storePassword "..." está en build.gradle, el tipo de compilación release sigue firmado con signingConfigs.debug y targetSdk = 35 ya no pasa en Google Play para apps de teléfono desde el 31 de agosto de 2026. Esta skill detecta esos y otros once errores de la compilación de lanzamiento en tus archivos de Gradle antes de subirla, y te explica cómo corregir cada uno.

Tu agente ejecuta un escáner sobre los archivos build.gradle y build.gradle.kts (módulos de app y de biblioteca, el archivo de compilación raíz, archivos de settings y archivos compartidos como variables.gradle de Capacitor), gradle.properties, local.properties, keystore.properties, key.properties y signing.properties, gradle/libs.versions.toml, archivos de reglas de R8 (proguard-rules.pro, consumer-rules.pro, keepRules/*.keep) y los nombres de los archivos keystore. Omite los comentarios, sigue los bloques de Gradle tal como los lee Gradle (buildTypes { release { } }, getByName("release"), named("release"), android.buildTypes.release...), lee llamadas de Kotlin DSL cuyos argumentos están en líneas separadas, sigue valores simples definidos en el mismo archivo (enableProguardInReleaseBuilds de React Native, ext { targetSdkVersion = 33 }), distingue los módulos de Wear OS, TV, Automotive y XR de las apps de teléfono por sus dependencias y deja fuera los archivos de firma y keystores cubiertos por un .gitignore. Funciona con proyectos de Android Studio, Flutter, React Native, Expo, Capacitor y Kotlin Multiplatform. Nunca ejecuta Gradle ni tu código. Devuelve BLOCK, REVIEW o NOT FLAGGED, con el archivo, la línea, el motivo y un enfoque más seguro. Los secretos nunca se muestran.

Qué revisa

BLOCK (corregir antes de publicar)

• A01: storePassword o keyPassword escritos en un archivo de compilación (también como valor de respaldo tras System.getenv, getOrElse u orElse), contraseñas de firma en el gradle.properties del proyecto, y archivos keystore.properties, key.properties, signing.properties o local.properties con contraseñas que ningún .gitignore excluye
• A02: debuggable true o isDebuggable = true en el tipo de compilación release
• A03: el tipo de compilación release firmado con la configuración de firma de depuración, o una configuración de firma de release que apunta a debug.keystore (salvo que sea un marcador de posición de plantilla o que el proyecto inyecte su clave de release: ver A18)
• A04: un targetSdk que Google Play ya no acepta: inferior a 34 en cualquier caso, inferior a 35 en módulos de Wear OS y Android Automotive OS, inferior a 36 en módulos de app cuyas dependencias indican una app de teléfono o tableta
• A05: secretos, tokens, contraseñas y claves de API literales en buildConfigField, resValue o manifestPlaceholders (las claves hechas para incluirse en apps, como Google Maps, claves publicables y claves de SDK de analítica, no se informan)
• A06: archivos .jks o .keystore (o copias en base64 de ellos) en el proyecto que ningún .gitignore excluye

REVIEW (revisar antes del lanzamiento)

• A11: R8 desactivado para la compilación release de un módulo de app: minifyEnabled false, optimization { enable = false } o un bloque release que nunca lo activa
• A12: targetSdk 34 o 35 donde no se puede ver el factor de forma (bloque ext compartido, variables.gradle, gradle.properties, catálogo de versiones)
• A13: jniDebuggable true en el tipo de compilación release
• A14: un plugin de Android Gradle anterior a 8.5.1 (salvo que esté configurada la solución documentada de empaquetado heredado) o un NDK anterior a r27, no preparados para el requisito de tamaño de página de 16 KB de Google Play
• A15: -dontobfuscate, -dontoptimize, -dontshrink o reglas que conservan todo en archivos de reglas de R8, getDefaultProguardFile("proguard-android.txt") o android.enableR8.fullMode=false
• A16: lint checkReleaseBuilds false
• A17: APK Signature Scheme v2 desactivado sin v3 en una configuración de firma de release
• A18: la configuración de firma de depuración en el tipo de compilación release como marcador de posición: el comentario TODO o Caution de la plantilla está justo encima (Flutter, React Native, Expo), o el proyecto inyecta su clave de release mediante EAS Build o android.injected.signing

Qué incluye

• El escáner (Python 3.9+, solo biblioteca estándar)
• Una guía de reglas con el motivo, el enfoque más seguro y el enlace a la documentación oficial de Android para cada regla
• Un proyecto de ejemplo arriesgado y uno seguro, y el informe real que genera el escáner sobre el arriesgado

Limitaciones

Lee cada archivo tal como está escrito: los valores definidos en tiempo de compilación, los accesores de catálogo como libs.versions.targetSdk, los plugins de convención en buildSrc o build-logic y flutter.targetSdkVersion no se siguen, y los product flavors, los tipos de compilación personalizados y la variant API no se tratan como la compilación release. El factor de forma se deduce solo de las dependencias propias de cada módulo. AndroidManifest.xml y el código fuente de la app no se leen. Un archivo que git ya rastrea permanece en el repositorio aunque se añada después a .gitignore. Las reglas de SDK de destino y de 16 KB siguen los requisitos de Google Play vigentes en noviembre de 2026. Las plantillas de Flutter y React Native firman el release con la clave de depuración; esto se informa como A18 (REVIEW), porque Google Play rechaza una compilación que no recibe una clave de release de EAS Build, del asistente Generate Signed Bundle de Android Studio o de tu CI. NOT FLAGGED no es una garantía.

Contenido

Un archivo ZIP con 27 archivos: SKILL.md, el escáner en scripts/ (7 archivos de Python), references/rules.md (cada regla con su motivo y el enfoque más seguro) y examples/ (17 archivos de ejemplo más report.md, la salida real del escáner sobre el ejemplo arriesgado).

Cómo usarlo: Es una skill para agentes: una carpeta con un archivo SKILL.md y scripts de Python que puede ejecutar un agente de programación con IA como Claude Code, Cursor o Codex CLI. Descomprímela en la carpeta de skills de tu agente (para Claude Code: ~/.claude/skills/) y pide a tu agente que revise tu proyecto. Los scripts también funcionan por sí solos con Python 3.9 o posterior, sin instalar nada. Solo leen tus archivos: sin acceso a la red, y no se envía nada a ningún sitio.