Android APK İmzalama

Android uygulamaları, Windows'taki gibi bir genel CA'nın verdiği kod imzalama sertifikasıyla değil, geliştiricinin kendi ürettiği anahtarla imzalanır. APK güncellemeleri aynı anahtarla imzalanmak zorundadır; bu yüzden anahtarın kaybı ciddi sonuç doğurur.

Anahtar deposu oluşturma

keytool -genkeypair -v -keystore yayin.jks -alias uygulama \
  -keyalg RSA -keysize 2048 -validity 10000

Geçerlilik süresi uzun tutulmalıdır; Google Play tarafında upload anahtarı ve Play App Signing kavramlarını ayrıca değerlendirin.

İmzalama adımları

1. APK'yı hizalayın: zipalign -p 4 app-unsigned.apk app-aligned.apk
2. İmzalayın:

   apksigner sign --ks yayin.jks --ks-key-alias uygulama --out app-release.apk app-aligned.apk

3. Doğrulayın:

   apksigner verify --verbose app-release.apk

Hizalamayı imzadan önce yapın; imzadan sonra hizalamak imzayı bozar. Gradle kullanıyorsanız signingConfigs bloğunda anahtar bilgilerini ortam değişkenlerinden okuyun, depoya yazmayın.

Play App Signing

Google Play App Signing'de uygulama imza anahtarını Google saklar, siz yalnızca yükleme (upload) anahtarıyla imzalarsınız. Yükleme anahtarı kaybolursa sıfırlama talebi yapılabilir; klasik tek anahtar modelinde bu mümkün değildir.

Önleme ve ipuçları

• Anahtar deposunu ve parolalarını çevrimdışı, şifreli yedekte saklayın.
• CI ortamında anahtarı gizli değişken olarak kullanın.
• APK Signature Scheme v2/v3 desteği için güncel build-tools kullanın.

Anahtar kaybını önleme

• Anahtar deposunun en az iki ayrı güvenli konumda şifreli yedeğini tutun.
• Parolaları parola yöneticisinde saklayın, depo veya sohbet kanallarına yazmayın.
• Ekip değişikliklerinde kimin anahtara erişebildiğini güncelleyin.
• Uygulamanın mağazadaki imza parmak izini kaydedin; sorun halinde karşılaştırma yapabilirsiniz.

Aynı ürünün Windows sürümü için kod imzalama sertifikası gerekir; kavramsal farkları bilgi bankasında bulabilirsiniz.

Özet: Android imzalamasında kritik konu sertifika satın almak değil, anahtarı kaybetmemek ve güvenle saklamaktır. Play App Signing kullanıyorsanız bile yükleme anahtarınızın yedeğini düzenli biçimde koruyun.