Mitjançant la signatura d'aplicacions de Play, Google gestiona i protegeix la clau de signatura de la teva aplicació i la utilitza per signar els APK de distribució optimitzats que es generen a partir dels teus app bundles. La signatura d'aplicacions de Play emmagatzema la teva clau de signatura d'aplicacions a la infraestructura segura de Google i ofereix opcions d'actualització per augmentar la seguretat.
Per utilitzar la signatura d'aplicacions de Play, cal que siguis el propietari del compte o un usuari amb el permís Fer el llançament al canal de producció, excloure dispositius i utilitzar la signatura d'aplicacions de Play i has d'acceptar les condicions del servei de la signatura d'aplicacions de Play.
Com funciona
Quan utilitzes la signatura d'aplicacions de Play, les claus s'emmagatzemen a la mateixa infraestructura segura que Google utilitza per emmagatzemar les seves pròpies claus. El servei de gestió de claus de Google les protegeix. Si vols obtenir més informació sobre la infraestructura de Google, llegeix el llibre blanc sobre seguretat de Google Cloud.
Les aplicacions d'Android se signen amb una clau privada. Per garantir que les actualitzacions d'aplicacions siguin fiables, totes les claus privades tenen un certificat públic associat que els dispositius i els serveis utilitzen per verificar que l'actualització de l'aplicació sigui de la mateixa font. Els dispositius només accepten actualitzacions quan la seva signatura coincideix amb la signatura de l'aplicació instal·lada. En permetre que Google gestioni la teva clau de signatura d'aplicacions, aquest procés és més segur.
Nota: en el cas de les aplicacions creades abans de l'agost de 2021, pots continuar penjant un APK i gestionant les teves pròpies claus en lloc d'utilitzar la signatura d'aplicacions de Play i fer les publicacions amb un Android App Bundle. Tanmateix, si el teu magatzem de claus es perd o està en perill, per actualitzar l'aplicació hauràs de publicar-ne una de nova amb un nom de paquet nou. Per a aquestes aplicacions, Play et recomana que utilitzis la signatura d'aplicacions de Play i que canviïs a app bundles.
Descripcions de claus, artefactes i eines| Terme | Descripció |
|---|---|
| Clau de signatura d'aplicacions |
És la clau que fa servir Google Play per signar els APK que s'entreguen al dispositiu d'un usuari. Quan fas servir la signatura d'aplicacions de Play, pots penjar una clau de signatura d'aplicacions existent o fer que Google te'n generi una. Cal mantenir la clau de signatura d'aplicacions en secret, però el certificat públic de l'aplicació es pot compartir. |
| Clau de pujada |
És la clau que fas servir per signar l'app bundle abans de penjar-lo a Google Play. Cal mantenir la clau de pujada en secret, però el certificat públic de l'aplicació es pot compartir. Per motius de seguretat, és recomanable que la clau de signatura d'aplicacions i la clau de pujada siguin diferents. Hi ha dues maneres de generar una clau de pujada:
|
Certificat (.der o .pem) |
Els certificats contenen una clau pública i informació identificadora addicional sobre el propietari de la clau. El certificat de clau pública permet que qualsevol persona verifiqui qui ha signat l'app bundle o l'APK, i es pot compartir lliurement perquè no inclou la clau privada. Per registrar les teves claus amb els proveïdors d'API, pots baixar el certificat públic per a les claus de signatura d'aplicacions i les claus de pujada des de la pàgina Signatura d'aplicacions de Play (Versió > Configuració > Signatura d'aplicacions) de Play Console. Pots compartir el certificat de clau pública amb qui vulguis, ja que no inclou la clau privada. |
| Empremta digital del certificat |
És una representació curta i única d'un certificat que els proveïdors d'API sol·liciten sovint amb el nom del paquet per registrar una aplicació a fi d'utilitzar els seus serveis. Les empremtes digitals MD5, SHA-1 i SHA-256 dels certificats de signatura d'aplicacions i de pujada es poden trobar a la pàgina Signatura d'aplicacions de Play (Versió > Configuració > Signatura d'aplicacions) de Play Console. Per calcular altres empremtes digitals, es pot baixar el certificat original ( |
Magatzem de claus de Java (.jks o .keystore) |
És un repositori de certificats de seguretat i claus privades. |
| Eina Play Encrypt Private Key (PEPK) |
És una eina per exportar claus privades d'un magatzem de claus de Java i encriptar-les per transferir-les a Google Play. Quan proporcionis la clau de signatura d'aplicacions que Google ha d'utilitzar, selecciona l'opció d'exportar i pujar la clau (i el seu certificat públic en cas necessari) i segueix les instruccions per baixar i fer servir l'eina. Si ho prefereixes, pots baixar, revisar i utilitzar el codi obert de l'eina PEPK. |
El procés funciona d'aquesta manera:
- Signa l'app bundle i penja'l a Play Console.
