unas firmadas por Zapstore: debemos confiar en que es una app legítima y que Zapstore ha hecho bien la verificación
y otras firmadas por los desarrolladores con sus claves de Nostr: no debemos confiar en Zapstore. Podemos verificar que la clave del desarrollador es la que ha firmado esa aplicación consultando su historial en Nostr. Como me cuenta Franzap en el podcast, PGP es una red de claves inactivas socialmente. Nostr, en cambio, es una red de claves vivas socialmente, con lo que es muy fácil verificar si esa clave que firma la app que queremos descargar es de quién creemos ser, ver quién la sigue e interacciona (por ejemplo "ah mira sí, Arkad ha interactuado varias veces con esa cuenta") y si tiene alguna verificación adicional como el NIP05. Con todo eso es más fácil confiar en que esa app la ha firmado su legítimo desarrollador y todo de forma distribuida. Sin que Zapstore haya tenido que dar su OK a esa app: "Yo me lo codeo, yo me lo como".