Almacenes de claves de Android y firma

Interoperabilidad de claves de carga y Play App Signing - el libro de recetas enfocado en EAS para la identidad de lanzamiento de Android en Expo SDK 57.

Receta

Tarjeta de referencia rápida - lista para copiar y pegar.

# Primera compilación de producción - dejar que EAS genere el keystore
eas build --platform android --profile production
 
# Inspecciona credenciales remotas (admin)
eas credentials --platform android
 
# Compilación de producción en CI
eas build --platform android --profile production --non-interactive

// eas.json
{
  "build": {
    "production": {
      "distribution": "store",
      "android": {
        "buildType": "app-bundle"
      }
    },
    "preview": {
      "distribution": "internal",
      "android": {
        "buildType": "apk"
      }
    }
  }
}

// app.config.ts
export default {
  expo: {
    version: "2.4.0",
    android: {
      package: "com.example.shopapp",
      versionCode: 240001,
    },
  },
};

Cuándo usarlo:

• Primer eas build --platform android solicita generación del keystore.
• Play Console rechaza un AAB: "firmado con la clave incorrecta".
• Falla la verificación de App Links - incompatibilidad de huella digital en assetlinks.json.
• Migración desde un keystore heredado en la laptop de un empleado anterior.

Ejemplo funcional

Paso 1 - Habilitar Play App Signing (app nueva)

1. Crea la app en Google Play Console.
2. En la primera carga de AAB, acepta Google Play App Signing (obligatorio para apps nuevas).
3. Google mantiene la clave de firma de la app; tu equipo mantiene la clave de carga.

Paso 2 - Generar credenciales de carga con EAS

eas credentials --platform android

? What do you want to do? › Set up a new keystore
? Generate a new Android Keystore? › Yes

EAS almacena:

• Archivo de keystore (cifrado)
• Contraseña de keystore, alias de clave, contraseña de clave

Paso 3 - Compilación de AAB de producción

eas build --profile production --platform android
eas submit --platform android --profile production --latest

Paso 4 - Registrar App Links con la huella digital de firma de Play

# Play Console → Release → App integrity → App signing key certificate
# Copia SHA-256 - NO la huella digital de la clave de carga

// https://shop.example.com/.well-known/assetlinks.json
[
  {
    "relation": ["delegate_permission/common.handle_all_urls"],
    "target": {
      "namespace": "android_app",
      "package_name": "com.example.shopapp",
      "sha256_cert_fingerprints": ["PLAY_APP_SIGNING_SHA256_HERE"]
    }
  }
]

Consulta Signing & Play App Signing para el recorrido completo de Play Console.

Clave de carga vs Clave de firma de app

# Huella digital de clave de carga (descarga de eas credentials - solo admin)
eas credentials --platform android
 
# Keystore de depuración - solo desarrollo local
keytool -list -v -keystore ~/.android/debug.keystore \
  -alias androiddebugkey -storepass android -keypass android | grep SHA256

• Nunca pongas la huella digital del keystore de depuración en assetlinks.json de producción
• Si Play App Signing está deshabilitado (apps heredadas), la clave de carga es la clave de firma de app - trata la pérdida como catastrófica

Migrar un keystore existente

Las apps brownfield ya en Play deben cargar la misma clave de carga que EAS usará:

eas credentials --platform android
# Elige: Upload existing keystore
# Proporciona: ruta .jks, contraseña de almacén, alias de clave, contraseña de clave

Checklist:

1. Exporta keystore del sistema CI anterior o máquina del desarrollador
2. Confirma que la huella digital coincide con Play Console → App integrity → Upload key certificate
3. Ejecuta un eas build y eas submit de prueba en la pista interna antes de producción
4. Revoca copias locales después de que la carga de EAS tenga éxito - EAS es ahora la fuente de verdad

Recuperación de credenciales

Clave de carga perdida (Play App Signing habilitado)

1. Play Console → App integrity → Request upload key reset
2. Genera una nueva clave de carga mediante eas credentials --platform android
3. Envía el nuevo certificado a Google para su aprobación
4. Reconstruye y carga el AAB - los usuarios no se ven afectados (clave de firma de app sin cambios)

Clave de carga perdida (Play App Signing deshabilitado)

• Sin ruta de recuperación - no puedes publicar actualizaciones al mismo nombre de paquete
• Por eso Play App Signing es obligatorio para apps nuevas

Rotación de un compañero

# Admin descarga copia de seguridad de credenciales (exportación única) y almacena en bóveda del equipo
eas credentials --platform android
 
# Elimina .jks local de laptops - CI usa solo credenciales remotas de EAS

Opciones de firma en eas.json

{
  "build": {
    "production": {
      "android": {
        "buildType": "app-bundle",
        "gradleCommand": ":app:bundleRelease"
      }
    },
    "development": {
      "android": {
        "buildType": "apk",
        "withoutCredentials": false
      }
    }
  }
}

• buildType": "app-bundle" - requerido para producción en Play
• buildType": "apk" - vista previa / carga lateral interna sin Play
• withoutCredentials": true - compilaciones sin firmar de estilo debug solamente; raro para apps RN

FAQs

{
  "cli": { "appVersionSource": "remote" },
  "build": {
    "production": { "autoIncrement": true }
  }
}

Relacionado

• Conceptos básicos de EAS Build - primera compilación de Android en la nube
• EAS Submit - automatización de carga a Play Console
• Distribución interna - enlaces de APK vs pista interna de Play
• ../android-platform/signing-and-play-app-signing/signing-and-play-app-signing.md - inmersión profunda en integridad de app de Play Console
• ../android-platform/internal-testing-tracks/internal-testing-tracks.md - promoción de interna a producción
• ../android-platform/android-basics-for-rn-devs/android-basics-for-rn-devs.md - applicationId y conceptos básicos de Gradle
• ../cng-prebuild/prebuild-basics/prebuild-basics.md - nombre de paquete desde app.config
• ../expo-rules/release-and-ota-rules/release-and-ota-rules.md - compilaciones nativas vs OTA

Versiones de stack: Esta página fue escrita para React 19.2.3, React Native 0.86.0, y Expo SDK 57 (expo ~57.0.4).