Assinatura & Assinatura de App do Play

Chaves de upload, Assinatura de App do Play e sincronização de credenciais EAS - como a identidade de lançamento do Android funciona para equipes do Expo SDK 57. A assinatura prova que as atualizações vêm de você; a Assinatura de App do Play adiciona a custódia de chave do Google para que laptops perdidos não acabem com seu app.

Receita

Cartão de receita de referência rápida - pronto para copiar e colar.

# Primeira build de produção Android - deixe o EAS gerar credenciais
eas build --platform android --profile production
 
# Inspecionar e baixar credenciais (admin)
eas credentials --platform android
 
# Build com keystore remoto existente
eas build --platform android --profile production --non-interactive

// eas.json
{
  "build": {
    "production": {
      "android": {
        "buildType": "app-bundle"
      }
    }
  },
  "submit": {
    "production": {
      "android": {
        "serviceAccountKeyPath": "./play-service-account.json",
        "track": "internal"
      }
    }
  }
}

# Impressão digital de debug local (apenas para desenvolvimento / teste de App Links via adb)
keytool -list -v -keystore ~/.android/debug.keystore \
  -alias androiddebugkey -storepass android -keypass android | grep SHA256
 
# Console do Play → Integridade do App → Certificado da chave de assinatura do app → SHA-256
# Use ESSA impressão digital em assetlinks.json para App Links de produção

Quando usar isso:

• Primeira eas build para produção Android pergunta sobre a geração do keystore.
• Verificação de App Links falha - incompatibilidade de impressão digital entre o upload e o certificado de assinatura do Play.
• Um membro da equipe saiu e apenas ele tinha o arquivo .jks em um laptop.
• O Console do Play rejeita um AAB com "assinado com a chave errada".

Exemplo de Trabalho

Passo 1 - Habilitar Assinatura de App do Play (novo app)

1. Crie o app no Console do Play.
2. No primeiro upload de AAB, aceite Assinatura de App do Google Play (recomendado - obrigatório para novos apps).
3. O Google detém a chave de assinatura do app; você mantém uma chave de upload.

Passo 2 - Gerar credenciais de upload com EAS

eas credentials --platform android
# Escolha: Configurar um novo keystore (ou fazer upload de um existente se estiver migrando)
# O EAS armazena o keystore + senhas criptografados nos servidores do Expo

Passo 3 - Build de produção e envio

eas build --platform android --profile production
eas submit --platform android --profile production --latest

Passo 4 - Registrar a impressão digital do App Links

# Console do Play → Lançamento → Integridade do App → Assinatura do App
# Copie a impressão digital do certificado SHA-256

// https://shop.example.com/.well-known/assetlinks.json
[
  {
    "relation": ["delegate_permission/common.handle_all_urls"],
    "target": {
      "namespace": "android_app",
      "package_name": "com.example.shopapp",
      "sha256_cert_fingerprints": ["PLAY_APP_SIGNING_SHA256_HERE"]
    }
  }
]

Veja App Links do Android para configuração completa de verificação.

Passo 5 - Rotacionar chave de upload (cenário de laptop perdido)

1. Console do Play → Integridade do App → Chave de upload → Solicitar redefinição da chave de upload.
2. Gere um novo keystore de upload localmente ou via eas credentials.
3. Envie o certificado PEM para o Google; aguarde a aprovação.
4. Builds futuras do EAS usarão a nova chave de upload; a chave de assinatura do app voltada para o usuário permanece inalterada.

O que isso demonstra:

• Upload vs assinatura do app - duas chaves, dois propósitos.
• Credenciais remotas EAS - builds de equipe sem passar .jks no Slack.
• assetlinks.json - deve usar o certificado de assinatura do App do Play para links de produção.
• Rotação da chave de upload - suportada; a chave de assinatura do app permanece estável.

Mergulho Profundo

Como Funciona

• Assinatura de APK/AAB - O Gradle assina o artefato de lançamento com sua chave privada de upload antes de enviá-lo para o Play.
• Assinatura de App do Play - O Google remove sua assinatura, re-assina com a chave de assinatura do app e serve esse binário aos usuários.
• Impressões digitais de certificado - O SHA-256 do certificado público identifica seu app para App Links, Firebase, Google Sign-In e restrições de chave de API.
• EAS Build - puxa credenciais do serviço de credenciais do Expo no momento da build; injeta keystore, key alias e senhas na configuração de assinatura do Gradle.
• Código da versão - inteiro monotônico por applicationId; o Play rejeita duplicatas. O EAS pode auto-incrementar via eas.json.

Tipos de Chave

Comandos de Credenciais EAS

# CI não interativa - credenciais já configuradas na conta Expo
eas build --platform android --profile production --non-interactive

Assinatura Gradle (Referência Básica)

O Expo prebuild gera a configuração de assinatura; equipes básicas podem ver:

// android/app/build.gradle (release) - EAS injeta via env em builds na nuvem
signingConfigs {
    release {
        storeFile file(MYAPP_UPLOAD_STORE_FILE)
        storePassword MYAPP_UPLOAD_STORE_PASSWORD
        keyAlias MYAPP_UPLOAD_KEY_ALIAS
        keyPassword MYAPP_UPLOAD_KEY_PASSWORD
    }
}

Não envie senhas - o EAS usa segredos criptografados; entradas locais em gradle.properties pertencem ao .gitignore.

Tabela de Referência de Impressões Digitais

Armadilhas

• assetlinks.json usa impressão digital da chave de upload - Links de produção falham na verificação. Correção: SHA-256 da assinatura do app do Play.
• Enviar *.jks para o git - Comprometimento da chave; o Play pode forçar a rotação. Correção: Credenciais remotas EAS + backup em cofre apenas.
• Reutilizar keystore de debug para lançamento - O Play rejeita; desastre de segurança. Correção: Keystore de upload separado via EAS.
• Código da versão não incrementado - eas submit falha "código da versão já em uso". Correção: autoIncrement: true em eas.json ou aumente android.versionCode em app.config.
• Incompatibilidade do nome do pacote - com.example.shopapp na configuração vs keystore registrado para um pacote antigo. Correção: Nova listagem no Play ou applicationId correto antes da primeira publicação.
• Desativar a Assinatura de App do Play - Perde o caminho de recuperação da chave de upload. Correção: Aceite a Assinatura de App do Play em novas listagens.

Alternativas

FAQs

Relacionados

• App Links do Android - Impressão digital SHA-256 em assetlinks.json
• Trilhas de Teste Interno - envie AABs assinados para testadores antes da produção
• Permissões e Política do Play - Conformidade com o Console do Play (separado da assinatura)
• ../eas-build/android-keystores-and-signing/android-keystores-and-signing.md - Mergulho profundo em assinatura focado em EAS
• ../eas-build/eas-submit/eas-submit.md - uploads automatizados para o Play

Versões da Stack: Esta página foi escrita para React 19.2.3, React Native 0.86.0 e Expo SDK 57 (expo ~57.0.4).