Как переподписать приложение на андроид. Публикуем приложения в Google Play и зарабатываем миллионы

Post Views: 5 618

Android Studio предоставляет широкие возможности как для разработки приложений, так и для повышения автоматизации и комфортности при программировании.

Если вы используете систему сборки Gradle для создания своих приложений, то вы можете также настроить несколько параметров для создания подписей к вашим приложениям.

Скорее всего, вам не хочется публиковать свои ключи для подписи, пароли и имена пользователей в публичном (или даже частном) репозитории. Поэтому вы можете определить ключ, пароль и имя пользователя как свойства в отдельном файле.

Перед тем, как начать подписание приложения, вам необходимо в файле gradle.properties создать новое свойство. Назовём его Keys.repo и, в качестве значения, укажем путь до папки, где впоследствии будут находиться хранилище ключей и файл со свойствами (например, C:/Users/UserName/.signing ).

Keys.repo=C:/Users/UserName/.signing

Затем нужно создать эту папку или, если вы указали существующую, открыть её. В ней необходимо создать файл YourProjectName.properties , внутри которого будут прописаны в качестве свойств путь до хранилища ключей, псевдоним ключа и пароль в следующем виде.

RELEASE_STORE_FILE=/YourProjectName/KeyStoreName.jks RELEASE_STORE_PASS=****** RELEASE_ALIAS=KeyAlias RELEASE_KEY_PASS=******

Как создать хранилище ключей?

Если у вас нет хранилища ключей, его можно легко создать с помощью Android Studio. Для этого нужно выбрать в меню пункт Build -> Generate Signed APK .

В появившемся окне нужно нажать Create new... В результате откроется окно, в котором вы можете указать, где будет располагаться хранилище ключей (для данного урока лучше сразу выбрать путь, который вы указали в YourProjectName.properties в свойстве RELEASE_STORE_FILE ), а также данные о ключе.

Затем нужно создать папку YourProjectName и перенести туда нужный файл хранилища ключей.

Теперь можно приступить непосредственно к процессу подписания. Для этого в вашем проекте нужно открыть файл build.gradle (расположенный в папке app). Внутри него в блоке android нужно добавить следующий код.

SigningConfigs { debug { /* здесь никаких изменений нет */ } release { if (project.hasProperty("Keys.repo")) { def projectPropsFile = file(project.property("Keys.repo") + "/YourProjectName.properties") if (projectPropsFile.exists()) { Properties props = new Properties() props.load(new FileInputStream(projectPropsFile)) storeFile file(file(project.property("Keys.repo") + props["RELEASE_STORE_FILE"])) storePassword props["RELEASE_STORE_PASS"] keyAlias props["RELEASE_ALIAS"] keyPassword props["RELEASE_KEY_PASS"] } } else { println "=======================================================" println " - Please configure release-compilation environment - e.g. in ~/.signing directory" println "=======================================================" } } }

Какие бывают схемы получения подписи?

Существуют две схемы получения подписи APK: v1 JAR и v2 Full APK .

В первом случае подписывается JAR -файл, что является традиционным способом подписания. Подпись v1 не защищает некоторые части APK, такие как метаданные ZIP. Верификатор APK должен обрабатывать множество ненадёжных (ещё не проверенных) структур данных, а затем отбрасывать данные, которые не подписаны, что предоставляет большой простор для атаки. Кроме того, верификатор APK должен распаковать все сжатые записи, что тратит много времени и памяти. Чтобы решить эти проблемы, была разработана вторая схема v2 Full APK.

Схема v2 была представлена в Android 7.0 Nougat (API 25) и работает, начиная с версии Android Studio 2.2 и Android Gradle plugin 2.2 . Эта схема обеспечивает более быструю установку приложения и хорошую защиту от несанкционированных изменений в APK. Содержимое APK хешируется и подписывается, затем полученный блок подписи APK вставляется в APK.

Во время проверки схема v2 рассматривает APK как blob и выполняет проверку подписи по всему файлу. Любая модификация APK, включая модификации метаданных ZIP, делает подпись недействительной. Эта форма проверки значительно быстрее и позволяет обнаружить больше несанкционированных модификаций.

