Mitigando la vulneración del certificado eMudhra en apps Android con Firebase

Hola, desarrollador. Si estás metido en el mundo de Android y utilizas Firebase App Distribution, necesitas prestar atención a lo que te vamos a contar. No es un *feature* nuevo, es una emergencia de seguridad.

Google ha detectado una vulneración grave en una autoridad certificadora (CA) llamada eMudhra. Básicamente, alguien tiene las claves y puede generar certificados falsos que parecen 100% legítimos. Si tu código no está actualizado, tu app está en riesgo de ser víctima de un ataque de intermediario (Man-in-the-Middle).

Desglosando el problema

Vamos al grano. El 19 de octubre de 2026, Google confirmó que las claves privadas de algunas AC intermedias de eMudhra fueron comprometidas y revocadas. Esto significa que cualquier comunicación que confíe en esos certificados ya no es segura.

Aquí está el *catch* para el desarrollo nativo de Android y sus herramientas de despliegue: la mayoría de los productos de Firebase incrustan en su binario un paquete de certificados raíz (Root Certificate Bundle) fijo. Si estás compilando con una versión antigua, esa versión fija no sabe que el certificado ha sido revocado. Sigue confiando en la llave falsa. Resultado: un atacante en la red puede interceptar, robar o modificar datos sensibles antes de que lleguen al servidor.

La Solución lave: Actualización de Gradle

Si trabajas con Firebase App Distribution, la mitigación pasa por asegurar que el plugin de Gradle que maneja esa distribución está al día. No se trata de cambiar el código de tu lógica de negocio, sino del *workflow* de despliegue.

Paso a Paso: ¿Dónde toca cambiar el código?

Esto es lo que tienes que modificar en los archivos de *build* de tu proyecto. Dependiendo de si usas Kotlin DSL o Groovy DSL, el cambio cambia ligeramente, pero el objetivo es el mismo.

1. Si usas build.gradle.kts (Kotlin DSL):

plugins {
    // ... otras dependencias
    // OJO: Asegúrate de que esta versión sea 5.3.1 o superior
    id("com.google.firebase.appdistribution") version "5.3.1" apply false
}
    

2. Si usas build.gradle (Groovy DSL):

plugins {
    // ... otras dependencias
    // OJO: Asegúrate de que esta versión sea 5.3.1 o superior
    id 'com.google.firebase.appdistribution' version '5.3.1' apply false
}
    

3. Para builds más antiguos (buildscript):

buildscript {
    dependencies {
        // OJO: Asegúrate de que esta versión sea 5.3.1 o superior
        classpath 'com.google.firebase:firebase-appdistribution-gradle:5.3.1'
    }
}
    

Cierre del círculo: CI/CD y compilación

Esto no es todo. Una vez que tienes el código corregido, tienes que limpiar y recalibrar tu pipeline de CI/CD. Si tu *workflow* de GitHub Actions o Jenkins sigue apuntando a una versión antigua, el parche no servirá de nada. Debes asegurarte de que el *job* de compilación utilice la dependencia 5.3.1+ antes de correr el comando:

./gradlew appDistributionUpload<Variant>
    

No te quedes atrás con versiones antiguas. La seguridad siempre es la prioridad número uno. Si te queda cualquier duda sobre cómo aplicar este cambio en tu entorno de trabajo, aquí estamos. ¡A programar seguro!

Más info: Firebase Google