概要
アプリ署名鍵、アップロード鍵、配布チャネルごとの鍵を見分け、秘密鍵を公開せずに正しい SHA-256 証明書を登録します。
対象: 既存パッケージの署名証明書を登録する担当者や、「対象外の鍵」「追加の鍵」「別の証明書」といった表示の原因を切り分けたいリリース担当者向けです。
確認手順
- Google Play、他社ストア、直接配布ごとに、ユーザーが実際に入手する本番 APK を整理します。
- 各 APK の公開 SHA-256 を取得し、アプリ署名鍵、アップロード鍵、旧鍵、チャネル専用鍵のどれかを記録します。
- 配布版を署名する鍵を選びます。候補にない場合は、別の鍵へ替えずに公式の審査・申請手続きを使います。
- 求められた所有権確認を終え、パッケージ名と証明書の組み合わせを再確認します。
要点
正しい本番鍵が候補に表示されないという理由だけで、署名鍵をローテーションしないでください。更新の継続性を守り、鍵の用途を確認してから公式の審査手続きを進めます。
詳しい解説
ユーザーに届く APK の証明書を確認する
Play App Signing では、配信 APK はアプリ署名鍵で署名されます。AAB の送信に使うアップロード鍵は別の役割です。他社ストアではさらに別の証明書を使う場合があるため、CI の設定だけで判断せず、各チャネルの本番 APK を確認します。
apksigner verify --print-certs app-release.apk候補にない鍵は、用途を確認して審査へ進む
まずデバッグ鍵、アップロード鍵、別チャネルの APK を取り違えていないか確認します。正しい本番鍵が候補にない場合は、コンソールの審査・申請から配布履歴を提示します。同じパッケージを複数の正当な証明書で配布しているなら、追加の鍵として登録し、対象チャネルを明記します。
- 鍵の別名ではなく SHA-256 を比較する。
- 旧版と各チャネルの証拠を保管する。
- 秘密鍵は署名環境から出さない。
登録不一致と AAB の署名エラーを分ける
登録確認で別の証明書と表示される場合は、パッケージに登録された公開証明書が異なります。一方、Play の「App Bundle が別の鍵で署名されている」というエラーは、通常アップロード鍵の問題です。原因の層が分かるまで、どちらの鍵も変更しないでください。
よくある質問
1つの Android パッケージに複数の署名鍵を登録できますか？
はい。実際の配布チャネルや承認された署名履歴に対応する鍵であれば、追加登録できます。各 SHA-256 と APK、チャネルの関係を残してください。
Play App Signing ではどの鍵を使いますか？
Play がユーザーへ配信するアプリの確認には、アプリ署名鍵の証明書を使います。アップロード鍵は AAB を送信するための鍵です。
本番鍵が対象外と表示されたら？
その鍵が本番 APK を署名しているかを再確認し、正しければ公式の審査・申請手続きを使います。表示に合わせるためだけの鍵変更は避けます。
秘密鍵をアップロードする必要がありますか？
ありません。登録するのは公開証明書の SHA-256 です。所有権確認で署名済み APK を求められても、秘密鍵そのものは署名環境に残します。
出典と更新情報
最終確認日: