Kurzüberblick
Wählen Sie den richtigen Signaturschlüssel, registrieren Sie weitere SHA-256-Zertifikate und lösen Sie Schlüsselkonflikte, ohne private Schlüssel offenzulegen.
Zielgruppe: Android-Release-Verantwortliche mit Meldungen zu berechtigten Schlüsseln, zusätzlichen Schlüsseln oder Signaturkonflikten bei einem bestehenden Paket.
Release-Ablauf
- Erfassen Sie das Artefakt, das Nutzer aus jedem aktiven Vertriebskanal erhalten.
- Lesen Sie den öffentlichen SHA-256-Zertifikat-Fingerabdruck aus und kennzeichnen Sie App-Signatur-, Upload-, Alt- oder Kanalschlüssel.
- Wählen Sie einen berechtigten Schlüssel oder den offiziellen Prüfweg und fügen Sie jeden legitimen Verteilungsschlüssel hinzu.
- Schließen Sie den verlangten Inhaberschaftsnachweis ab und prüfen Sie das exakte Paket-Zertifikat-Paar erneut.
Eckdaten
Rotieren Sie keinen Produktionsschlüssel, weil er in einer Berechtigungsliste fehlt. Prüfen Sie Artefakt und Schlüsselrolle, erhalten Sie die Update-Kontinuität und nutzen Sie den offiziellen Antrags- oder Prüfweg.
Ausführliche Anleitung
Das Zertifikat der installierten App registrieren
Beginnen Sie mit dem Artefakt, das Nutzer tatsächlich installieren. Bei Play App Signing signiert Google ausgelieferte APKs mit dem App-Signaturschlüssel, während der Uploadschlüssel nur die Einreichung authentifiziert. Website-Builds oder andere Stores können eigene Produktionszertifikate verwenden.
Extrahieren Sie aus jeder ausgelieferten APK den SHA-256-Fingerabdruck und dokumentieren Sie den Kanal. Ein vertrauter Keystore-Alias genügt nicht, wenn dieser Schlüssel die installierte App nicht signiert.
- Play-APK: App-Signaturzertifikat.
- Play-Upload: Uploadzertifikat mit eigenem Zweck.
- Anderer Kanal: dessen Produktions-APK untersuchen.
apksigner verify --print-certs app-release.apkBerechtigten Schlüssel oder Prüfweg wählen
Für bestehende Pakete kann die Konsole bereits bekannte Signaturschlüssel anzeigen. Wählen Sie den Schlüssel der ausgelieferten Version. Fehlt der korrekte Produktionsschlüssel, schließen Sie zunächst Upload- und Debug-Schlüssel aus und erklären Sie dann über den offiziellen Prüfweg die Vertriebshistorie.
Bei neuen Paketnamen halten Sie Entwicklerkonto, Paket und Zertifikat gemeinsam im Release-Register. Erstellen Sie keinen Ersatzschlüssel, nur damit ein Eintrag in der Liste erscheint.
- SHA-256-Fingerabdrücke statt Aliasnamen vergleichen.
- Nachweise für Alt- und Kanalschlüssel aufbewahren.
- Den Schlüssel erhalten, der die Update-Kontinuität sicherstellt.
Jeden legitimen Vertriebsschlüssel ergänzen
Ein Paket kann bei mehreren Kanälen oder genehmigten Signaturhistorien mehr als einen legitimen Schlüssel haben. Fügen Sie jedes öffentliche Zertifikat über den offiziellen Ablauf für zusätzliche Schlüssel hinzu und kennzeichnen Sie Fingerabdruck, Kanal und Verantwortlichen.
Verlangt die Konsole einen Inhaberschaftsnachweis, erstellen Sie ihn mit dem passenden Signaturschlüssel. Dazu können eine signierte APK und adi-registration.properties gehören; der private Schlüssel wird nie hochgeladen.
- Nur Schlüssel hinzufügen, die ein wirklich verteiltes Artefakt signieren.
- Private Schlüssel im bestehenden Signatursystem lassen.
- Konsolenverarbeitung abschließen lassen, bevor Sie erneut prüfen.
Registrierungsfehler von Play-Uploadfehlern trennen
Ein Registrierungskonflikt bedeutet, dass das Paket mit einem anderen Zertifikat-Fingerabdruck hinterlegt ist. Eine Play-Meldung über einen falsch signierten App Bundle betrifft Uploadschlüssel oder Play App Signing. Dasselbe Paket kann beide Meldungen auslösen, doch die Korrekturen sind verschieden.
Prüfen Sie die Registrierung mit Paket und öffentlichem Zertifikat. Analysieren Sie eine AAB-Ablehnung in den Zertifikatsseiten und Uploadhinweisen der Play Console. Eine Rotation vor der Ebenenklärung erschwert die Wiederherstellung.
- Registrierungsprüfung: Paket plus öffentliches Zertifikat.
- AAB-Ablehnung: erwartetes Uploadzertifikat.
- Installierte Play-Identität: App-Signaturzertifikat.
Geben Sie den Produktionspaketnamen ein. Für den Signaturabgleich ergänzen Sie das SHA-256-Zertifikat der tatsächlich ausgelieferten APK. Store-Prüfungen bleiben ein eigener Schritt.
Status prüfen →Häufige Fragen
Kann ein Android-Paket mehrere Signaturschlüssel haben?
Ja. Zusätzliche legitime Schlüssel lassen sich registrieren, wenn sie echte Vertriebskanäle oder eine genehmigte Signaturhistorie repräsentieren. Dokumentieren Sie für jeden SHA-256-Fingerabdruck Artefakt und Kanal.
Welchen Schlüssel nutze ich bei Play App Signing?
Für die Identität einer von Google Play ausgelieferten App verwenden Sie das App-Signaturzertifikat. Das getrennte Uploadzertifikat authentifiziert lediglich den Bundle-Upload.
Was tun, wenn mein Produktionsschlüssel nicht berechtigt ist?
Bestätigen Sie zuerst, dass er das installierte Produktionsartefakt signiert und kein Upload- oder Debug-Schlüssel ist. Nutzen Sie anschließend den offiziellen Antrag oder Prüfweg mit den geforderten Vertriebsnachweisen.
Muss ich meinen privaten Signaturschlüssel hochladen?
Nein. Registriert wird der öffentliche Zertifikat-Fingerabdruck. Ein Inhaberschaftsnachweis kann eine passend signierte APK verlangen, der private Schlüssel bleibt aber im Keystore oder Signaturdienst.
Warum meldet Play für mein App Bundle den falschen Schlüssel?
Diese Meldung betrifft normalerweise das von Play erwartete Uploadzertifikat und nicht das Zertifikat der Android-Entwicklerbestätigung. Diagnostizieren Sie sie in der Play Console, bevor Sie Schlüssel ändern.
Quellen und Prüfung
Zuletzt geprüft: