Utilizzare la firma dell'app di Google Play

Ecco come funziona la procedura:

1. Firma l'app bundle e caricalo su Play Console.
2. Google genera APK ottimizzati dall'app bundle e li firma con la chiave di firma dell'app.
3. Google utilizza apksigner per aggiungere due bollini al file manifest dell'app (com.android.stamp.source e com.android.stamp.type), quindi firma gli APK con la chiave di firma dell'app. I bollini aggiunti dallo strumento apksigner consentono di far risalire gli APK a chi li firma.
4. Google mette a disposizione degli utenti gli APK firmati.

Quando utilizzi una chiave generata da Google, Google genera automaticamente una chiave RSA con una crittografia efficace da 4096 bit. Se scegli di caricare una chiave di firma dell'app personalizzata, questa deve essere una chiave RSA da almeno 2048 bit.

Passaggio 1: configura la firma dell'app di Google Play

1. Apri Play Console e vai alla pagina Firma dell'app di Google Play (

   Testa e rilascia

   > Configurazione > Firma dell'app).
   • Suggerimento: puoi accedere a questa pagina anche tramite la pagina Integrità dell'app (

     Testa e rilascia

     > Integrità dell'app), che contiene servizi per l'integrità e la firma che ti aiutano ad assicurarti che gli utenti possano usare le tue app e i tuoi giochi come previsto.
2. Se non l'hai ancora fatto, leggi i Termini di servizio della firma dell'app di Google Play e seleziona Accetto.

Passaggio 2: invia una copia della chiave originale a Google e crea una chiave di caricamento

1. Cerca la chiave di firma dell'app originale.
2. Apri Play Console e vai alla pagina Firma dell'app di Google Play (

   Testa e rilascia

   > Configurazione > Firma dell'app).
3. Seleziona l'opzione di esportazione e caricamento più adatta al tuo processo di rilascio e carica una chiave di firma dell'app esistente.

(Facoltativo, ma consigliato) Passaggio 3: crea una chiave di caricamento

1. Crea una chiave di caricamento e carica il certificato su Google Play.
   • Puoi anche continuare a usare la chiave di firma dell'app come chiave di caricamento.
2. Copia le fingerprint (MD5, SHA-1 e SHA-256) del certificato di firma della tua app.
   • A scopo di test, potresti dover registrare il certificato della chiave di caricamento con i provider di API utilizzando la fingerprint del certificato e la chiave di firma dell'app.

Passaggio 4: firma il prossimo aggiornamento dell'app con la chiave di caricamento

Quando rilasci degli aggiornamenti dell'app, devi firmarli con la chiave di caricamento.

• Se non hai generato una nuova chiave di caricamento, continua a usare la chiave di firma dell'app originale per firmare gli app bundle prima di caricarli su Google Play. Se perdi la chiave originale di firma dell'app, puoi generare una nuova chiave di caricamento e registrarla su Google per continuare ad aggiornare la tua app.
• Se hai generato una nuova chiave di caricamento, usala per firmare gli app bundle prima di caricarli su Google Play. Google utilizza la chiave di caricamento per verificare la tua identità. Se perdi la chiave di caricamento, puoi contattare l'assistenza per reimpostarla.

Potrebbe essere utile se non sei in grado di condividere la chiave esistente. Prima di scegliere di eseguire l'upgrade della chiave di firma dell'app per la registrazione, tieni presente che:

• Questa opzione richiede una doppia release.
• Dovrai caricare un app bundle e un APK firmato con la chiave precedente in ogni release. Google Play userà gli app bundle per generare APK firmati con la nuova chiave per i dispositivi con Android R* (livello API 30) o versioni successive. Gli APK precedenti verranno usati per le release Android precedenti (fino al livello API 29).

* Se la tua app utilizza sharedUserId, ti consigliamo di applicare l'upgrade della chiave per le installazioni e gli aggiornamenti sui dispositivi con Android T (livello API 33) o versioni successive. Per configurare questi parametri, imposta una versione minima dell'SDK precisa nella configurazione del bundle.

Passaggio 1: carica la nuova chiave, genera e carica una prova di rotazione

Affinché la nuova chiave sia considerata attendibile sui dispositivi Android, devi caricare una nuova chiave di firma da un repository e generare e caricare una prova di rotazione:

1. Apri Play Console e vai alla pagina Firma dell'app di Google Play (

   Testa e rilascia

   > Configurazione > Firma dell'app).
   • Suggerimento: puoi accedere a questa pagina anche tramite la pagina Integrità dell'app (

     Testa e rilascia

     > Integrità dell'app), che contiene servizi per l'integrità e la firma che ti aiutano ad assicurarti che gli utenti possano usare le tue app e i tuoi giochi come previsto.
2. Seleziona la scheda Firma dell'app.
3. Fai clic su Mostra opzioni avanzate e seleziona Usa una nuova chiave di firma dell'app (sono richieste due release continuative).
4. Scegli di utilizzare la stessa chiave di firma dell'app di un'altra app nel tuo account sviluppatore oppure di caricarne una nuova da Android Studio, dall'archivio chiavi Java o da un altro repository.
5. Segui le istruzioni sullo schermo, scarica ed esegui lo strumento PEPK.
6. Quando il file ZIP è pronto, fai clic su Carica file ZIP generato e caricalo su Play Console.
7. Accanto a "5. Carica la prova di rotazione per consentire di ritenere attendibile la nuova chiave sui dispositivi Android", fai clic su Mostra istruzioni.
8. Scarica APKSigner e genera una prova di rotazione eseguendo questo comando:
   • $ apksigner rotate --out /path/to/new/file --old-signer --ks old-signer-jks --set-rollback true --new-signer --ks new-signer-jks --set-rollback true
9. Fai clic su Carica il file della prova di rotazione generata e carica la prova di rotazione generata nel passaggio 8.
10. Fai clic su Salva.