Новый формат обратно совместим, поэтому APK, подписанные новой схемой, могут быть установлены на более ранних устройствах (которые будут просто игнорировать новую подпись), если эти APK также подписаны схемой v1.

По умолчанию при подписании используются обе схемы, чтобы приложения могли быть установлены на любых устройствах. Однако если есть такая необходимость, можно отключить подпись v1 или v2. Для этого в вышеприведённом коде в блоке release достаточно дописать следующие строки.

V1SigningEnabled false

V2SigningEnabled false

Важно также учитывать, что подписывать схемой v1 нужно до подписания схемой v2, поскольку APK не пройдёт проверку по схеме v2, если он будет подписан дополнительными сертификатами после подписания схемой v2.

После того, как код добавлен, укажите этот код в блоке buildTypes внутри release . Например:

BuildTypes { release { minifyEnabled true shrinkResources true proguardFiles getDefaultProguardFile("proguard-android.txt"), "proguard-rules.pro" signingConfig signingConfigs.release } }

Теперь можно смело в пункте меню Build выбирать Build APK , предварительно сменив тип сборки с debug на release . Как видно, данный способ удобен тем, что он автоматический, его достаточно настроить лишь раз и ваши хранилища ключей могут быть в безопасности.

Итак, вы трудились много дней (а может и ночей), и вот ваше первое гибридное мобильное приложение готово. Оно достаточно стабильно, большинство критичных багов закрыто. Остались мелкие, но помня о том, что перфекционизм - зло, вы принимаете волевое решение выложить приложение.

Необходимое условие для этого - наличие подписанного APK файла. Как подписать apk файл, вы узнаете из этой статьи.

Небольшое отступление

Исходные данные

• Apache Cordova
• Java Development Kit
• Android SDK Tools

Поехали

$ cordova plugin rm cordova-plugin-console
Для генерации релизной сборки под Андроид используем команду build с флагом --release :

$ cordova build --release android
Эта команда создаст неподписанный APK файл в каталоге:

Platforms/android/build/outputs/apk
Например, platforms/android/build/outputs/apk/android-release-unsigned.apk . Потом нам понадобится подписать этот файл и запустить утилиту zipalign для оптимизации и подготовки файла для Google Play.

Для подписывания файла нужен сертификат. Создадим его с помощью утилиты keytool , которая включена в JDK:

$ keytool -genkey -v -keystore lcf.keystore -alias lcf -keyalg RSA -keysize 2048 -validity 10000
Важно

Значение параметра -alias необходимо запомнить, а лучше записать. В примере выше он равен lcf (по первым буквам названия приложения Loyal Client Free). Детали здесь приводить не буду, если будет интересно, напишите в комментарии, я расскажу подробнее.

Алиас используется каждый раз при подписывании* приложения. Чтобы было проще запомнить, в качестве алиаса используйте имя keystore файла, например:

Утилита keytool задает ряд вопросов. Всего их будет 8. Чтобы заранее иметь представление о вопросах и примерных ответах, все они приведены далее, под спойлером.

Вопросы keytool и примерные ответы на них

1. Enter keystore password:
Здесь необходимо ввести пароль для файла (не менее 6 символов). Введенный пароль нужно записать в надежном месте, он нужен всякий раз при подписывании приложения.

2. Re-enter new password:
Повторный ввод пароля.

3. What is your first and last name?
: Ivan Petrov
Ваше имя и фамилия. Значение в квадратных скобках - это значение по умолчанию.

4. What is the name of your organizational unit?
: IT
Название подразделения вашей компании. Можно оставить пустым, я указываю IT.

5. What is the name of your organization?
: 2developers
Название вашей организации. Укажите, если есть.

6. What is the name of your City or Locality?
: Moscow
Название города

7. What is the name of your State or Province?
: MO
Название области

8. What is the two-letter country code for this unit?
: RU
Код страны. Я указываю RU.

: y

Подтверждайте, если все верно или нажмите Enter, чтобы ввести еще раз.

