Utiliser le service Signature d'application Play

Avec le service Signature d'application Play, Google gère et protège la clé de signature de votre application sur la même infrastructure sécurisée que celle utilisée par Google pour ses propres clés. Ces clés sont protégées par le service de gestion des clés de Google. Pour en savoir plus sur cette infrastructure de pointe, consultez le Livre blanc sur Google Cloud Security.

 

Pourquoi utiliser le service Signature d'application Play ? En plus de vous protéger contre la perte définitive ou le piratage de vos clés, l'inscription au service Signature d'application Play vous permet de bénéficier des améliorations pour vos Android App Bundles (.aab). En laissant Google signer les APK de distribution optimisés générés à partir de vos app bundles, vous avez accès à des services intéressants comme la protection automatique et la traduction automatique des chaînes à l'aide des modèles Gemini. Les jeux ont accès à des services automatiques supplémentaires tels que Play Games Sidekick, la fonctionnalité Jouer pendant le téléchargement et les essais sans frais pour les titres payants.

Pour configurer la signature d'application Play, vous devez être le titulaire du compte ou disposer de l'autorisation Mettre les applications à disposition de tous les utilisateurs, exclure des appareils et utiliser la signature d'application Play, et accepter les Conditions d'utilisation.

Concepts fondamentaux

Lorsque vous utilisez le service Signature d'application Play, vous devez gérer deux clés distinctes. Il est essentiel de comprendre la différence entre ces deux types de clés et leurs formats techniques afin d'éviter les problèmes d'authentification avec les API tierces.

Type de clé	Titulaire	Détails techniques et objectif
Clé d'importation	Vous (veillez à la conserver en lieu sûr)	Format : stockée dans un keystore Java (.jks ou .keystore). Exigence : Il doit s'agir d'une clé RSA de 2 048 bits ou plus. Objectif : cette clé vous permet de signer votre app bundle avant de l'importer dans la Play Console. Google l'utilise pour valider votre identité. Si elle est compromise ou perdue, Google peut la réinitialiser pour vous.
Clé de signature d'application	Google Play	Format : associée à un certificat public (.der ou .pem). Exigence : les clés générées par Google sont des clés RSA de 4 096 bits. Les clés personnalisées doivent être des clés RSA de 2 048 bits ou plus. Objectif : Google utilise cette clé pour signer les APK finaux diffusés sur les appareils des utilisateurs. Vous pouvez demander à Google de la générer ou la fournir vous-même. Si vous gérez vous-même cette clé (sans le service Signature d'application Play) et que vous la perdez, vous ne pourrez pas la réinitialiser.

Remarque : Pour une sécurité maximale, votre clé d'importation et votre clé de signature d'application doivent être différentes.

Comment Google signe votre application : lorsque Google génère et signe vos APK avec la clé de signature d'application, il utilise apksigner pour ajouter deux identifiants au fichier manifeste de votre application (com.android.stamp.source et com.android.stamp.type). Ces identifiants garantissent que vos APK peuvent être retracés de manière sécurisée jusqu'au signataire d'origine.

Configurer la signature d'application Play

La procédure de configuration dépend de si vous publiez une nouvelle application ou migrez une application existante.

Pour les nouvelles applications

1. Créez une clé d'importation : générez un keystore pour signer l'app bundle de votre version. Vous pouvez le générer dans Android Studio ou utiliser l'utilitaire Java keytool à partir de la ligne de commande.
2. Importez votre app bundle : accédez à la Play Console et préparez une nouvelle version. Par défaut, lorsque vous importez votre app bundle, la signature d'application Play génère automatiquement une clé RSA de 4 096 bits cryptographiquement sécurisée pour gérer et protéger votre application. Plus de 90 % des nouvelles applications utilisent cette option recommandée par défaut. Aucune autre action n'est requise pour la configurer.
3. Modifiez la clé de signature d'application (facultatif) : les développeurs expérimentés qui souhaitent gérer leur propre clé peuvent modifier cette valeur par défaut. Pour ce faire, cliquez sur Modifier la clé de signature dans la section Intégrité des applis de votre version ou accédez à Protégé avec Play > Distribution sur le Play Store > Accéder à la signature d'application Play. Vous pouvez ensuite choisir l'une des options suivantes :
   • Utiliser la même clé qu'une autre application dans ce compte de développeur
   • Fournir une copie de votre clé de signature d'application : commencez par télécharger la clé de chiffrement publique de Google depuis la Play Console. Ensuite, utilisez l'outil Play Encrypt Private Key (PEPK) (vous pouvez télécharger une version compilée ou son code source directement depuis la Console pour le vérifier, ou le compiler vous-même) afin de chiffrer et d'importer de manière sécurisée votre clé RSA existante (2048 bits ou plus) depuis n'importe quel dépôt.

Pour les applications existantes

Si vous gérez actuellement vos propres clés et importez des APK, vous pouvez passer à la signature d'application Play pour profiter des app bundles et des améliorations Play.

1. Accédez à Protégé par Play > Protection Play Store > Accéder à la signature d'application Play dans la Play Console.
2. Acceptez les Conditions d'utilisation, si vous ne l'avez pas déjà fait.
3. Transférez une copie de votre clé d'origine : téléchargez l'outil PEPK et suivez les instructions détaillées unifiées pour chiffrer et importer votre clé de signature d'application existante depuis n'importe quel dépôt.

Créez une clé d'importation (recommandé) : générez une nouvelle clé dans Android Studio afin de l'utiliser comme clé d'importation à l'avenir, puis enregistrez son certificat dans la Play Console.

S'enregistrer auprès des fournisseurs d'API

Si votre application utilise des API (comme Google Maps, OAuth ou Facebook Login), ces services authentifient votre application à l'aide de l'empreinte de la clé de signature de votre application.

Étant donné que Google signe l'APK final, vous devez enregistrer l'empreinte de la clé de signature d'application détenue par Google auprès de vos fournisseurs d'API, et pas seulement votre clé d'importation locale.

1. Accédez à Protégé avec Play > Distribution sur le Play Store > Accéder à la signature d'application Play.
2. Faites défiler la page jusqu'à la section Clé de signature d'applications.
3. Copiez les empreintes requises (SHA-1 ou SHA-256).
4. Collez ces empreintes dans la console de votre fournisseur d'API (par exemple, la console Google Cloud).
   Conseil : Mettez à jour votre fichier assetlinks.json avec ces empreintes si vous utilisez Android App Links.

Gérer vos clés

Mettre à niveau votre clé de signature d'application

Si votre clé de signature d'application est compromise ou si vous avez besoin d'une clé avec un chiffrement renforcé, vous pouvez demander une mise à niveau annuelle pour toutes les installations sur Android N (niveau d'API 24) et versions ultérieures.

Comportement selon les versions d'Android :

• Android T (niveau d'API 33) et versions ultérieures : la plate-forme Android impose strictement l'utilisation de votre clé mise à niveau.
• Android N (niveau d'API 24) à Android S (niveau d'API 32) : la plate-forme Android elle-même n'impose pas la clé mise à niveau et reconnaît toujours l'ancienne clé de signature. Toutefois, Google Play Protect fournit une validation supplémentaire en vérifiant que les mises à jour de l'application sont signées avec votre clé mise à niveau (sauf si l'utilisateur désactive cette vérification).

Remarque importante :

• Données partagées : étant donné que la plate-forme n'impose pas la clé mise à niveau sur Android S (niveau d'API 32) et versions antérieures, si vous utilisez la même clé dans plusieurs applications pour partager des données, ces anciennes versions d'Android ne reconnaîtront que l'ancienne clé pour des fonctionnalités telles que le partage d'autorisations personnalisées.

Comment mettre à niveau :

1. Accédez à Protégé avec Play > Distribution sur le Play Store > Accéder à la signature d'application Play.
2. Dans la section "Clé de signature d'applications", cliquez sur Mettre à jour la clé.
3. Choisissez une option :
   • Autoriser Google Play à générer une nouvelle clé de signature d'applications (recommandé)
   • Utiliser la même clé de signature d'applications qu'une autre application de ce compte de développeur
   • Fournir une copie de votre clé de signature d'application (en suivant les instructions)
4. Cliquez sur Enregistrer et enregistrez les nouvelles empreintes de clé auprès de vos fournisseurs d'API.

Demander la réinitialisation d'une clé d'importation

Si vous perdez votre clé d'importation ou si vous pensez qu'elle a été piratée, vous pourrez toujours accéder à votre application.

1. Créez une clé d'importation dans Android Studio.
2. Exportez le certificat au format PEM :
   keytool -export -rfc -keystore upload-keystore.jks -alias upload -file upload_certificate.pem
   (Pour obtenir de l'aide concernant les chemins d'accès à keytool et au keystore, consultez le guide pour la signature d'applications Android Studio.)
3. Une fois votre fichier PEM généré, envoyez la demande de réinitialisation dans la Play Console.
4. Accédez à Protégé avec Play > Protection Play Store > Gérer la signature d'application Play.
5. Dans la section Certificat de clé d'importation, cliquez sur Demander la réinitialisation de la clé d'importation.
6. Indiquez le motif de la réinitialisation.
7. Importez votre fichier upload_certificate.pem, puis cliquez sur Envoyer une demande.

Bonnes pratiques et distribution alternative

• Sécurité : protégez votre accès à la Play Console en appliquant la validation en deux étapes pour tous les utilisateurs.
• Améliorations Play : l'inscription au service Signature d'application Play vous permet d'accéder aux améliorations Play pour vos app bundles. Pour recevoir les mises à jour, commencez par apporter les modifications nécessaires lorsque vous créez une version, puis importez le nouvel app bundle.
• Distribution en dehors de Google Play : si vous distribuez votre application sur d'autres magasins d'applications et que vous souhaitez utiliser la même clé de signature partout, deux options s'offrent à vous : Vous pouvez laisser Google générer votre clé de signature d'application et télécharger un APK universel signé à partir des dernières versions et des derniers bundles pour le distribuer ailleurs (accédez à Tester et publier > Versions et bundles les plus récents, sélectionnez votre app bundle, puis cliquez sur l'onglet Téléchargements). Vous pouvez également générer la clé de signature d'application que vous souhaitez utiliser pour tous les magasins d'applications et en transférer une copie à Google lorsque vous configurez la signature d'application Play.
• Tests : utilisez le partage interne d'applications pour tester exactement ce que Google Play fournira aux utilisateurs, ou téléchargez des APK spécifiques à un appareil depuis l'explorateur d'app bundle et installez-les localement à l'aide de la commande adb install-multiple *.apk.
• Schéma de signature d'APK v4 : le service Signature d'application Play utilise automatiquement la signature v4 pour les applications éligibles afin de permettre une distribution optimisée sur les appareils Android 11 et versions ultérieures. Aucune action de votre part n'est requise. Pour en savoir plus sur les avantages techniques, consultez la documentation sur le schéma de signature d'APK v4.
• Projets Google Cloud auto-hébergés : si vous avez des exigences de sécurité très spécifiques (par exemple, l'utilisation de clés OEM), vous pouvez utiliser l'API Play Developer pour vous inscrire au service Signature d'application Play à l'aide d'un projet Google Cloud auto-hébergé. Remarque : Il s'agit d'une configuration non standard qui n'est pas recommandée. Si vous utilisez un projet auto-hébergé, vous assumez l'entière responsabilité des opérations de signature d'application. Ce faisant, Google Play ne peut pas prendre en charge certaines fonctionnalités essentielles, comme la reprise après sinistre.