a3227f42bd30cf86fcd3be4159  com.beemdevelopment.aegis_81.apk
10a81c2a360868d1c26ab37c6225365b1ee02757ab8f90facb377560becfba55  com.fsck.k9_39038.apk
22ee7e314132fd90612769a0aff02a19720141e7c299155ae8d6bd97e657ac22  com.github.cvzi.screenshottile_146.apk
80878a8fc2aa22ec9383f5176b0f5376116d04911bb72cbf606c0d8ee2a4c947  com.github.libretube_70.apk
3a641d4a269aefd06104e89f57880f0b9723fa380d87885d909c76249e6f081b  com.ichi2.anki_22400300.apk
85c95fb0e2cda5cdacc7f5bca360e3384e444de19bdffdf0d806b679bb612c18  com.kunzisoft.keepass.libre_44300.apk
f9c648df9efe82aa2a70d89e6591a73dfdaa864ac60916ed4668ce8bd6a99695  com.looker.droidify_710.apk
1485c964ba52b45c1057c2d6f7299286e456c61109f381d842c094ab5ec7e9c6  com.machiav3lli.backup_8331.apk
c69ee88a6484fbbc4d1c40548c7d15c20ee71ad96d2d6986d4ff7c6c934f5308  com.nextcloud.client_330010290.apk
4497dbbf81906df52e59ed387a5223d225aa0de3aca817cc557a621e4dadda44  com.termux.api_1002.apk
799a53f096c28e2aafae918f5ab91de500526bc5461030dbceea4e89bf56b68f  com.termux.styling_1000.apk
e6265a57eb5ca363808488e3b01955958bed93bc0c8a0d281849b363b11027ec  com.termux_1002.apk
22a9869a6fb9edade86db002a609f361084e214bc24ccc9431853838c70f40b8  com.x8bit.bitwarden_2026.5.0.apk
8ef31ee086503b5e8377cbeeae246fdc9e936c756fe69985d2358829bb3b3198  de.blinkt.openvpn_219.apk
8faee459f952e62e5c12be18620911b01c15b5fa0ee67768dcf8ae1e1a68b09c  de.danoeh.antennapod_3110495.apk
310f128bd5d81b374b9e7d1341574a7689b924c1cd1aa85ef3ceb22ee201153c  de.westnordost.streetcomplete_6304.apk
23108a09ccd7deeeba74a32714f2bfdb84ad13b1e0cd0dd41663f649e3a1795e  eu.faircode.email_2318.apk
acbd86d712b1e6493bb5bf7d9a8ad65668e91b28088da34a726997fa241f8299  io.anuke.mindustry_1100.apk
91b19687e389a50f13cbcb024627417716b3ec6309575007a4444c127f61e150  io.github.muntashirakon.AppManager_445.apk
a3ccb3f8d7fd561993e99d21a92da2c7737fb3c70b8b50a259a5768749ff7f35  io.github.subhamtyagi.ocr_15.apk
ebc5138b6f713f0f73b5467a1a8a4ac3ccfcb2e82135372665b6811a8947641f  me.zhanghai.android.files_39.apk
f5e456ce4be56ea1c91a3e7cc786bfc407dbb2e481b423806a06e7e19bafe005  net.bible.android.activity_1099.apk
3f9f260dc3e32a1281cb8803eea6f926eef897579f68a5d35f922523974b84b9  net.gsantner.markor_163.apk
a8093572497436d8873181ac8f610d08c4f4f3a621fe2b447fc8bd9692064c4b  net.osmand.plus_521303.apk
d6d67b22f066d40f8771d8d7c0e0efe9315b37224d5b7e724f4c0e9b0eecca07  net.typeblog.shelter_445.apk
8cc74ed1457e2b0285c54eacc8de4bd4943bf1aa610e0c308d3195831b8fe793  nodomain.freeyourgadget.gadgetbridge_248.apk
8cc8f18d0c603f9e3fc982a293db9165f8968359d2bc5f1d81f47b36bd76b719  org.briarproject.briar.android_10517.apk
985f5181d48bb6bafd54083a048b391271e0ab28385881cc41294fb01a222762  org.fdroid.fdroid_1023052.apk
7c5443c22d6d62c67dfe80df33ea9161ff0fa440f92590bcb45d7008b57613ed  org.fossify.calculator_1.4.0.apk
2acbd47fa2abc6dd4846e406ed2fd60c5c01b8613158d10e012135923ee24894  org.fossify.calendar_20.apk
116004fd8743f9e47bf25eb9c6049eb77d3f19d59506c3f47513f584c6138435  org.fossify.camera_11.apk
43cf9f0ec45f1f1ff2df47286622e5b8f3acedaeb07b7f7641b5243dbedca079  org.fossify.clock_10.apk
6a89be96b5ec39f5e2b11bd61dc7031f4b88261b324ab13af5743fbc62f0cddb  org.fossify.contacts_13.apk
9e97d2faf55fb2702386c3dc51e38a6b073781016b125701d3ab668419a70008  org.fossify.filemanager_13.apk
ae7e699599e81f70e2b82626bb1dfa883fe096cd938387133e123c116e5641d9  org.fossify.gallery_28.apk
9d408488f2400d42f8f25a2663c6d7e7a1e7ec5b9a755de23486b04a46eb66f3  org.fossify.messages_20.apk
b5d0ce367544df1ac162adf71d642878c5b963a304ca0ddf8f8556f07bbba79b  org.fossify.musicplayer_14.apk
5a56e0e39cc488e1f3b947d3801006d3b7450ec73c67f03195c64c5fd3b6bced  org.fossify.notes_13.apk
d1ad08467034e5138a6e68f03b6e150f0bb010dfcbf490ff3d2bd4822b755728  org.fossify.phone_22.apk
bd4ebc4b85fefb43a68126d8704d38222e88ef3205b3666e7a2fa00b325a696b  org.fossify.voicerecorder_18.apk
b8622bbf3f6f372e83f46452f6932f29c562b7f92eea5ea0dae5599ea8a235b1  org.gnucash.android_2.4.0.apk
15ee24e88fc2ed614c38a360698cd8e7c435636c2072a32a83f8635dde1d009a  org.kde.kdeconnect_tp_13508.apk
64e45506affdbf9298e4a0a4d7e0e08ca0e42715dbe10e84090a82e3c1ad0614  org.mian.gitnex_1301.apk
e3749dd147bf55688fac464fbc022cc384073133445e8c0b830aa4f2674cfa40  org.mozilla.fennec_fdroid_1510220.apk
0cd567f8fd3cd28039f8edd2a785e0116776e91f43e96ac91994a33158f5c6fd  org.osmdroid_55.apk
30eafe1b05fc8287f2fda9ff19142c09f66e2924aecc4701900600c66554d748  org.pixeldroid.app_4204.apk
9f52f0a2941d5bdce415a61e9b4ba609c35224f1f4044642169f15c312dbdb61  org.schabi.newpipe_1012.apk
f88374b9113aa9ddba865258bd989eb3ac2ca1577d92e59d6e84228e080674ce  org.sufficientlysecure.keychain_60400.apk
65eec45353aebcc5186bad7efcb1c63119f8d7b224978f4ba77563fe8c69d7a5  org.tasks_150606.apk
6e5955ffbfad9524466e26526d0ebb7d45cbeb322ba0caa89c49d13a2ce6f94a  org.torproject.android_17.8.0.apk
d12a6cfc27ff2dc70d3241455a6ac7f5b27bbd4371bff626ac5672ff3d2b5eaa  org.totschnig.myexpenses_858.apk
4a9144fadfd8606cc5c0e9db892fd24846b7b2efeb1630db5377955d1612b119  org.videolan.vlc_13070108.apk
52b9e3d6042551fcde07ef3a70f99bc7ca9917b5e2a227c702534236df8654d6  org.wikipedia_50590.apk
eacda111edc0f79f1f2794b8ec6d05d4bb3bf106e02a0359105ce5dccd19c59d  org.woheller69.weather_67.apk