Generating 2 048 bit RSA key pair and self-signed certificate (SHA256withRSA) with a validity of 10 000 days for: CN=Ivan Petrov, OU=IT, O=2developers, L=Moscow, ST=MO, C=RU Enter key password for (RETURN if same as keystore password):
В текущем каталоге будет создан файл lcf.keystore .

Важно

Созданный файл нужно сохранить в надежном месте. Если вы используете закрытый репозиторий, то файл можно закоммитить вместе с исходными кодами приложения. В общем случае, сертификаты лучше хранить отдельно. В случае утери сертификата вы не сможете выпускать обновления приложения.

Чтобы подписать ваш apk файл, используйте утилиту jarsigner , которая тоже включена в JDK.

$ jarsigner -verbose -sigalg SHA1withRSA -digestalg SHA1 -keystore lcf.keystore android-release-unsigned.apk lcf
Имя сертификата указывается после параметра -keystore , алиас - после имени файла.

Наконец, для оптимизации apk файла, воспользуемся утилитой zipalign :

$ zipalign -v 4 android-release-unsigned.apk LoyalClientFree.apk
Последний параметр - это имя файла, который вы будете загружать в Google Play.

Важно.

Утилита zipalign это часть Android SDK Tools и может быть найдена здесь:

/path/to/Android/sdk/build-tools/VERSION/zipalign

Заключение

В статье присутствуют скриншоты, когда магазин приложений назывался "Android Market". Уже выросло поколение котов, которые никогда не слышали об этом названии. Но общий принцип не изменился. Оставил для истории. Я не могу заново пройти регистрацию, чтобы сделать новые скриншоты.

Так как мы волнуемся, то потренируемся на кошках. Возьмем, например, пример из статьи и попытаемся выложить его в Google Play. Если все получится, то дальше будет проще.

Прежде чем приступать к дальнейшим операциям, убедитесь, что у вас готовы собственные значки для приложений и название программы. Будет очень странно увидеть в магазине приложений программу со стандартным значком и названием "HelloWorld". А также проверьте все записи в файле манифеста.

Шаг первый. Он трудный самый

Любое приложение, выкладываемое в магазин, должно иметь подписанный сертификат. Сертификат позволяет идентифицировать вас как автора программы. И если кто-то попытается выложить программу с таким же именем как у вас, то ему будет отказано из-за конфликта имён. Под именем приложения имеется в виду полное название пакета.

Когда вы запускали свои приложения на эмуляторе или своём телефоне, то среда разработки автоматически подписывала программу отладочным сертификатом. Для распространения через магазин отладочный сертификат не подходит, и вам нужно подписать приложение своим уникальным сертификатом. Это бесплатно, без регистрации и смс.

Создадим подписанный APK-файл, который является что-то типа исполняемым файлом как notepad.exe в Windows. Если у вас открыта среда разработки Android Studio, то выберите в меню Build | Generate Signed APK... .

Появится диалоговое окно мастера, которое необходимо заполнить данными.

В первом поле следует указать путь к хранилищу ключей. Если вам раньше приходилось создавать программы раньше, в том числе и в Eclipse, то можете указать уже существующее хранилище через кнопку Choose existing... . Если вы создаёте хранилище первый раз, то выбирайте кнопку Create new... . Появится новое диалоговое окно.

В первом поле нужно выбрать папку через кнопку ... и ввести имя для файла с хранилищем, которому будет присвоено расширение jks .

Теперь создаёте ключ для приложения. В поле Alias (Псевдоним) вводите понятное вам и котам название ключа. Не обязательно создавать псевдоним для каждого приложения, можете использовать один псевдоним для своих приложений и отдельные псевдонимы для приложений под заказ.

Для ключа также нужно создать пароль и подтвердить его.

Ключ расчитан на 25 лет. Поле Validity (years) оставляем без изменений (если у вас нет весомых причин в обратном).

Напоследок заполняете данные о себе.

Заполнив поля, вы вернёмся к самому первому окну мастера.

Нажимаем на кнопку Next и в следующем окне вводим ещё один пароль для доступа к базе паролей.

Возможно, этого шага у вас не будет. Он может появиться, если вы отметили флажком опцию "Запомнить пароль". Подробностей не помню, разберётесь сами.

Последний шаг - нажать кнопку Finish .

Раньше это был последний шаг. Сейчас появились новые флажки V1 (Jar Signature) и V2 (Full APK Signature) . Отметьте как минимум первый вариант V1 - это соответствует старому способу. Второй способ считается более надёжным в плане взлома и его можно использовать для поздних API, на ваше усмотрение (см. ниже).

В результате сложных манипуляций с диалоговыми окнами у вас появится долгожданный APK - ваша прелесть, которая откроет дверь в мир богатства и счастья.

Нажав кнопку Show in Explorer , вы запустите Проводник на вашем компьютере с папкой, в которой находится подписанный файл.

Будьте аккуратны с созданным ключом. Именно он является гарантией, что новая версия программы написана вами. Поэтому, если вы потеряете созданный ключ, вам придется выкладывать программу под другим именем с новым ключом.

В студии предусмотрен режим автоматического создания подписанного приложения. Щёлкните правой кнопкой мыши на папке app и в контекстом меню выберите пункт Open Module Settings . Выберите раздел app в секции Modules . Выберите вкладку Signing . Нажимаете на кнопку с плюсиком и заполняете поля.

Переходите на вкладку Build Types и выбираете сборку release . В выпадающем списке Signing Config выбираете только что созданную конфигурацию. По умолчанию она имеет имя config .

Нажимаем OK для сохранения результатов.

Подписывать приложения можно и через командную строку без участия студии, если вы извращенец. Можете почитать в документацию на эту тему .

v2 Full APK

В 2017 году Google немного изменила процесс подписания. Теперь существуют две схемы получения подписи APK: v1 JAR и v2 Full APK.

Подпись v1 (который существовал с самого начала) не защищает некоторые части APK, такие как метаданные ZIP. Верификатор APK должен обрабатывать множество ненадёжных структур данных, а затем отбрасывать данные, которые не подписаны, что предоставляет большой простор для атаки. Кроме того, верификатор APK должен распаковать все сжатые записи, что тратит много времени и памяти. Для решения проблем была разработана новая версия v2 Full APK, которую вы встретите при подписании вашего приложения.

Схема v2 работает в Android 7.0 Nougat (API 25). Схема обеспечивает более быструю установку приложения и хорошую защиту от несанкционированных изменений в APK. Содержимое APK хешируется и подписывается, затем полученный блок подписи APK вставляется в APK.

Новый формат обратно совместим, поэтому APK, подписанные новой схемой, могут быть установлены на более ранних устройствах (которые будут просто игнорировать новую подпись), если эти APK также подписаны схемой v1.

В старых приложениях я оставляю флажок у первой версии. Возможно, позже заставят переходить на вторую версию принудительно. Важно учитывать, что подписывать схемой v1 нужно до подписания схемой v2, поскольку APK не пройдёт проверку по схеме v2, если он будет подписан дополнительными сертификатами после подписания схемой v2.

Строго говоря, вы можете apk-файл выложить у себя на сайте, и все ваши посетители могут его скачать и установить на телефон. Но это как-то несолидно в наш век нанотехнологий. Поэтому переходим к следующему шагу.

Шаг второй. Надо, Федя, надо

Следующий шаг очень неприятный. Вам нужно подарить 25 вечнозеленых чужому человеку. Чтобы вам было не так обидно, данную операцию назвали регистрационным взносом. Вам понадобится кредитная карточка с указанной суммой. Учтите, что Visa Electron, а уж тем более дисконтная карточка сети магазинов "Перекресток" вам не подойдут. Если у вас уже есть нужная карточка, то пропускаете этот абзац. Остальным могу посоветовать завести QIWI-кошелёк и там завести виртуальную карточку. Именно так я и поступил, так как идти в банк и писать всякие заявления было неохота.

