概要
Google Play App Signing、アップロード鍵、他ストアの配布証明書を区別し、登録照会に使う SHA-256 を選ぶ。
対象: 証明書不一致を調査する、または署名所有権を記録する Play Console 利用者。
確認手順
- Play Console のアプリの完全性または署名画面を開く。
- アプリ署名証明書とアップロード証明書の両方を記録する。
- 配布パッケージの ID には本番アプリ署名証明書を使う。
- CI の問題調査用にアップロード証明書もリリース記録へ残す。
要点
チェッカーが不一致を示しただけで鍵をローテーションまたはリセットしないでください。配布アーティファクトに署名した証明書を先に確定します。
詳しい解説
アップロード ID と配布 ID を対応付ける
通常、CI はアップロード鍵で Android App Bundle に署名します。Google Play はその送信を確認し、利用者へ配る APK をアプリ署名鍵で署名します。そのため、アップロード証明書を Status API へ送ると、配布アプリが正しく登録されていても不一致になり得ます。
二つのフィンガープリントを明確な名称で記録してください。既存インストールを調べるときは、Play Console のアプリ署名証明書と配布 APK の証明書を比較します。
- アプリ署名鍵：Play 配信 APK の ID。
- アップロード鍵：Play への送信を認証。
- 旧鍵：古い版や Play 外のビルドで必要な場合がある。
同じアプリでも鍵の役割を分ける
Play Console の App signing 情報で、App signing key certificate と upload key certificate を別々に記録します。ユーザーへ Play 経由で配布される APK は通常 App signing key で署名されます。アップロード用鍵の指紋を、そのまま配布 APK の登録確認値に使わないでください。
外部ストアにも出す場合は各経路の本番 APK の公開 SHA-256 を取得し、Google Play の値と比較します。二つの値が違えば、それだけで異常とは言えません。パッケージ、チャネル、配布証明書の対応関係をまず確認します。
例えば、CI が AAB を upload key で提出し、Play が App signing key で配布する構成では、提出物と端末上の APK の指紋が異なり得ます。この例は構成の説明用であり、特定コンソールを確認した結果ではありません。
- Play の登録状況は Play Console Home / Android developer verification の表示で確認します。
- 鍵は照合前にローテーションしないでください。
製品版のパッケージ名を入力し、署名も照合する場合は配布 APK の証明書 SHA-256 を追加します。ストア審査やアプリの安全性とは別の確認です。
ステータスを確認 →よくある質問
不一致ならアップロード鍵をローテーションすべきですか？
照会した証明書の役割を確認するまでは行いません。不一致は、アップロード証明書ではなくアプリ署名証明書を使うべきだっただけの場合があります。
Play 外のビルドにも同じ鍵を使えますか？
使うことはできますが、チャネル別の署名フローを採用するチームも多くあります。同じだと仮定せず、各配布アーティファクトを確認してください。
出典と更新情報
最終確認日: