Android Keystores & Signing

Faça upload de chaves e a interação com o Play App Signing - o guia focado em EAS para identidade de lançamento Android no Expo SDK 57.

Receita

Cartão de receita de referência rápida - pronto para copiar e colar.

# Primeiro build de produção - deixe o EAS gerar o keystore
eas build --platform android --profile production
 
# Inspecione credenciais remotas (admin)
eas credentials --platform android
 
# Build de produção em CI
eas build --platform android --profile production --non-interactive

// eas.json
{
  "build": {
    "production": {
      "distribution": "store",
      "android": {
        "buildType": "app-bundle"
      }
    },
    "preview": {
      "distribution": "internal",
      "android": {
        "buildType": "apk"
      }
    }
  }
}

// app.config.ts
export default {
  expo: {
    version: "2.4.0",
    android: {
      package: "com.example.shopapp",
      versionCode: 240001,
    },
  },
};

Quando usar isto:

• O primeiro eas build --platform android solicita a geração do keystore.
• O Play Console rejeita um AAB: "assinado com a chave errada".
• A verificação de App Links falha - incompatibilidade de impressão digital em assetlinks.json.
• Migrando de um keystore legado em um laptop de um ex-funcionário.

Exemplo de Trabalho

Etapa 1 - Habilitar Play App Signing (novo aplicativo)

1. Crie o aplicativo no Google Play Console.
2. No primeiro upload de AAB, aceite o Google Play App Signing (obrigatório para novos aplicativos).
3. O Google detém a chave de assinatura do aplicativo; sua equipe mantém a chave de upload.

Etapa 2 - Gerar credenciais de upload com EAS

eas credentials --platform android

? O que você quer fazer? › Configurar um novo keystore
? Gerar um novo Android Keystore? › Sim

O EAS armazena:

• Arquivo Keystore (criptografado)
• Senha do Keystore, alias da chave, senha da chave

Etapa 3 - Build de AAB de produção

eas build --profile production --platform android
eas submit --platform android --profile production --latest

Etapa 4 - Registrar App Links com a impressão digital de assinatura do Play

# Play Console → Release → App integrity → App signing key certificate
# Copie o SHA-256 - NÃO a impressão digital da chave de upload

// https://shop.example.com/.well-known/assetlinks.json
[
  {
    "relation": ["delegate_permission/common.handle_all_urls"],
    "target": {
      "namespace": "android_app",
      "package_name": "com.example.shopapp",
      "sha256_cert_fingerprints": ["PLAY_APP_SIGNING_SHA256_HERE"]
    }
  }
]

Veja Signing & Play App Signing para o guia completo do Play Console.

Chave de Upload vs Chave de Assinatura do Aplicativo

# Impressão digital da chave de upload (download de credenciais EAS - apenas admin)
eas credentials --platform android
 
# Keystore de depuração - APENAS para desenvolvimento local
keytool -list -v -keystore ~/.android/debug.keystore \
  -alias androiddebugkey -storepass android -keypass android | grep SHA256

• Nunca coloque a impressão digital do keystore de depuração no assetlinks.json de produção
• Se o Play App Signing estiver desativado (aplicativos legados), a chave de upload é a chave de assinatura do aplicativo - trate a perda como catastrófica

Migrando um Keystore Existente

Aplicativos brownfield já na Play Store devem fazer upload da mesma chave de upload que o EAS usará:

eas credentials --platform android
# Escolha: Fazer upload de keystore existente
# Forneça: caminho .jks, senha do store, alias da chave, senha da chave

Checklist:

1. Exporte o keystore do sistema de CI anterior ou da máquina do desenvolvedor
2. Confirme se a impressão digital corresponde ao Play Console → App integrity → Upload key certificate
3. Execute um eas build e eas submit de teste para a trilha interna antes da produção
4. Revogue cópias locais após o upload do EAS ser bem-sucedido - o EAS é agora a fonte da verdade

Recuperação de Credenciais

Chave de upload perdida (Play App Signing ativado)

1. Play Console → App integrity → Request upload key reset
2. Gere uma nova chave de upload via eas credentials --platform android
3. Envie o novo certificado para aprovação do Google
4. Reconstrua e envie o AAB - usuários não afetados (chave de assinatura do aplicativo inalterada)

Chave de upload perdida (Play App Signing desativado)

• Sem caminho de recuperação - você não pode publicar atualizações para o mesmo nome de pacote
• É por isso que o Play App Signing é obrigatório para novos aplicativos

Rotacionando um membro da equipe

# Admin baixa backup de credenciais (exportação única) e armazena no cofre da equipe
eas credentials --platform android
 
# Remova .jks locais de laptops - a CI usa apenas credenciais remotas do EAS

Opções de Assinatura do eas.json

{
  "build": {
    "production": {
      "android": {
        "buildType": "app-bundle",
        "gradleCommand": ":app:bundleRelease"
      }
    },
    "development": {
      "android": {
        "buildType": "apk",
        "withoutCredentials": false
      }
    }
  }
}

• buildType": "app-bundle" - necessário para produção na Play Store
• buildType": "apk" - pré-visualização / sideload interno sem a Play Store
• withoutCredentials": true - apenas builds não assinados estilo depuração; raro para aplicativos RN

FAQs

{
  "cli": { "appVersionSource": "remote" },
  "build": {
    "production": { "autoIncrement": true }
  }
}

Relacionados

• EAS Build Basics - primeiro build Android na nuvem
• EAS Submit - automação de upload para o Play Console
• Internal Distribution - links de APK vs trilha interna da Play Store
• ../android-platform/signing-and-play-app-signing/signing-and-play-app-signing.md - mergulho profundo na integridade do aplicativo do Play Console
• ../android-platform/internal-testing-tracks/internal-testing-tracks.md - promoção de interno → produção
• ../android-platform/android-basics-for-rn-devs/android-basics-for-rn-devs.md - noções básicas de applicationId e Gradle
• ../cng-prebuild/prebuild-basics/prebuild-basics.md - nome do pacote a partir do app.config
• ../expo-rules/release-and-ota-rules/release-and-ota-rules.md - builds nativos vs OTA

Versões da Stack: Esta página foi escrita para React 19.2.3, React Native 0.86.0 e Expo SDK 57 (expo ~57.0.4).