Guardado en un fichero muestrario.sha256 en el mismo directorio que las muestras:

shasum -a 256 -c muestrario.sha256

Los 54 sueltos de F-Droid se pueden descargar de https://f-droid.org/repo/<fichero>, con org.fossify.math_10.apk en lugar de org.fossify.calculator_1.4.0.apk. F-Droid mueve las versiones viejas a https://f-droid.org/archive/ y con el tiempo las retira, así que conviene comprobar el SHA-256 tras la descarga.

Fuentes

1. Repositorio de F-Droid — https://f-droid.org/repo/ Consultado el 25 de septiembre de 2026 con una petición HEAD por fichero. De aquí sale la última columna de la «sección 3 · Los 58 APK sueltos» y la comparación de tamaños de la «sección 5 · De dónde salen y cuándo».
2. Reproducible Builds — F-Droid — https://f-droid.org/docs/Reproducible_Builds/ Consultado el 25 de septiembre de 2026. De aquí sale que F-Droid publique con la firma del desarrollador los APK que reproduce, en la «sección 5 · De dónde salen y cuándo».
3. aapt2 dump badging y apksigner verify --print-certs de build-tools 37.0.0 — ejecutados el 25 de septiembre de 2026 sobre los 61 ficheros. De aquí salen la versión, los SDK y la firma de la «sección 3 · Los 58 APK sueltos» y los recuentos de DEX de la «sección 6 · Sesgos».
4. shasum -a 256 — ejecutado el 25 de septiembre de 2026. De aquí salen los SHA-256 de la «sección 9 · Cómo comprobar una copia».