Utiliser la signature d'applis par Play

Voici comment fonctionne le processus :

1. Signez votre collection d'applis et téléversez-la sur Play Console.
2. Google crée des fichiers APK optimisés à partir de votre collection d'applis et les signe au moyen de la clé de signature d'applis.
3. Google utilise apksigner pour ajouter deux identifiants au fichier de configuration de votre appli (com.android.stamp.source et com.android.stamp.type), puis elle signe les fichiers APK au moyen de votre clé de signature d'applis. Les identifiants ajoutés par apksigner permettent de retrouver le signataire des fichiers APK.
4. Google fournit les fichiers APK signés aux utilisateurs.

Lorsque vous utilisez une clé générée par Google, Google génère automatiquement une clé RSA à fort chiffrement de 4 096 bits. Si vous choisissez de téléverser votre propre clé de signature d'applis, il doit s'agir d'une clé RSA d'au moins 2 048 bits.

Étape 1 : Configurer la signature d'applis par Play

1. Ouvrez Play Console et accédez à la page Signature d'applis par Play (Tester et publier  > Configuration > Signature d'applis).
   • Conseil : Vous pouvez également accéder à cette page à partir de la page Intégrité de l'appli (Tester et publier  > Intégrité de l'appli), qui contient des services d'intégrité et de signature qui vous permettent de faire en sorte que les utilisateurs interagissent avec vos applis et vos jeux comme vous l'entendez.
2. Si vous ne l'avez pas encore fait, consultez les conditions d'utilisation de la signature d'applis par Play et sélectionnez Accepter.

Étape 2 : Envoyer une copie de votre clé d'origine à Google et créer une clé de téléversement

1. Localisez votre clé de signature d'applis d'origine.
2. Ouvrez Play Console et accédez à la page Signature d'applis par Play (Tester et publier  > Configuration > Signature d'applis).
3. Sélectionnez l'option d'exportation et de téléversement qui convient le mieux au processus de votre version et téléversez une clé de signature d'applis existante.

Étape 3 : Créer une clé de téléversement (facultatif et recommandé)

1. Créez une clé de téléversement et téléversez le certificat sur Google Play.
   • Vous pouvez également continuer à utiliser la clé de signature d'applis en tant que clé de téléversement.
2. Copiez les empreintes digitales (MD5, SHA-1 et SHA-256) du certificat de signature d'applis.
   • À des fins de test, vous devrez peut-être inscrire le certificat de votre clé de téléversement auprès des fournisseurs d'API à l'aide de l'empreinte de certificat et de la clé de signature d'applis.

Étape 4 : Signer votre prochaine mise à jour de l'appli au moyen de la clé de téléversement

Lorsque vous publiez des mises à jour de votre appli, vous devez les signer au moyen de votre clé de téléversement.

• Si vous n'avez pas créé de clé de téléversement : continuez à utiliser votre clé de signature d'applis d'origine pour signer les collections d'applis avant de les téléverser sur Google Play. Si vous perdez votre clé de signature d'applis d'origine, vous pourrez créer une clé de téléversement et l'inscrire auprès de Google pour continuer à mettre votre appli à jour.
• Si vous avez créé une clé de téléversement : utilisez-la pour signer les collections d'applis avant de les téléverser sur Google Play. Google utilise la clé de téléversement pour vérifier votre identité. Si vous perdez votre clé de téléversement, n'hésitez pas à communiquer avec l'assistance pour la réinitialiser.

Vous souhaiterez peut-être le faire si vous n'êtes pas en mesure de partager votre clé existante. Avant de choisir de mettre à niveau votre clé de signature d'applis pour vous inscrire, notez que :

• cette option requerra une double version;
• vous devrez téléverser une collection d'applis et un fichier APK signé avec votre clé patrimoniale dans chaque version. Google Play utilisera vos collections d'applis pour générer des fichiers APK signés avec la nouvelle clé pour les appareils fonctionnant sous Android R* (niveau d'API 30) ou toute version ultérieure. Vos fichiers APK patrimoniaux seront utilisés pour les anciennes versions d'Android (jusqu'au niveau d'API 29).