- Google genera APK optimitzats de l'app bundle i els signa amb la clau de signatura d'aplicacions.
- Google utilitza apksigner per afegir dos segells al fitxer de manifest de l'aplicació (
com.android.stamp.sourceicom.android.stamp.type) i, a continuació, signa els APK amb la teva clau de signatura d'aplicacions. Els segells afegits per apksigner permeten fer el seguiment dels APK fins al signatari. - Google entrega els APK signats als usuaris.
Configurar i gestionar la signatura d'aplicacions de Play
Si l'aplicació encara no fa servir la signatura d'aplicacions de Play, segueix les instruccions que trobaràs a continuació.
Pas 1: crea una clau de pujada
- Seguint aquestes instruccions, crea una clau de pujada.
- Signa l'app bundle amb la clau de pujada.
Pas 2: prepara la versió
- Segueix aquestes instruccions per preparar i llançar la versió.
- Després de seleccionar un canal de versió, la secció "Integritat de l'aplicació" mostrarà l'estat de la signatura d'aplicacions de Play de la teva aplicació.
- Per continuar amb una clau de signatura d'aplicacions generada per Google, penja l'app bundle. Com a alternativa, pots seleccionar Canvia la clau de signatura d'aplicacions per accedir a les opcions següents:
- Utilitzar una clau de signatura d'aplicacions generada per Google: més del 90% de les aplicacions noves fan servir claus de signatura d'aplicacions generades per Google. Utilitzar una clau generada per Google protegeix contra la pèrdua i els perills (la clau no es pot baixar). Si tries aquesta opció, pots baixar des de l'explorador d'app bundles els APK de distribució ja signats amb la clau generada per Google per a altres canals de distribució, o bé pots utilitzar una altra clau.
- Utilitzar una altra clau de signatura d'aplicacions: si tries la clau de signatura d'aplicacions, pots utilitzar la mateixa clau que la d'una altra aplicació del teu compte de desenvolupador o conservar una còpia local de la teva clau de signatura d'aplicacions per tenir més flexibilitat. Per exemple, pot ser que ja hagis decidit quina clau vols fer servir perquè l'aplicació ja està preinstal·lada en alguns dispositius. Tenir una còpia de la clau a fora dels servidors de Google incrementa el risc si mai perilla la còpia local. Tens les opcions següents per utilitzar una altra clau:
- Fer servir la mateixa clau de signatura d'aplicacions que la d'una altra aplicació d'aquest compte de desenvolupador.
- Exportar i penjar una clau del magatzem de claus de Java.
- Exportar i penjar una clau sense utilitzar el magatzem de claus de Java.
- Desactiva la signatura d'aplicacions de Play (només has de triar aquesta opció si penses actualitzar la clau de signatura d'aplicacions per inscriure't a la signatura d'aplicacions de Play).
- Completa les instruccions restants per preparar i llançar la versió.
Nota: has d'acceptar les condicions del servei i activar la signatura d'aplicacions per continuar.
Pas 3: registra la clau de signatura d'aplicacions amb els proveïdors d'API
Si la teva aplicació utilitza alguna API, per motius d'autenticació normalment has de registrar-hi la clau de signatura d'aplicacions amb l'empremta digital del certificat. Segueix aquests passos per trobar el certificat:
- Obre Play Console i ves a la pàgina Signatura d'aplicacions de Play (Versió > Configuració > Signatura d'aplicacions).
