Firma y Play App Signing

Claves de carga, Play App Signing y sincronización de credenciales de EAS - cómo funciona la identidad de lanzamiento de Android para equipos de Expo SDK 57. La firma demuestra que las actualizaciones provienen de ti; Play App Signing añade la custodia de claves de Google para que los portátiles perdidos no terminen tu aplicación.

Receta

Tarjeta de referencia rápida - lista para copiar y pegar.

# Primera compilación de Android de producción - dejar que EAS genere credenciales
eas build --platform android --profile production
 
# Inspeccionar y descargar credenciales (administrador)
eas credentials --platform android
 
# Compilar con keystore remoto existente
eas build --platform android --profile production --non-interactive

// eas.json
{
  "build": {
    "production": {
      "android": {
        "buildType": "app-bundle"
      }
    }
  },
  "submit": {
    "production": {
      "android": {
        "serviceAccountKeyPath": "./play-service-account.json",
        "track": "internal"
      }
    }
  }
}

# Huella digital local de depuración (desarrollo / prueba de App Links adb solamente)
keytool -list -v -keystore ~/.android/debug.keystore \
  -alias androiddebugkey -storepass android -keypass android | grep SHA256
 
# Play Console - Integridad de la aplicación - Certificado de clave de firma de aplicación - SHA-256
# Usa ESA huella digital en assetlinks.json para enlaces de aplicación de producción

Cuándo usarlo:

• El primer eas build para Android de producción pregunta sobre la generación de keystore.
• La verificación de App Links falla - falta de coincidencia de huella digital entre la clave de carga y el certificado de firma de Play.
• Un compañero de equipo se fue y solo él tenía el archivo .jks en un portátil.
• Play Console rechaza un AAB con "firmado con clave incorrecta."

Ejemplo de trabajo

Paso 1 - Habilitar Play App Signing (aplicación nueva)

1. Crea una aplicación en Play Console.
2. En la primera carga de AAB, acepta Google Play App Signing (recomendado - obligatorio para aplicaciones nuevas).
3. Google mantiene la clave de firma de aplicación; tú mantienes una clave de carga.

Paso 2 - Generar credenciales de carga con EAS

eas credentials --platform android
# Elige: Configurar un nuevo keystore (o cargar uno existente si estás migrando)
# EAS almacena keystore + contraseñas cifradas en servidores de Expo

Paso 3 - Compilación y envío de producción

eas build --platform android --profile production
eas submit --platform android --profile production --latest

Paso 4 - Registrar huella digital de App Links

# Play Console - Lanzamiento - Integridad de la aplicación - Firma de aplicación
# Copiar huella digital del certificado SHA-256

// https://shop.example.com/.well-known/assetlinks.json
[
  {
    "relation": ["delegate_permission/common.handle_all_urls"],
    "target": {
      "namespace": "android_app",
      "package_name": "com.example.shopapp",
      "sha256_cert_fingerprints": ["PLAY_APP_SIGNING_SHA256_HERE"]
    }
  }
]

Consulta Android App Links para obtener la configuración de verificación completa.

Paso 5 - Rotar clave de carga (escenario de portátil perdido)

1. Play Console - Integridad de la aplicación - Clave de carga - Solicitar restablecimiento de clave de carga.
2. Generar nuevo keystore de carga localmente o a través de eas credentials.
3. Enviar certificado PEM a Google; esperar la aprobación.
4. Las futuras compilaciones de EAS usan la nueva clave de carga; la clave de firma de aplicación para el usuario no cambia.

Lo que esto demuestra:

• Carga vs firma de aplicación - dos claves, dos propósitos.
• Credenciales remotas de EAS - compilaciones de equipo sin pasar .jks en Slack.
• assetlinks.json - debe usar certificado de firma de aplicación de Play para enlaces de producción.
• Rotación de clave de carga - compatible; la clave de firma de aplicación se mantiene estable.

Análisis profundo

Cómo funciona

• Firma de APK/AAB - Gradle firma el artefacto de lanzamiento con tu clave privada de carga antes de la carga a Play.
• Play App Signing - Google elimina tu firma, vuelve a firmar con la clave de firma de aplicación y sirve ese binario a los usuarios.
• Huellas dactilares de certificados - SHA-256 del certificado público identifica tu aplicación para App Links, Firebase, Google Sign-In y restricciones de claves API.
• EAS Build - extrae credenciales del servicio de credenciales de Expo en tiempo de compilación; inyecta keystore, key alias y contraseñas en la configuración de firma de Gradle.
• Código de versión - entero monótono por applicationId; Play rechaza duplicados. EAS puede incrementar automáticamente a través de eas.json.

Tipos de claves

Comandos de credenciales de EAS

# CI no interactivo - credenciales ya configuradas en cuenta de Expo
eas build --platform android --profile production --non-interactive

Gradle Signing (Referencia desnuda)

Expo prebuild genera configuración de firma; equipos desnudos pueden ver:

// android/app/build.gradle (lanzamiento) - EAS inyecta vía env en compilaciones en la nube
signingConfigs {
    release {
        storeFile file(MYAPP_UPLOAD_STORE_FILE)
        storePassword MYAPP_UPLOAD_STORE_PASSWORD
        keyAlias MYAPP_UPLOAD_KEY_ALIAS
        keyPassword MYAPP_UPLOAD_KEY_PASSWORD
    }
}

No cometas contraseñas - EAS usa secretos cifrados; las entradas locales de gradle.properties pertenecen a .gitignore.

Hoja de trucos de huella digital

Errores comunes

• assetlinks.json usa huella digital de clave de carga - Falla de verificación de enlaces de producción. Solución: Play Console app signing SHA-256.
• Comitiendo *.jks a git - Compromiso de clave; Play puede forzar rotación. Solución: Credenciales remotas de EAS + solo copia de seguridad de bóveda.
• Reutilizar keystore de depuración para lanzamiento - Play rechaza; desastre de seguridad. Solución: Keystore de carga separado a través de EAS.
• Código de versión no incrementado - eas submit falla "código de versión ya utilizado." Solución: autoIncrement: true en eas.json o bumped android.versionCode en app.config.
• Falta de coincidencia de nombre de paquete - com.example.shopapp en configuración vs keystore registrado a paquete antiguo. Solución: Nueva lista de Play o applicationId correcto antes del primer lanzamiento.
• Optar por no participar en Play App Signing - Pierde la ruta de recuperación de clave de carga. Solución: Acepta Play App Signing en nuevas listas.

Alternativas

FAQs

Relacionado

• Android App Links - SHA-256 huella digital en assetlinks.json
• Internal Testing Tracks - enviar AABs firmados a probadores antes de producción
• Permissions & Play Policy - Cumplimiento de Play Console (separado de firma)
• ../eas-build/android-keystores-and-signing/android-keystores-and-signing.md - análisis profundo de firma enfocado en EAS
• ../eas-build/eas-submit/eas-submit.md - cargas automáticas de Play

Versiones de pila: Esta página se escribió para React 19.2.3, React Native 0.86.0 y Expo SDK 57 (expo ~57.0.4).