Автоматическое обновление

Если вы создали новую версию программы, исправив различные баги и добавив новые фотографии кота, то вам нужно в манифесте увеличить на единицу номер версии (атрибут versionCode ) и заменить versionName для себя (будет показана на странице Google Play). В последних версиях студии данные свойства находятся теперь не в манифесте, а в файле build.gradle модуля вашего приложения. Закачайте новую версию на Google Play и пользователи получат обновление в автоматическом режиме.

Следим за отзывами

Установите на своём устройстве приложение Google Play Developer Console , чтобы не пропустить новый отзыв на вашу программу. Также вы можете просматривать статистику.

Меняем пароли хранилища и псевдонима ключа

Не пришлось пользоваться за несколько лет, поэтому не знаю, актуальна ли данная информация.

Допустим, вы продали свою программу с исходниками другой компании. Чтобы она могла выкладывать обновления программы, компания должна подписывать приложение тем же ключом, которым подписывали вы. Иначе программа будет считаться другой и придётся менять название пакета. Но тогда старые пользователи не смогут получить обновления.

Но если вы все свои программы подписываете одним и тем же ключом и паролем, например cat cat , то компания может подписать этим же ключом и другие ваши приложения, разместив свои программы с таким же именем пакета, и вы никому ничего не докажете.

Поэтому вам нужно позаботиться о смене ключа для передачи новому владельцу.

Предположим наше хранилище имеет структуру:

Имя хранилища (keystore): old.keystore Пароль от хранилища: cat1 Псевдоним: my_alias Пароль от псеводнима: cat2

Сделайте копию вашего хранилища и сохраните его в другом месте. Это надо было сделать ещё при первом создании, потому что при потере хранилища вы не сможете восстановить доступ к своим программам при обновлении.

Сделайте копию вашего хранилища ещё раз и переименуйте его, например, new.keystore . С ним и будем работать.

Запускаем утилиту keytool с командой:

Keytool -storepasswd -keystore new.keystore

Вам будет предложено ввести текущий пароль, а затем ввести новый пароль и повторить его. Приблизительно так:

Enter keystore password: New keystore password: Re-enter new keystore password:

Первая часть задачи выполнена, пароль от хранилища изменён.

Если вы хотите также изменить и пароль от псевдонима, то снова запускаем утилиту с командой:

Keytool -keypasswd -keystore new.keystore -alias my_name

Вас попросят ввести текущий пароль от хранилища (ваш новый пароль), затем пароль для псевдонима. Вы можете ввести новый пароль и он заменит старый пароль.

Enter keystore password: Enter key password for

Пароль от псевдонима изменён.

Если изменения пароля вам недостаточно и вы хотите изменить имя псевдонима (может вы использовали имя любимой кошки, зачем другим об этом знать), то продолжаем работу.

Запускаем команду:

Keytool -changealias -keystore new.keystore -alias my_alias -destalias my_new_alias

Вас попросят ввести пароль от хранилища, затем пароль для нового псевдонима (текущий пароль), затем новый пароль и повторить его. Имя псевдонима будет изменено.

Итак, нам понадобилось три шага, чтобы создать новое хранилище и псевдоним для передачи чужому человеку. Новый владелец должен проделать тоже самое, чтобы быть уверенным, что вы не воспользуетесь изменённым файлов в своих целях. Впрочем, это уже его проблемы.

Подписываем готовое приложение

Такой случай может подвернуться, когда у вас утеряны исходники и есть только APK. Скорее всего это актуально для пиратов, которые переподписывают другие приложения (не делайте так с чужими программами).

Сначала поменяйте расширение с apk на zip. В архиве удалите папку META-INF . Восстановите расширение. Вы удалили старую подпись.

Теперь нужно подписать приложение новым ключом. Введите команду.

Jarsigner -keystore keystore-file.jks -storepass keystore_password -keypass alias_password --signedjar signed-apk-file.apk apk-file.apk alias_name

В успешном случае получите сообщение, что приложение подписано. Далее выполняем ещё одну команду.

ANDROID_SDK_PATH/build-tools/LAST_BUILD_TOOLS_VERSION/zipalign -v 4 signed-apk-file.apk aligned-apk-file.apk

В результате должен получиться APK-файл, подписанный новым ключом. Сам ни разу не применял.