• Deve essere una chiave RSA di almeno 2048 bit.

Dopo aver creato una chiave di caricamento, è opportuno controllare e aggiornare le seguenti posizioni:

• Computer locali
• Server sicuro in loco (vari ACL)
• Computer cloud (vari ACL)
• Servizi di gestione dei secret dedicati
• Repository (Git)

Prima di richiedere un upgrade della chiave, è importante comprendere le modifiche che potresti dover apportare dopo il completamento dell'upgrade.

• Se utilizzi la stessa chiave di firma dell'app per più app per condividere codice/dati tra queste, devi aggiornare le tue app affinché riconoscano i certificati della chiave di firma dell'app nuova e precedente. Sui dispositivi con Android S (livello API 32) o versioni precedenti, la piattaforma Android riconosce solo il certificato della chiave di firma dell'app precedente ai fini della condivisione del codice/dati.
• Se la tua app usa le API, assicurati di registrare i certificati per la nuova e la precedente chiave di firma dell'app con i provider di API per far sì che le API continuino a funzionare. I certificati sono disponibili nella pagina Firma dell'app di Google Play (

  Testa e rilascia

  > Configurazione > Firma dell'app) in Play Console.  
• Se alcuni dei tuoi utenti installano gli aggiornamenti tramite la condivisione peer-to-peer, potranno installare solo gli aggiornamenti firmati con la stessa chiave con cui è stata firmata la versione dell'app già installata. Se non riescono ad aggiornare l'app perché hanno una versione firmata con una chiave diversa, possono disinstallare e reinstallare l'app per ricevere l'aggiornamento.

Per ogni app è possibile eseguire un solo upgrade all'anno della chiave di firma dell'app per tutte le installazioni su Android N (livello API 24) e versioni successive.

Se soddisfi i requisiti per richiedere l'upgrade, la nuova chiave viene utilizzata per firmare tutte le installazioni e tutti gli aggiornamenti dell'app. Sui dispositivi con Android T (livello API 33) e versioni successive, la piattaforma Android impone l'utilizzo della chiave di cui è stato eseguito l'upgrade. Sui dispositivi con Android S (livello API 32) o versioni precedenti, la piattaforma Android non impone l'utilizzo della chiave di cui è stato eseguito l'upgrade e riconosce comunque la chiave di firma precedente come chiave di firma dell'app. Sono incluse anche eventuali funzionalità della piattaforma Android (ad esempio la condivisione delle autorizzazioni personalizzate) che si basano sulla chiave di firma dell'app. Sui dispositivi con versioni comprese tra Android N (livello API 24) e Android S (livello API 32), Google Play Protect controllerà che gli aggiornamenti dell'app siano firmati con la chiave di cui è stato eseguito l'upgrade, a meno che non siano stati disattivati dall'utente. Questa operazione fornisce un'ulteriore convalida poiché la piattaforma Android non impone l'utilizzo della chiave di cui è stato eseguito l'upgrade sui dispositivi con Android S (livello API 32) o versioni precedenti.

1. Apri Play Console e vai alla pagina Firma dell'app di Google Play (

   Testa e rilascia

   > Configurazione > Firma dell'app).
   • Suggerimento: puoi accedere a questa pagina anche tramite la pagina Integrità dell'app (

     Testa e rilascia

     > Integrità dell'app), che contiene servizi per l'integrità e la firma che ti aiutano ad assicurarti che gli utenti possano usare le tue app e i tuoi giochi come previsto.
2. Nella sezione "Esegui l'upgrade della chiave di firma dell'app", seleziona Richiedi l'upgrade della chiave.
3. Seleziona un'opzione per eseguire l'upgrade della chiave di firma dell'app per tutte le installazioni su Android N e versioni successive.
4. Fai generare a Google una nuova chiave di firma dell'app (opzione consigliata) oppure carica una chiave.
   • Dopo avere eseguito l'upgrade della chiave di firma dell'app, se usavi la stessa chiave per la firma e il caricamento dell'app, puoi continuare a usare la chiave di firma dell'app precedente per il caricamento oppure generare una nuova chiave di caricamento.
5. Seleziona un motivo per richiedere l'upgrade della chiave di firma dell'app.
6. Se necessario, registra la nuova chiave di firma dell'app con i provider API.

Suggerimento: se distribuisci la tua app su più canali di distribuzione e vuoi massimizzare la compatibilità degli aggiornamenti dell'app per i tuoi utenti, devi eseguire l'upgrade della chiave in ogni canale di distribuzione. Per garantire la compatibilità con l'upgrade della chiave di Google Play, usa lo strumento ApkSigner, integrato in Android Build Build Tools (revisione 33.0.1 e versioni successive):

$ apksigner sign --in ${INPUT_APK}

--out ${OUTPUT_APK}

--ks ${ORIGINAL_KEYSTORE}

--ks-key-alias ${ORIGINAL_KEY_ALIAS}

--next-signer --ks ${UPGRADED_KEYSTORE}

--ks-key-alias ${UPGRADED_KEY_ALIAS}

--lineage ${LINEAGE}

 Scopri di più su come funzionano gli aggiornamenti delle app.