Playn sovelluksen allekirjoittaminen

Playn sovelluksen allekirjoittamisella Google huolehtii sovelluksen allekirjoitusavaimesta puolestasi ja suojaa sen samalla suojatulla infrastruktuurilla, jota käytetään Googlen omien avainten tallentamiseen. Googlen Key Management Service (KMS) suojaa nämä avaimet. Jos haluat lisätietoa alan johtavasta infrastruktuurista, lue Googlen pilviturvallisuuskatsaus.

 

Miksi Playn sovelluksen allekirjoittamista kannattaa käyttää? Playn sovelluksen allekirjoittamisen avulla voit suojata avaimet pysyvältä menetykseltä tai vaarantumiselta ja hyödyntää Playn parannuksia Android App Bundle ‑tiedostoissa (.aab). Kun annat Googlen allekirjoittaa sovelluspaketeistasi luodut, optimoidut, jakeluun menevät APK:t, saat käyttöösi arvokkaita palveluita, kuten automaattisen suojauksen ja automaattisen merkkijonojen kääntämisen Gemini-malleilla. Pelit saavat pääsyn automaattisiin lisäpalveluihin, kuten Play Games Sidekickiin, pelaa latauksen aikana ja maksullisten pelien maksuttomiin kokeiluihin.

Jos haluat määrittää Playn sovelluksen allekirjoittamisen, sinun on oltava tilin omistaja tai sinulla on oltava Siirrä julkaisuja tuotantoon, sulje sovelluksia pois ja käytä Playn sovelluksen allekirjoittamista ‐lupa ja hyväksyttävä käyttöehdot.

Peruskäsitteet

Kun käytät Playn sovelluksen allekirjoittamista, sinulla on kaksi erillistä avainta. Erojen ja teknisten muotojen ymmärtäminen on tärkeää, jotta voit välttää todennusongelmia kolmannen osapuolen APIen kanssa.

Avaimen tyyppi	Kuka sen omistaa?	Tekniset tiedot ja tarkoitus
Lähetysavain	Sinä (pidä tämä turvassa!)	Muoto: Tallennetaan Java-avainsäilöön (.jks tai .keystore). Vaatimus: Avaimen on oltava RSA-avain, jonka pituus on vähintään 2 048 bittiä. Käyttötarkoitus: Käytät tätä avainta sovelluspaketin allekirjoittamiseen ennen sen lataamista Play Consoleen. Google käyttää sitä henkilöllisyytesi todentamiseen. Jos avain vaarantuu tai katoaa, Google voi nollata sen puolestasi.
Sovelluksen allekirjoitusavain	Google Play	Muoto: Liittyy julkiseen varmenteeseen (.der tai .pem). Vaatimus: Googlen luomat avaimet ovat 4 096-bittisiä RSA-avaimia. Omien avainten on oltava vähintään 2 048-bittisiä RSA-avaimia. Käyttötarkoitus: Google allekirjoittaa tällä avaimella lopulliset APK:t, jotka toimitetaan käyttäjien laitteille. Voit antaa Googlen luoda sen tai lisätä oman kuvauksen. Avainta ei voi nollata, jos ylläpidät sitä itse (ilman Playn sovelluksen allekirjoittamista) ja kadotat sen.

Huom. Turvallisuuden maksimoimiseksi lähetysavaimen ja sovelluksen allekirjoitusavaimen on hyvä olla keskenään erilaisia.

Näin Google allekirjoittaa sovelluksesi: Kun Google luo ja allekirjoittaa APK:si sovelluksen allekirjoitusavaimella, se lisää apksignerilla kaksi leimaa sovelluksesi manifestiin (com.android.stamp.source ja com.android.stamp.type). Näiden leimojen ansiosta APK:t voidaan jäljittää turvallisesti alkuperäiseen allekirjoittajaan.

Ota käyttöön Playn sovelluksen allekirjoittaminen

Käyttöönotto riippuu siitä, julkaisetko uuden sovelluksen vai siirrätkö aiemmin luodun.