Хранение ключей у Гугла

В 2017 году Google добавил новую возможность хранить ключи в облачном хранилише. Основное отличие заключается в том, что вы подписываете приложение специальным ключом загрузки, который Google проверяет и удаляет, заменяя его оригинальным ключом подписи приложения, который вы предоставили.

С его помощью можно управлять ключами подписи приложений как для новых, так и для опубликованных приложений, которые будут храниться у Google в их собственном хранилище ключей. Чтобы присоединиться к этой программе, необходимо подписаться на неё в своей Google Play Console. Стоит отметить, что отписаться от неё уже будет невозможно.

Такой способ очень полезен - при потере хранилища ключей Google Play App Signing позволит сбросить ключ для установки нового. Вам не придётся публиковать приложение повторно с новым именем пакета и ключом.

Дополнительное чтение

Android-keystore-password-recover by MaxCamillo - если вы утеряли пароль, то попробуйте воспользоваться данным инструментом. Сам не пользовался, поэтому рассказывать не буду.

Благодаря функции подписания приложений в Google Play Google может управлять ключом подписи вашего приложения, а также защищать этот ключ и использовать его для подписи ваших APK-файлов, предназначенных для распространения. Этот способ хранения обезопасит вас на случай потери или взлома ключа.

Важно! Чтобы использовать наборы Android App Bundle (рекомендуемый формат публикации приложений), нужно зарегистрироваться в программе подписания приложений в Google Play перед загрузкой набора App Bundle в Play Console.

Регистрироваться могут владельцы аккаунтов и пользователи с глобальными разрешениями на управление рабочими версиями, которые приняли Условия использования . За раз в программе подписания приложений в Google Play можно зарегистрировать только одно приложение.

Принципы работы

Когда вы используете функцию подписания приложений в Google Play, для хранения ваших ключей используется та же инфраструктура, что и для хранения ключей Google, а их защиту обеспечивает специальная служба управления ключами. Подробную информацию о технической инфраструктуре Google можно найти в документации по безопасности в Google Cloud .

Приложения для Android подписываются закрытым ключом. С каждым таким ключом связан открытый сертификат, с помощью которого устройства и сервисы могут убедиться в безопасности приложений и их обновлений. На устройства устанавливаются только те обновления, подпись которых соответствует подписи установленного приложения. Если вы позволите Google управлять ключом подписи приложения, этот процесс станет безопаснее.

Примечание. Использовать функцию подписания приложений в Google Play необязательно. Вы можете загружать APK-файлы и управлять собственными ключами, не используя наборы App Bundle. Однако если вы потеряете доступ к хранилищу ключей или оно будет взломано, то вы не сможете обновить свое приложение и вам придется опубликовать его заново с другим названием пакета.

Вы можете загрузить APK-файлы, подписанные оригинальным ключом подписи приложения, до или после подписания приложения в Google Play.

Если вы переходите на наборы Android App Bundle, их можно проверить в версиях для тестирования, а в рабочих использовать существующие APK-файлы. Вот как это работает:

1. Вы подписываете набор App Bundle или APK-файл и загружаете его в Play Console.
2. Процесс подписания приложений зависит от того, что вы загружаете.
   • Набор App Bundle. Google оптимизирует APK-файлы из набора App Bundle, а затем подписывает их с помощью ключа подписи приложения.
   • APK-файл, подписанный ключом загрузки. Google проверяет вашу подпись, удаляет ее и повторно подписывает APK-файлы ключом подписи приложения.
   • APK-файл, подписанный ключом подписи приложения. Google проверяет подпись.
3. Google доставляет подписанные APK-файлы пользователям.

Как зарегистрироваться в программе подписания приложений в Google Play

Шаг 1. Создайте ключ загрузки

1. Создайте ключ загрузки, следуя инструкциям .
2. Подпишите новый APK-файл ключом загрузки.

Шаг 2. Подготовьте выпуск

1. , следуя инструкциям.
2. Выбрав тип версии, настройте параметры подписания приложений в разделе "Разрешите Google защищать ключ подписи приложения и управлять им".
3. Если вы нажмете Продолжить , сгенерированный ключ станет ключом загрузки, который будет использоваться для подписания будущих выпусков. Также вы можете выбрать следующие расширенные настройки :
   • Использовать один ключ для разных приложений в аккаунте разработчика (вариант 2).
   • Загрузить ключ подписи существующего приложения (вариант 2, 3 и 4), выбрав наиболее подходящий способ экспорта и загрузки. Загрузив ключ подписи приложения и его открытый сертификат, вы можете или использовать в его качестве ключ подписи приложения.

Примечание. Чтобы продолжить, нужно принять Условия использования и зарегистрироваться в программе подписания приложений.

Шаг 3. Зарегистрируйте ключ подписи приложения у поставщиков API

Если в вашем приложении используется API, то чтобы пройти аутентификацию, вам, скорее всего, понадобится зарегистрировать сертификат ключа, с помощью которого Google подписывает ваше приложение. Чтобы найти сертификат:

1. Войдите в Play Console .
2. Выберите приложение.
3. В меню слева выберите Управление релизом > Подписи приложений .
4. • Если поставщик API требует другой тип цифрового отпечатка, вы можете скачать оригинальный сертификат в формате DER и преобразовать его нужным образом с помощью соответствующих инструментов.

Шаг 1. Зарегистрируйтесь в программе подписания приложений в Google Play

1. Войдите в Play Console .
2. Выберите приложение.
3. В меню слева выберите Управление релизом > Подписи приложений .
4. При необходимости прочитайте Условия использования и нажмите Принять .

Шаг 2. Отправьте оригинальный ключ в Google и создайте ключ загрузки

1. Найдите оригинальный ключ подписи приложения.
2. Войдите в Play Console .
3. Выберите приложение.
4. В меню слева выберите Управление релизом > Подписи приложений .
5. Загрузите существующий ключ подписи приложения наиболее подходящим для вашего процесса выпуска способом.

1. и загрузите сертификат в Google Play.
   • В качестве ключа загрузки можно также использовать ключ подписи приложения.
2. Скопируйте цифровые отпечатки (MD5, SHA-1 и SHA-256) сертификата подписания приложений.
   • Для проведения тестирования вам может потребоваться зарегистрировать у поставщика API сертификат ключа загрузки с помощью цифрового отпечатка сертификата и ключа подписи приложения.

Шаг 4. Подпишите следующее обновление своего приложения ключом загрузки

Выпускаемые обновления приложения нужно подписывать ключом загрузки.

Как создать ключ загрузки и обновить хранилища ключей

Вы можете создать ключ загрузки при регистрации в программе подписания приложений в Google Play или сгенерировать его позже в разделе Управление релизом > Подписи приложений .

Чтобы создать ключ загрузки, выполните следующие действия:

1. Следуйте инструкциям на сайте для Android-разработчиков . Храните ключ в безопасном месте.
2. Экспортируйте сертификат для ключа загрузки в формате PEM. Замените следующие аргументы со знаком подчеркивания:
   • $ keytool -export -rfc -keystore upload-keystore.jks -alias upload -file upload_certificate.pem

Когда в процессе выпуска появится соответствующий запрос, загрузите сертификат, чтобы зарегистрировать его в Google.

Если вы используете ключ загрузки:

• Ключ загрузки регистрируется в Google только для аутентификации личности создателя приложения.
• Ваша подпись удаляется из всех загруженных APK-файлов, прежде чем они попадают к пользователям.

• Ключ загрузки должен использовать шифрование RSA, его размер должен составлять не менее 2048 бит.
• Не поддерживаются ключи DSA и EC, а также ключи RSA размером менее 2048 бит.

Создав ключ загрузки, проверьте и при необходимости обновите следующие местоположения:

• локальная система;
• защищенный локальный сервер (с различными списками контроля доступа);
• облачная система (с различными списками контроля доступа);
• специальные сервисы по управлению ключами;
• репозитории Git.