- Consell: també pots accedir a aquesta pàgina a través de la pàgina Integritat de l'aplicació (Versió > Integritat de l'aplicació), que conté els serveis d'integritat i de signatura que t'ajuden a assegurar-te que els usuaris tinguin l'experiència prevista a les teves aplicacions i als teus jocs.
- Desplaça't fins a la secció "Certificat de la clau de signatura d'aplicacions" i copia les empremtes digitals (MD5, SHA-1 i SHA-256) del certificat de signatura d'aplicacions.
- Si el proveïdor d'API requereix un altre tipus d'empremta digital, també pots baixar el certificat original en format
.deri aplicar-hi les modificacions que requereixi el proveïdor d'API mitjançant les eines de conversió pertinents.
- Si el proveïdor d'API requereix un altre tipus d'empremta digital, també pots baixar el certificat original en format
Quan utilitzes una clau generada per Google, Google genera automàticament una clau RSA criptogràficament segura de 4.096 bits. Si optes per penjar la teva pròpia clau de signatura d'aplicacions, ha de ser una clau RSA de 2.048 bits com a mínim.
Pas 1: configura la signatura d'aplicacions de Play
- Obre Play Console i ves a la pàgina Signatura d'aplicacions de Play (Versió > Configuració > Signatura d'aplicacions).
- Consell: també pots accedir a aquesta pàgina a través de la pàgina Integritat de l'aplicació (Versió > Integritat de l'aplicació), que conté els serveis d'integritat i de signatura que t'ajuden a assegurar-te que els usuaris tinguin l'experiència prevista a les teves aplicacions i als teus jocs.
- Si encara no ho has fet, llegeix les condicions del servei de la signatura d'aplicacions de Play i selecciona Accepta.
Pas 2: envia una còpia de la clau original a Google i crea una clau de pujada
- Cerca la teva clau de signatura d'aplicacions original.
- Obre Play Console i ves a la pàgina Signatura d'aplicacions de Play (Versió > Configuració > Signatura d'aplicacions).
- Selecciona l'opció d'exportació i de pujada que s'adapti millor al teu procés de llançament i penja una clau de signatura d'aplicacions existent.
Pas 3: crea una clau de pujada (opcional i recomanat)
- Crea una clau de pujada i penja'n el certificat a Google Play.
- També pots seguir fent servir la clau de signatura d'aplicacions com a clau de pujada.
- Copia les empremtes digitals (MD5, SHA-1 i SHA-256) del certificat de signatura d'aplicacions.
- Per motius d'autenticació, és possible que hagis de registrar el certificat de la clau de pujada amb els proveïdors d'API mitjançant l'empremta digital del certificat i la clau de signatura d'aplicacions.
Pas 4: signa la propera actualització de l'aplicació amb la clau de pujada
Quan llancis actualitzacions de l'aplicació, les hauràs de signar amb la clau de pujada.
- Si no has generat una clau de pujada nova: continua utilitzant la clau de signatura d'aplicacions original per signar els app bundles abans de penjar-los a Google Play. Si mai perds la clau de signatura d'aplicacions original, pots generar una clau de pujada nova i registrar-la amb Google per continuar actualitzant l'aplicació.
- Si has generat una clau de pujada nova: fes servir la clau de pujada nova per signar els app bundles abans de penjar-los a Google Play. Google utilitza la clau de pujada per verificar la teva identitat. Si mai perds la clau de pujada, pots contactar amb el servei d'assistència per restablir-la.
Et recomanem que ho facis si no pots compartir la clau actual. Abans d'actualitzar la clau de signatura d'aplicacions per inscriure-t'hi, tingues en compte el següent:
- Aquesta opció requereix una versió dual.
- Hauràs de penjar un app bundle i un APK signats amb la clau heretada en cada versió. Google Play utilitzarà els app bundles per generar APK signats amb la nova clau en el cas dels dispositius amb Android R* (nivell d'API 30) o versions posteriors. Els APK heretats es faran servir per a versions anteriors d'Android (fins al nivell d'API 29).
* Si l'aplicació fa servir sharedUserId, es recomana aplicar l'actualització de la clau per a les instal·lacions i les actualitzacions en dispositius amb Android T (nivell d'API 33) o versions posteriors. Per configurar aquesta opció, defineix una versió mínima precisa de l'SDK a la configuració del paquet.