Uusille sovelluksille

1. Luo lähetysavain: Luo avainsäilö, jolla voit allekirjoittaa julkaisun sovelluspaketin. Voit luoda sen Android Studiossa tai käyttää Java keytool ‑apuvälinettä komentoriviltä.
2. Lataa sovelluspaketti: Siirry Play Consoleen ja valmistele uusi julkaisu. Kun lataat sovelluspaketin, Playn sovelluksen allekirjoittaminen luo oletuksena salatun, vahvan RSA 4096 ‑bittisen avaimen, jolla sovellusta ylläpidetään ja suojataan. Yli 90 % uusista sovelluksista käyttää tätä suositeltua oletusasetusta, eikä sen käyttöönotto edellytä mitään toimenpiteitä.
3. Vaihda sovelluksen allekirjoitusavain (valinnainen): Kokeneet kehittäjät, jotka haluavat hallinnoida omaa avaintaan, voivat muuttaa tätä oletusta. Voit tehdä tämän klikkaamalla julkaisun Sovelluksen eheys ‐osiosta Vaihda allekirjoitusavain tai siirtymällä kohtaan Suojattu Playn avulla > Play Kaupan jakelu > Siirry Playn sovelluksen allekirjoittamiseen. Voit valita seuraavista:
   • Käytä samaa avainta kuin toinen tämän kehittäjätilin sovellus.
   • Lisää kopio sovelluksen allekirjoitusavaimesta: Lataa ensin Googlen julkinen salausavain Play Consolesta. Salaa ja lataa sitten nykyinen RSA-avain (vähintään 2 048-bittinen) mistä tahansa tallennustilasta turvallisesti Play Encrypt Private Key (PEPK) ‑työkalulla (voit ladata käännetyn työkalun tai sen lähdekoodin suoraan Consolesta, jotta voit tarkistaa tai luoda sen itse).

Aiemmin julkaistut sovellukset

Jos ylläpidät tällä hetkellä omia avaimiasi ja lähetät APK:ita, voit päivittää Playn sovelluksen allekirjoittamiseen, jotta voit hyödyntää sovelluspaketteja ja Playn parannuksia.

1. Siirry Play Consolessa kohtaan Suojattu Playn avulla > Play Kaupan jakelu > Siirry Playn sovelluksen allekirjoittamiseen.
2. Hyväksy käyttöehdot, jos et ole vielä tehnyt niin.
3. Alkuperäisen avaimen kopion siirtäminen: Lataa PEPK-työkalu ja seuraa yhtenäisiä vaiheittaisia ohjeita, niin voit salata ja ladata nykyisen sovelluksen allekirjoitusavaimen mistä tahansa tallennustilasta.

Luo uusi lähetysavain (suositus): Luo uusi avain Android Studiossa ja rekisteröi sen varmenne Play Consolessa. Käytä tätä avainta jatkossa lähetysavaimena.

Rekisteröityminen API-palveluun

Jos sovelluksesi käyttää rajapintoja (esim. Google Maps, OAuth tai Facebook-sisäänkirjautuminen), nämä palvelut todentavat sovelluksesi käyttämällä sovelluksen allekirjoitusavaimen tunnistetta.

Koska Google allekirjoittaa lopullisen APK:n, sinun on rekisteröitävä API-palveluun Googlen hallussa olevan sovelluksen allekirjoitusavaimen tunniste, ei vain paikallista lähetysavaintasi.

1. Valitse Suojattu Playlla > Play Kaupan jakelu > Siirry Playn sovelluksen allekirjoittamiseen.
2. Vieritä Sovelluksen allekirjoitusavain ‐kohtaan.
3. Kopioi tarvittavat tunnisteet (SHA-1 tai SHA-256).
4. Liitä sormenjäljet API-palveluntarjoajan konsoliin (esim. Google Cloud Consoleen).
   Vinkki: Jos käytät Android-sovelluslinkkejä, päivitä assetlinks.json-tiedosto näillä sormenjäljillä.

Avainten ylläpito

Sovelluksen allekirjoitusavaimen päivittäminen

Jos sovelluksen allekirjoitusavain on vaarantunut tai tarvitset kryptografisesti vahvemman avaimen, voit pyytää avaimen päivitystä kerran vuodessa kaikille asennuksille Android N:llä (API-taso 24) ja uudemmilla.

Näin täytäntöönpano toimii eri Android-versioissa:

• Android T (API-taso 33) ja uudemmat: Android-alusta pakottaa päivitetyn avaimen käytön.
• Android N (API-taso 24) – Android S (API-taso 32): Android-alusta ei pakota päivitetyn avaimen käyttöä ja tunnistaa edelleen vanhan allekirjoitusavaimen. Google Play Protect tarjoaa kuitenkin lisävahvistuksen tarkistamalla, että sovelluspäivitykset on allekirjoitettu päivitetyllä avaimella (ellei käyttäjä ole laittanut sitä pois päältä).

Tärkeää:

• Jaettu data: Koska alusta ei pakota päivitetyn avaimen käyttöä Android S:ssä (API-taso 32) ja sitä vanhemmissa versioissa, vanhemmat Android-versiot tunnistavat vain vanhan avaimen, jos käytät samaa avainta useissa sovelluksissa datan jakamiseen. Tämä koskee esimerkiksi omia lupien jakamisominaisuuksia.