Как обновить ключ подписи для новых установок приложения

В некоторых случаях вы можете запросить обновление ключа подписи приложения. Новый ключ будет использоваться для подписи новых установок и обновлений приложения, а устаревший – для обновлений подписанных им версий, которые уже установлены пользователями.

Для каждого приложения ключ подписи можно обновить только один раз. В маловероятном случае, когда вы используете один ключ подписи для нескольких приложений, чтобы запускать их в одном процессе, ключ нельзя обновить.

Запрашивать обновление ключа подписи приложения следует в таких случаях:

• Вам нужен более криптостойкий ключ.
• Ключ подписи приложения взломан.

Примечание. Запрос на обновление ключа подписи приложения на Play Console не связан с заменой ключей в для Android P и более поздних версий. В настоящее время такая замена ключей не поддерживается Google Play.

Прежде чем запрашивать обновление ключа, важно понять, какие изменения это повлечет.

• Если вы используете один ключ подписи для нескольких приложений, чтобы применять в них один код или данные, нужно обновить приложения, чтобы они распознавали и новый, и устаревший ключи.
• Если приложение использует API, перед его обновлением обязательно зарегистрируйте сертификаты для нового и устаревшего ключей подписи приложения у провайдера API. Сертификаты доступны на странице Подписание приложений Play Console.
• Если многие пользователи вашего приложения устанавливают обновления через файлообменные сети, они смогут устанавливать только обновления, подписанные тем же ключом, что и установленное на их устройствах приложение. Если приложения нельзя обновить, поскольку установленная версия подписана другим ключом, пользователи могут удалить и переустановить его, чтобы получать обновления.

1. Войдите в Play Console .
2. Выберите приложение.
3. В меню слева выберите Управление релизом > Подписи приложений .
4. В карте "Обновите ключ подписи для новых установок приложения" выберите Запросить обновление ключа .
5. Выберите, что сделать с устройством.
   • В зависимости от выбранного варианта, возможно, придется обратиться в службу поддержки, чтобы завершить запрос.
6. Разрешите Google Play создать новый ключ подписи приложения (рекомендуется) или загрузите его.
   • После обновления ключа подписи приложения, если этот ключ совпадал с ключом загрузки, вы можете продолжить использовать старый ключ подписи приложения в качестве ключа загрузки или создать новый.

• Если вы также опубликовали приложение за пределами Google Play или собираетесь сделать это, то можете сгенерировать общий ключ подписи приложения и загрузить его в Google при регистрации в программе подписания приложений в Google Play.
• Чтобы защитить свой аккаунт, включите двухэтапную аутентификацию для всех аккаунтов, у которых есть доступ к Play Console.
• После публикации набора App Bundle в тестовой или рабочей версии вы можете открыть Обозреватель App Bundle и скачать ZIP-архив, содержащий все APK-файлы для определенного устройства. Эти APK-файлы уже подписаны ключом подписи приложения. Вы можете установить их на устройство из ZIP-архива с помощью утилиты командной строки bundletool .
• Для большей безопасности сгенерируйте новый ключ загрузки, который отличается от ключа подписи приложения.
• Если вы хотите протестировать APK-файл, подписанный ключом загрузки, зарегистрируйте ключ в службе или API, которые используют подпись приложения для аутентификации (например, API Google Карт или пакет разработчика Facebook).
• Если вы используете API Google, можно зарегистрировать сертификат загрузки в Google Cloud Console .

Что делать, если ключ утерян или взломан

Если вы потеряли доступ к закрытому ключу загрузки или он был взломан, и попросите владельца вашего аккаунта . При обращении в службу поддержки владелец аккаунта должен прикрепить файл upload_certificate.pem .

Когда команда службы поддержки зарегистрирует новый ключ загрузки, вы получите электронное письмо, а затем сможете обновить хранилища ключей и зарегистрировать ключ у поставщиков API.

Важно! Сброс ключа загрузки не затрагивает ключ подписи приложения, с помощью которого Google Play подписывает APK-файлы перед отправкой пользователям.

Эта информация оказалась полезной?

Как можно улучшить эту статью?