Pas 1: penja la clau nova i genera i penja una prova de rotació
Si vols que es confiï en la clau nova als dispositius Android, hauràs de penjar una clau de signatura nova des d'un repositori i generar i penjar una prova de rotació:
- Obre Play Console i ves a la pàgina Signatura d'aplicacions de Play (Versió > Configuració > Signatura d'aplicacions).
- Consell: també pots accedir a aquesta pàgina a través de la pàgina Integritat de l'aplicació (Versió > Integritat de l'aplicació), que conté els serveis d'integritat i de signatura que t'ajuden a assegurar-te que els usuaris tinguin l'experiència prevista a les teves aplicacions i als teus jocs.
- Selecciona la pestanya Signatura d'aplicacions.
- Fes clic a Mostra les opcions avançades i selecciona Utilitza una nova clau de signatura d'aplicacions (caldran versions dobles en curs).
- Tria si vols fer servir la mateixa clau de signatura d'aplicacions que una altra aplicació del compte de desenvolupador o bé penjar una clau de signatura d'aplicacions nova d'Android Studio, un magatzem de claus de Java o un altre repositori.
- Segueix les instruccions en pantalla i baixa i executa l'eina PEPK.
- Quan el fitxer ZIP estigui a punt, fes clic a Penja el ZIP generat i penja'l a Play Console.
- Al costat de "5. Permet que es confiï en la nova clau als dispositius Android penjant una prova de rotació", fes clic a Mostra les instruccions.
- Baixa APKSigner i genera una prova de rotació executant aquesta ordre:
$ apksigner rotate --out /path/to/new/file --old-signer --ks old-signer-jks --set-rollback true --new-signer --ks new-signer-jks --set-rollback true
- Fes clic a Penja el fitxer de la prova de rotació generada i penja la prova de rotació generada al pas 8.
- Fes clic a Desa.
Crear una clau de pujada i actualitzar els magatzems de claus
Per augmentar la seguretat, es recomana signar les aplicacions amb una clau de pujada nova en lloc d'utilitzar la clau de signatura d'aplicacions.
Pots crear una clau de pujada quan activis la signatura d'aplicacions de Play, o bé més tard a la pàgina Signatura d'aplicacions de Play (Versió > Configuració > Signatura d'aplicacions).
Per crear una clau de pujada:
- Segueix les instruccions que trobaràs al lloc web per a desenvolupadors d'Android. Desa la clau en un lloc segur.
- Exporta el certificat de la clau de pujada en format PEM. Substitueix els arguments subratllats següents:
$ keytool -export -rfc -keystore upload-keystore.jks -alias upload -file upload_certificate.pem
-
Quan se't demani durant el procés de llançament, penja el certificat per registrar-lo a Google.
Quan fas servir una clau de pujada:
- La clau de pujada només es registra a Google per autenticar la identitat del creador de les aplicacions.
- La teva signatura se suprimeix de tots els APK penjats abans d'enviar-los als usuaris.
- Han de ser del tipus RSA amb 2.048 bits o més.
Després de crear una clau de pujada, és recomanable revisar i actualitzar algunes ubicacions:
- Equip local
- Servidor físic bloquejat (ACL variables)
- Equip en núvol (ACL variables)
- Serveis específics per gestionar secrets
- Repositoris (Git)
Actualitzar una clau de signatura d'aplicacions
En alguns casos, pots sol·licitar una actualització de la clau de signatura d'aplicacions.
A continuació t'indiquem dues raons per sol·licitar una actualització de la clau de signatura d'aplicacions:
- Necessites una clau criptogràficament més segura.
- La clau de signatura d'aplicacions està en perill.
Important: les actualitzacions de claus només s'admeten per a les aplicacions que utilitzen app bundles.
Abans de sol·licitar que s'actualitzi la clau a Play Console, llegeix la secció Consideracions importants abans de sol·licitar que s'actualitzi la clau, més avall. Després, pots desplegar les altres seccions que hi ha a continuació per obtenir més informació sobre com pots sol·licitar una actualització de la clau.