Päivitysohjeet:

1. Valitse Suojattu Playlla > Play Kaupan jakelu > Siirry Playn sovelluksen allekirjoittamiseen.
2. Klikkaa Sovelluksen allekirjoitusavain ‑kohdasta Päivitä avain.
3. Valitse päivitystapa:
   • Anna Googlen luoda uusi sovelluksen allekirjoitusavain (suositus)
   • Käytä samaa sovelluksen allekirjoitusavainta kuin toinen tämän kehittäjätilin sovellus
   • Toimita kopio sovelluksen allekirjoitusavaimesta (seuraa ohjeita).
4. Jos lisäät oman avaimen, luo ja lataa "todiste vaihdosta" apksigner-työkalulla (sisältyy Android SDK ‑koontityökaluihin). (Katso lisätietoa tässä käytetyistä merkinnöistä apksignerin komentorividokumentaatiosta):
   • apksigner rotate --out /path/to/new/file --old-signer --ks old-signer-jks --set-rollback true --new-signer --ks new-signer-jks --set-rollback true
5. Klikkaa Tallenna ja rekisteröi uudet avainjäljet sovellusliittymäpalveluun.

Lähetysavaimen nollauksen pyytäminen

Jos kadotat lähetysavaimen tai epäilet, että se on vaarantunut, et menetä pääsyä sovellukseesi.

1. Luo uusi lähetysavain Android Studiossa.
2. Vie varmenne PEM-muodossa:
   keytool -export -rfc -keystore upload-keystore.jks -alias upload -file upload_certificate.pem
   (Lisäohjeita keytool-työkalun ja avainsäilön poluista on Android Studion sovellusten allekirjoitusoppaassa).
3. Pyydä tilin omistajaa pyytämään lähetysavaimen nollausta Play Consolen ohjelomakkeella.
4. Lataa upload_certificate.pem pyydettäessä.
   Huom. Lähetysavaimen nollaaminen ei vaikuta sovelluksen allekirjoitusavaimeen tai käyttäjiin.

Parhaat käytännöt ja vaihtoehtoinen jakelu

• Turvallisuus: Suojaa Play Consolen pääsyä ottamalla kaksivaiheinen vahvistus käyttöön kaikille käyttäjille.
• Playn parannukset: Playn sovelluksen allekirjoittamiseen liittyminen avaa pääsyn sovelluspakettien Playn parannuksiin. Jos haluat saada päivitykset, tee ensin tarvittavat muutokset uutta julkaisua luodessasi ja lataa sitten uusi sovelluspaketti.
• Jakelu Google Playn ulkopuolella: Jos jakelet sovellusta muissa sovelluskaupoissa ja haluat käyttää samaa allekirjoitusavainta kaikkialla, sinulla on kaksi vaihtoehtoa. Voit joko antaa Googlen luoda sovelluksen allekirjoitusavaimen ja ladata allekirjoitetun yleisen APK:n uusimmista julkaisuista ja paketeista, jotta voit jakaa sen muualla (siirry kohtaan Testaus ja julkaisu > Uusimmat julkaisut ja paketit, valitse sovelluspaketti ja klikkaa Lataukset-välilehteä), tai voit luoda sovelluksen allekirjoitusavaimen, jota haluat käyttää kaikissa sovelluskaupoissa, ja siirtää kopion siitä Googlelle, kun määrität Playn sovelluksen allekirjoittamisen.
• Testaus: Testaa sisäisellä sovellusten jakamisella, mitä Google Play toimittaa käyttäjille, tai lataa laitekohtaisia APK:ita sovelluspakettien hallinnasta ja asenna ne paikallisesti komennolla adb install-multiple *.apk.
• APK:n allekirjoitusmalli v4: Playn sovelluksen allekirjoittaminen käyttää automaattisesti versio 4:n allekirjoitusta ehdot täyttäville sovelluksille, jotta optimoitu jakelu on tuettu Android 11:tä ja uudempia versioita käyttävillä laitteilla. Sinun ei tarvitse tehdä mitään. Voit lukea lisää teknisistä hyödyistä APK:n allekirjoitusmallin version 4 dokumentaatiosta.
• Itse ylläpidetyt Google Cloud ‐projektit: Jos sinulla on hyvin tarkkoja tietoturvavaatimuksia (esim. OEM-avainten käyttö), voit rekisteröityä Playn sovelluksen allekirjoittamiseen Play Developer APIn avulla käyttämällä itse ylläpidettyä Google Cloud ‐projektia. Huom. Tämä on epätavallinen asetus, jota ei suositella. Jos käytät itse ylläpidettyä projektia, olet täysin vastuussa sovelluksen allekirjoitustoiminnoista, etkä voi käyttää Google Playn tärkeitä ominaisuuksia, kuten katastrofipalautusta.