Signer une application Android sans se tromper de clé

Signer une application Android semble anodin, jusqu'au jour où une clé perdue ou confondue bloque toute mise à jour. Voici l'essentiel pour ne pas se tromper.

Deux clés, deux rôles

• La clé de signature de l'application est celle qui identifie votre application auprès d'Android. Si vous activez Play App Signing, Google la conserve et signe les APK distribués aux utilisateurs.
• La clé d'upload est celle avec laquelle vous signez ce que vous envoyez à Google Play. Google la vérifie à l'envoi, puis re-signe avec la clé de signature.

Cette séparation est un filet de sécurité : si vous perdez la clé d'upload, une procédure de réinitialisation existe auprès de Google. Sans Play App Signing, perdre la clé de signature signifie ne plus pouvoir mettre à jour l'application sous le même identifiant.

Créer une clé d'upload

keytool -genkeypair -v \
  -keystore upload.jks -alias upload \
  -keyalg RSA -keysize 4096 -validity 10000

-validity 10000 donne une validité d'environ 27 ans : une clé qui expire trop tôt est une source de problèmes. Notez le mot de passe du keystore, celui de la clé et l'alias : sans eux, le fichier est inutilisable.

Vérifier une empreinte

keytool -list -v -keystore upload.jks -alias upload

Comparez l'empreinte SHA-256 affichée avec celle attendue par la console Google Play ou par votre outil de build : une empreinte différente est le signe d'une clé confondue.

Les erreurs qui coûtent cher

1. Committer le keystore dans un dépôt Git : il devient accessible à quiconque a accès au dépôt.
2. Ne pas sauvegarder le keystore et ses mots de passe à deux endroits sûrs.
3. Changer de nom de package après la première publication : c'est une autre application pour les stores.
4. Oublier d'augmenter le versionCode : une mise à jour est refusée si ce nombre n'augmente pas.
5. Confondre APK et AAB : Google Play attend un AAB pour les nouvelles applications.

Ce que fait PWA2APP

Dans PWA2APP, vous pouvez générer une clé (RSA 4096 par défaut) ou importer la vôtre. Le keystore et ses mots de passe sont chiffrés avec un chiffrement en enveloppe AES-256-GCM, fournis uniquement au service de signature pour un job donné, et chaque utilisation est journalisée. Le build est exécuté par un service distinct de la signature : le worker de compilation ne voit jamais votre clé.

La révocation détruit les secrets, de façon irréversible côté PWA2APP : gardez toujours votre propre sauvegarde d'une clé importée.

À retenir

• Utilisez Play App Signing et gardez précieusement la clé d'upload.
• Sauvegardez le keystore et ses mots de passe, jamais dans le dépôt de code.
• Vérifiez les empreintes avant chaque envoi.