Consideracions importants abans de sol·licitar que s'actualitzi la clauAbans de sol·licitar que s'actualitzi la clau, és important entendre els canvis que potser hauràs de fer un cop completada l'actualització.
- Si utilitzes la mateixa clau de signatura d'aplicacions per compartir dades o codi entre diverses aplicacions, has d'actualitzar-les perquè reconeguin els certificats de la clau de signatura d'aplicacions nova i de l'heretada.Als dispositius amb Android S (nivell d'API 32) o versions anteriors, la plataforma Android només reconeix el certificat de la clau de signatura d'aplicacions heretada amb la finalitat de compartir dades o codis.
- Si la teva aplicació fa servir API, assegura't de registrar els certificats de la clau de signatura d'aplicacions nova i de l'heretada amb proveïdors d'API abans de publicar-ne una actualització per garantir que les API continuen funcionant. Els certificats estan disponibles a la pàgina Signatura d'aplicacions de Play (Versió > Configuració > Signatura d'aplicacions) de Play Console.
- Si algun usuari de l'aplicació n'instal·la actualitzacions mitjançant mètodes de compartició d'igual a igual, només podrà instal·lar les que estiguin signades amb la mateixa clau que la de la versió de la teva aplicació que ja hagi instal·lat. Si no pot actualitzar l'aplicació perquè la versió que té està signada amb una clau diferent, pot desinstal·lar i tornar a instal·lar l'aplicació per obtenir l'actualització.
La clau de signatura de cada aplicació es pot actualitzar per a totes les instal·lacions a Android N (nivell d'API 24) i versions posteriors un cop l'any.
Si sol·licites correctament aquesta actualització de la clau, s'utilitzarà la clau nova per signar totes les instal·lacions i actualitzacions d'aplicacions. En dispositius amb Android T (nivell d'API 33) i versions posteriors, la plataforma Android aplica l'ús de la clau actualitzada. Als dispositius amb Android S (nivell d'API 32) o versions anteriors, la plataforma Android no aplica l'ús d'aquesta clau actualitzada i continua reconeixent la clau de signatura heretada com a clau de signatura de l'aplicació. Això també inclou totes les funcions de les plataformes Android (per exemple, l'opció de compartir permisos personalitzats) que depenen de la clau de signatura de l'aplicació. Als dispositius amb versions entre Android N (nivell d'API 24) i Android S (nivell d'API 32), Google Play Protect comprovarà que les actualitzacions d'aplicacions se signin amb la clau actualitzada, tret que l'usuari les desactivi. Això proporciona una validació addicional, ja que la plataforma Android no aplica l'ús de la clau actualitzada en dispositius amb Android S (nivell d'API 32) o versions anteriors.
- Obre Play Console i ves a la pàgina Signatura d'aplicacions de Play (Versió > Configuració > Signatura d'aplicacions).
- Consell: també pots accedir a aquesta pàgina a través de la pàgina Integritat de l'aplicació (Versió > Integritat de l'aplicació), que conté els serveis d'integritat i de signatura que t'ajuden a assegurar-te que els usuaris tinguin l'experiència prevista a les teves aplicacions i als teus jocs.
- A la targeta "Actualitza la clau de signatura d'aplicacions", selecciona Sol·licita una actualització de la clau.
- Selecciona una opció per actualitzar la teva clau de signatura d'aplicacions en totes les instal·lacions a Android N i versions posteriors.
- Demana a Google que generi una clau de signatura d'aplicacions nova (opció recomanada) o penja'n una.
- Després d'actualitzar la clau de signatura d'aplicacions, si has utilitzat la mateixa clau com a clau de signatura d'aplicacions i com a clau de pujada, pots continuar utilitzant la clau de signatura d'aplicacions heretada com a clau de pujada o generar una clau de pujada nova.
- Selecciona un motiu per sol·licitar l'actualització de la clau de signatura d'aplicacions.
- Si cal, registra la clau de signatura d'aplicacions nova amb els proveïdors d'API.