* Si votre appli utilise l'attribut sharedUserId, il est recommandé d'appliquer la mise à niveau de la clé pour les installations et les mises à jour sur les appareils fonctionnant sous Android T (niveau d'API 33) ou toute version ultérieure. Pour ce faire, veuillez définir une version minimale précise de la trousse SDK dans la configuration de la collection.

Étape 1 : Téléverser votre nouvelle clé, puis générer et téléverser une preuve de rotation

Pour que la nouvelle clé soit approuvée sur les appareils Android, vous devez téléverser une nouvelle clé de signature à partir d'un référentiel, puis générer et téléverser une preuve de rotation :

1. Ouvrez Play Console et accédez à la page Signature d'applis par Play (Tester et publier  > Configuration > Signature d'applis).
   • Conseil : Vous pouvez également accéder à cette page à partir de la page Intégrité de l'appli (Tester et publier  > Intégrité de l'appli), qui contient des services d'intégrité et de signature qui vous permettent de faire en sorte que les utilisateurs interagissent avec vos applis et vos jeux comme vous l'entendez.
2. Sélectionnez l'onglet Signature d'applis.
3. Cliquez sur Afficher les options avancées, puis sélectionnez Utiliser une nouvelle clé de signature d'applis (ce qui exige des versions doubles permanentes).
4. Choisissez d'utiliser la même clé de signature d'applis qu'une autre appli dans votre compte de développeur, ou de téléverser une nouvelle clé de signature d'applis à partir d'Android Studio, de Java KeyStore ou d'un autre référentiel.
5. En suivant les instructions à l'écran, téléchargez et exécutez l'outil CPCP.
6. Lorsque votre fichier ZIP est prêt, cliquez sur Téléverser le fichier ZIP créé et téléversez-le dans Play Console.
7. À côté de « 5. Autorisez la nouvelle clé à être reconnue sur les appareils Android en téléversant une preuve de rotation », cliquez sur Afficher les instructions.
8. Téléchargez APKSigner et générez une preuve de rotation en exécutant la commande suivante :
   • $ apksigner rotate --out /path/to/new/file --old-signer --ks old-signer-jks --set-rollback true --new-signer --ks new-signer-jks --set-rollback true
9. Cliquez sur Téléverser le fichier de preuve de rotation généré, puis téléversez la preuve de rotation générée à l'étape 8.
10. Cliquez sur Enregistrer.

• Doit être une clé RSA d'au moins 2 048 bits.

Après avoir créé une clé de téléversement, vous pourrez vérifier et mettre à jour certains emplacements :

• Machines locales
• Serveur sur place verrouillé (diverses listes de contrôle d'accès)
• Machine dans le nuage (diverses listes de contrôle d'accès)
• Services de gestion dédiés aux secrets
• Référentiels (Git)

Avant de demander la mise à niveau d'une clé, il est important de comprendre les modifications à apporter une fois la mise à niveau terminée.

• Si vous utilisez la même clé de signature d'applis pour plusieurs applis afin de partager des données ou du code entre elles, vous devez mettre à jour vos applis de manière à ce qu'elles reconnaissent à la fois les certificats de la nouvelle clé de signature d'applis et ceux de la clé patrimoniale. Sur les appareils exécutant Android S (niveau d'API 32) ou une version antérieure, seul le certificat de la clé de signature d'applis patrimoniale est reconnu par la plateforme Android afin de partager des données ou du code.
• Si votre appli utilise des API, assurez-vous d'inscrire les certificats de votre nouvelle clé de signature d'applis et de votre clé patrimoniale auprès des fournisseurs d'API avant de publier la mise à jour. Vous vous assurez ainsi que les API en question continueront de fonctionnement correctement. Les certificats sont accessibles sur la page Signature d'applis par Play (Tester et publier  > Configuration > Signature d'applis) dans Play Console.  
• Si l'un de vos utilisateurs installe des mises à jour par l'intermédiaire du partage pair à pair, il pourra les installer uniquement si elles sont signées au moyen de la même clé que celle de l'appli déjà installée sur ses appareils. S'il n'arrive pas à mettre à jour son appli parce qu'il dispose d'une version signée avec une clé différente, il peut désinstaller et réinstaller l'appli pour obtenir la mise à jour.

