Qué es Gatekeeper en Mac y cómo decide qué apps puedes abrir

Descargas una app desde la web de su desarrollador, haces doble clic y macOS te planta un cuadro de diálogo: «No se puede abrir porque es de un desarrollador no identificado». Ese portero pesado es Gatekeeper. Si buscas qué es Gatekeeper en Mac, la definición corta es esta: Gatekeeper es la tecnología de macOS que comprueba la identidad y la integridad del software antes de dejar que se ejecute por primera vez, verificando su firma digital y su certificación (notarización) ante Apple. Existe desde OS X Mountain Lion (10.8, 2012) y en 2026 sigue siendo la primera de las tres capas con las que macOS combate el malware.

Cómo encaja Gatekeeper en la seguridad de macOS

Apple estructura sus defensas frente al software malicioso en tres niveles, según explica la documentación de Apple Platform Security: impedir que el malware se lance (App Store y Gatekeeper con la certificación), impedir que se ejecute si ya está dentro (Gatekeeper y XProtect) y corregir los daños si llegó a correr (XProtect). Gatekeeper está en los dos primeros: es el filtro de entrada, no el desinfectante.

Conviene no confundirlo con sus vecinos de capa. XProtect es el antivirus por firmas integrado en macOS, que analiza apps en su primera apertura y cada vez que se modifican. Y SIP, la protección de la integridad del sistema, blinda los archivos del propio sistema operativo. Gatekeeper, en cambio, solo responde a una pregunta: ¿esta app que acabas de descargar es quien dice ser y está libre de malware conocido?

Qué comprueba Gatekeeper al abrir una app

Cuando haces doble clic en una app descargada de internet, pasan varias cosas en fracciones de segundo:

1. Atributo de cuarentena. Los navegadores y clientes de correo marcan los archivos descargados con un atributo de cuarentena. Ese atributo es el disparador: sin él, Gatekeeper no interviene (por eso una app copiada desde un disco local no pasa el mismo control).
2. Firma del desarrollador. macOS verifica que la app está firmada con un certificado Developer ID válido y que su contenido no se ha modificado desde que se firmó. Si la firma está rota, la app está alterada o corrupta.
3. Notarización. Desde macOS Catalina (10.15), las apps distribuidas fuera de la App Store deben estar notarizadas: el desarrollador las envía a un servicio de análisis automático de Apple que busca malware conocido y, si está limpio, emite un tique que suele ir adjunto a la propia app, lo que permite verificarla incluso sin conexión.
4. Análisis de XProtect con las firmas de malware actualizadas, y comprobación de tiques de revocación: Apple puede revocar la certificación de una app que se descubre maliciosa a posteriori, y macOS sincroniza esas revocaciones con frecuencia para bloquearla en todos los Mac.

Si todo cuadra, la app se abre tras el típico aviso de «es una app descargada de internet», y ese visto bueno queda registrado: las siguientes veces se abre sin preguntar. Gatekeeper, por diseño, solo examina el primer lanzamiento.

El aviso de «desarrollador no identificado»: qué significa y qué no

Hay dos avisos que la gente mezcla. El primero, «no se puede abrir porque es de un desarrollador no identificado», aparece cuando la app no está firmada con un certificado de Apple: macOS no sabe quién la hizo. El segundo, más común desde Catalina, dice que «Apple no puede comprobar si contiene software malicioso»: la app puede estar firmada pero no está notarizada, así que no pasó por el análisis de Apple.

Ninguno de los dos significa que la app sea malware. Significa que macOS no tiene evidencias de que sea segura, que es distinto. Hay software perfectamente legítimo en esa situación: proyectos open source pequeños, herramientas internas de empresas, apps antiguas cuyo desarrollador no renovó el certificado. La propia ayuda oficial de Apple lo matiza: la app no se ha revisado y macOS no puede comprobar si se ha modificado desde su lanzamiento.

Pero ojo con el matiz contrario: el aviso tampoco es un trámite burocrático sin importancia. Según Apple, saltarse los ajustes de seguridad para abrir una app es la forma más habitual de que un Mac se infecte. El malware no notariza.

Cómo abrir una app bloqueada con seguridad

Si conoces el origen de la app y confías en él, la vía correcta tiene dos pasos y no requiere tocar ningún ajuste global:

1. Localiza la app en el Finder, haz clic con el botón derecho (o Control + clic) sobre su icono y elige Abrir en el menú contextual.
2. En el nuevo diálogo, que ahora sí ofrece la opción, pulsa Abrir. La app queda guardada como excepción y en adelante se abrirá con doble clic normal.

El botón derecho no es un truco underground: es el método documentado por Apple, y es deliberadamente menos directo que el doble clic para que la decisión de fiarte sea consciente. Si el diálogo inicial ya salió, también puedes ir a Ajustes del Sistema → Privacidad y seguridad, donde durante aproximadamente una hora aparecerá el botón «Abrir de todas formas» junto al aviso de la app bloqueada.

Lo que no debes hacer es lo que sugieren algunos foros: desactivar Gatekeeper entero con sudo spctl --master-disable. Eso elimina el filtro para todas las apps y todos los usuarios del Mac, de forma permanente, para abrir una sola. Es como quitar la puerta de casa porque un día esperas una visita. La excepción individual es gratis; la desactivación global te deja vendido.

Antes de usar la excepción, aplica el sentido común de ingeniero: descarga siempre desde la web oficial del desarrollador (no desde portales de descargas ni enlaces recibidos por correo), comprueba que el dominio es el correcto y, si el proyecto es open source, verifica que el binario procede del repositorio oficial.

¿Necesitas antivirus además de Gatekeeper?

Gatekeeper y XProtect cubren bien el malware conocido en el momento de abrir apps, pero no analizan tu disco completo ni vigilan los procesos en ejecución. Para la mayoría de usuarios las defensas integradas bastan; para perfiles de riesgo (descargas frecuentes, archivos de terceros) puede tener sentido una capa extra. Lo analizamos con calma en el artículo sobre si necesitas antivirus en Mac. Un antivirus de terceros tampoco sustituye a Gatekeeper: son piezas complementarias, junto con las actualizaciones de macOS al día.

Preguntas frecuentes

¿Gatekeeper comprueba las apps de la App Store? No hace falta: las apps de la App Store ya pasaron la revisión de Apple antes de publicarse, que es un filtro más estricto que la notarización. Gatekeeper actúa sobre el software descargado por fuera.

¿Por qué una app que ayer se abría hoy dice estar dañada? Lo habitual es que Apple haya revocado su certificado o su tique de notarización (por ejemplo, si se detectó que distribuía malware) o que el archivo se haya modificado desde la primera apertura. Descarga de nuevo la versión actual desde la web oficial.

¿Puedo quitar la cuarentena a un archivo con Terminal? Técnicamente sí, con xattr -d com.apple.quarantine sobre el archivo, y el efecto es el mismo que abrir con el botón derecho: la app deja de pasar el control del primer lanzamiento. Úsalo solo si sabes exactamente qué archivo estás marcando como de confianza.

¿Desactivar Gatekeeper acelera la apertura de apps? No de forma apreciable. La verificación de firma y notarización tarda milisegundos y solo ocurre en el primer lanzamiento; nadie gana rendimiento desactivándolo, solo pierde protección.

En resumen: Gatekeeper es el filtro que hace que instalar cosas en un Mac sea razonablemente seguro por defecto. Cuando bloquee una app, no lo apagues: decide si confías en el origen y, si es así, ábrela con el botón derecho y conviértela en excepción. El portero solo molesta una vez por app, y ese pequeño rozamiento es exactamente lo que mantiene fuera al malware.