Consell: si distribueixes l'aplicació en diversos canals de distribució i vols maximitzar la compatibilitat amb l'actualització de l'aplicació dels usuaris, has d'actualitzar la clau en cada canal de distribució. Per ser compatible amb l'actualització de la clau de Google Play, fes servir l'eina ApkSigner, inclosa amb les eines de compilació de l'SDK d'Android (revisió 33.0.1 o posterior):
$ apksigner sign --in ${INPUT_APK}
--out ${OUTPUT_APK}
--ks ${ORIGINAL_KEYSTORE}
--ks-key-alias ${ORIGINAL_KEY_ALIAS}
--next-signer --ks ${UPGRADED_KEYSTORE}
--ks-key-alias ${UPGRADED_KEY_ALIAS}
--lineage ${LINEAGE}
Obtén més informació sobre com funcionen les actualitzacions de les aplicacions.
Pràctiques recomanades
- Si també distribueixes l'aplicació fora de Google Play o tens previst fer-ho en el futur i vols fer servir la mateixa clau de signatura, tens dues opcions:
- Fer que Google generi la clau (opció recomanada) i, a continuació, baixar un APK universal signat des de l'explorador d'app bundles per distribuir-lo fora de Google Play.
- O bé generar la clau de signatura d'aplicacions que vulguis utilitzar per a totes les botigues d'aplicacions i, tot seguit, transferir-ne una còpia a Google quan configuris la signatura d'aplicacions de Play.
- Per protegir el teu compte de Play Console, activa la verificació en dos passos per als comptes que hi tinguin accés.
- Després de publicar un app bundle en un canal de versió, pots visitar l'explorador d'app bundles per accedir als APK instal·lables que Google genera a partir del teu app bundle. Pots:
- Copiar i compartir un enllaç de compartició interna d'aplicacions que et permeti provar, amb un sol toc, el que Google Play instal·laria des del teu app bundle en diferents dispositius.
- Baixar un APK signat i universal. Aquest APK únic està signat amb la clau de signatura d'aplicacions que té Google i que es pot instal·lar en qualsevol dispositiu compatible amb l'aplicació.
- Baixar un fitxer ZIP amb tots els APK per a un dispositiu concret. Aquests APK se signen amb la clau de signatura d'aplicacions que té Google. Pots instal·lar els APK del fitxer ZIP en un dispositiu mitjançant l'ordre
adb install-multiple *.apk.
- Per augmentar la seguretat, genera una clau de pujada nova que sigui diferent de la clau de signatura d'aplicacions.
- Si fas servir una API de Google, pots registrar la clau de pujada i els certificats de la clau de signatura d'aplicacions a la consola de Google Cloud per a la teva aplicació.
- Si utilitzes Enllaços d'aplicació d'Android, assegura't d'actualitzar les claus al fitxer JSON de Digital Asset Links corresponent al teu lloc web.
La clau de pujada s'ha perdut o està en perill?
Si has perdut la clau de pujada privada o si s'ha posat en perill, pots crear-ne una de nova. A continuació, el propietari del compte de desenvolupador podrà iniciar un restabliment de la clau a Play Console.
Després que el nostre equip d'assistència registri la clau de pujada nova, el propietari del compte i els administradors globals rebran un correu electrònic i un missatge a la safata d'entrada amb més informació. A continuació, podràs actualitzar els magatzems de claus i registrar la clau amb els proveïdors d'API.
El propietari del compte també pot cancel·lar la sol·licitud de restabliment a Play Console.
Important: restablir la clau de pujada no afecta la clau de signatura d'aplicacions que Google Play fa servir per tornar a signar els APK abans d'enviar-los als usuaris.
Versió 4 de l'esquema de signatura de l'APK
Els dispositius amb Android 11 i versions posteriors són compatibles amb la nova versió 4 de l'esquema de signatura de l'APK. La signatura d'aplicacions de Play utilitza la signatura de la versió 4 en aplicacions aptes perquè puguin accedir a les funcions de distribució optimitzades que hi ha disponibles als dispositius més recents. No cal que els desenvolupadors facin res i no es preveu que tingui cap impacte sobre els usuaris de la signatura de la versió 4.
Contingut relacionat
- Obtén informació sobre els serveis d'integritat i de signatura a Play Console.
- Obtén informació sobre els serveis d'integritat i de signatura al lloc web per a desenvolupadors d'Android.