La mise à niveau d'une clé de signature d'applis pour toutes les installations sur Android N (niveau d'API 24) et les versions ultérieures peut être effectuée une fois par an.

Si votre demande de mise à niveau de cette clé est acceptée, votre nouvelle clé sera utilisée pour signer toutes les installations et les mises à jour d'applis. Sur les appareils fonctionnant sous Android T (niveau d'API 33) et toute version ultérieure, la plateforme Android applique obligatoirement l'utilisation de la clé mise à niveau. Sur les appareils fonctionnant sous Android S (niveau d'API 32) ou une version antérieure, la plateforme Android n'applique pas l'utilisation de cette clé mise à niveau et reconnaît toujours la clé de signature patrimoniale comme clé de signature de l'appli. Cela comprend également toutes les fonctionnalités de la plateforme Android (par exemple, le partage d'autorisations personnalisé) qui utilisent la clé de signature de l'appli. À moins qu'elle ne soit désactivée par l'utilisateur, Google Play Protect vérifiera que les mises à jour d'applis sont signées avec votre clé mise à niveau, sur les appareils fonctionnant sous Android N (niveau d'API 24) à Android S (niveau d'API 32). Cette action offre une validation supplémentaire, puisque la plateforme Android n'applique pas obligatoirement l'utilisation de la clé mise à niveau sur les appareils exécutant Android S (niveau d'API 32) ou une version antérieure.

1. Ouvrez Play Console et accédez à la page Signature d'applis par Play (Tester et publier  > Configuration > Signature d'applis).
   • Conseil : Vous pouvez également accéder à cette page à partir de la page Intégrité de l'appli (Tester et publier  > Intégrité de l'appli), qui contient des services d'intégrité et de signature qui vous permettent de faire en sorte que les utilisateurs interagissent avec vos applis et vos jeux comme vous l'entendez.
2. Dans la carte « Mettre à niveau votre clé de signature d'applis », sélectionnez Demander la mise à niveau d'une clé.
3. Sélectionnez une option pour mettre à niveau votre clé de signature d'applis pour toutes les installations sur Android N et les versions ultérieures.
4. Demandez à Google de générer une nouvelle clé de signature d'applis (recommandé) ou téléversez-en une.
   • Après la mise à niveau de votre clé de signature d'applis, si vous utilisiez la même clé pour la signature de vos applis et comme clé de téléversement, vous pouvez soit continuer d'utiliser votre clé de signature d'applis patrimoniale comme clé de téléversement, soit en générer une nouvelle.
5. Sélectionnez la raison pour laquelle vous demandez la mise à niveau d'une clé de signature d'applis.
6. Si nécessaire, inscrivez votre nouvelle clé de signature d'applis auprès des fournisseurs d'API.

Conseil : Si vous distribuez votre appli sur plusieurs circuits de distribution et que vous souhaitez optimiser la compatibilité des mises à jour de l'appli pour vos utilisateurs, vous devez mettre à niveau votre clé sur chaque circuit de distribution. Pour être compatible avec la mise à niveau de la clé de Google Play, utilisez l'outil ApkSigner, fourni avec Build Tools dans la trousse SDK Android (révision 33.0.1+) :

$ apksigner sign --in ${INPUT_APK}

--out ${OUTPUT_APK}

--ks ${ORIGINAL_KEYSTORE}

--ks-key-alias ${ORIGINAL_KEY_ALIAS}

--next-signer --ks ${UPGRADED_KEYSTORE}

--ks-key-alias ${UPGRADED_KEY_ALIAS}

--lineage ${LINEAGE}

 Apprenez-en plus sur le fonctionnement des mises à jour des applis.