5

NOTA:

Esta pregunta podría relacionarse con la siguiente: Recuperar llave publicación Aplicación Android, pero el objetivo aquí es dar más detalles sobre el funcionamiento mismo del firmado de aplicaciones en Android Studio, a fin de evitar un problema grave que podría afectar a cualquier usuario que lance una app a la Store de Google e ignore cómo funciona en esa plataforma la firma de aplicaciones.

Considero importante también que la pregunta incluya el mensaje de error arrojado cuando eso ocurre.


Tengo una aplicación ya subida a Google Play Store, la cual fue firmada por Android Studio al momento de crearla / subirla al Store.

Entre la subida de la misma y una actualización que se hizo necesaria yo había cambiado el sistema operativo de mi equipo, haciendo una instalación en limpio.

Copié de nuevo al disco duro de mi equipo todas las carpetas del proyecto Android, reinstalé Android Studio y todo normal. Pero cuando llegó el momento de subir la actualización a Google Play Store... todo perfecto hasta que llegó el momento final en que ves el mensaje de que todo ha ido bien.

Es entonces cuando recibo este terrible mensaje de error:

Upload failed

You uploaded an APK that is signed with a different certificate to your previous APKs. You must use the same certificate.

Your existing APKs are signed with the certificate(s) with fingerprint(s):

[ SHA1:...unos números ]

and the certificate(s) used to sign the APK you uploaded have fingerprint(s):

[ SHA1: ... otros números ]


Subida fallida

Subiste un APK que está firmado con un certificado diferente a tu APK anterior. Debes utilizar el mismo certificado...

¿Cómo puedo hacer para firmar de nuevo la APK con su certificado original y dónde se encuentra dicho certificado? ¿Se me ha escapado algo importante al momento de firmar mi aplicación por primera vez? ¿Es obligatorio firmar mi app con Android Studio o hay otra forma de hacerlo?

16
  • Yo el keystore lo tengo replicado onedrive, drive, dropbox, pendrives hasta bajo las piedras, no creo que puedas recuperarlo si no encuentras el original
    – Codelaby
    Commented el 23 abr. 2017 a las 21:29
  • Se tiene esta respuesta es.stackoverflow.com/questions/8508/llave-publicaci%C3%B3n-app/… este tipo de preguntas/respuesta deberína ser wiki de comunidad.
    – Jorgesys
    Commented el 24 abr. 2017 a las 3:14
  • @Jorgesys considero que se deben marcar como relacionadas, pero no como duplicadas. Antes de crear la pregunta hice varias búsquedas en esSO, escribiendo el término debug.keystore y parte del mensaje de error recibido y no encontré la pregunta que señalas. Esta pregunta y su respuesta dan varios detalles importantes para un problema tan grave que allí es tratado con menos profundidad.
    – A. Cedano
    Commented el 24 abr. 2017 a las 3:26
  • 4
    ¿Por qué no mejor publicar tu respuesta sobre la pregunta que ya existe? Sigo sin ver el motivo por el cual convendría tener 2 publicaciones diferentes, y sí creo que es mejor que toda la información se encuentre en la misma publicación... Si hay algún problema con las palabras clave en la búsqueda, creo que lo mejor es editar la pregunta para que sea más sencillo encontrarla.
    – Mariano
    Commented el 24 abr. 2017 a las 5:16
  • 2
    @jorgesys Esta pregunta la cerre como duplicada de esta es.stackoverflow.com/questions/8508/… , otra de las razones es principalmente porque NO se usa la debug.keystore para firmar aplicaciones para Google Play Store. va a haber usuarios que van a realizar esto y no es correcto. He agregado mi respuesta aquí.
    – Jorgesys
    Commented el 19 jun. 2017 a las 15:03

2 respuestas 2

8

Hay un archivo que es clave cuando creamos nuestras aplicaciones y que debemos guardar como un verdadero tesoro pues si lo perdemos no podremos de ninguna manera subir más actualizaciones de nuestra aplicación a Google Play Store.

Además, es un archivo que podemos perder fácilmente si hacemos instalación en limpio de nuestro sistema sin tener copias de seguridad del tipo Time Machine, que te hacen copia de todo lo que hay en el equipo.

Es fácil de perder porque ese archivo, al menos cuando usamos Android Studio y firmamos por primera vez nuestra app, no se crea en las carpetas habituales que solemos poner a salvo cuando reinstalamos el sistema desde cero: carpetas de proyectos, documentos, etc.

Me refiero al archivo llamado debug.keystore el cual, cuando usamos Android Studio, se crea en una carpeta oculta llamada .android de nuestro directorio home. La ruta del tesoro es pues esta:

$HOME/.android/debug.keystore

donde $HOME será el directorio raíz de nuestro usuario.

Atención, está en una carpeta oculta, por lo cual no se verá si no tenemos activada la opción de mostrar archivos ocultos.

¿Qué ocurre si no podemos recuperar ese archivo?

No podríamos actualizar más la App que firmamos con él. Si es una aplicación que no necesitará más actualizaciones en la vida (lo cual es casi imposible) no pasa nada... De modo que el destino casi seguro de nuestra App sería convertirse en una aplicación fantasma en la Google Play Store.

Tendríamos entonces que subir de nuevo nuestra App, pero sería para todos los efectos una nueva aplicación. Si ya la App tiene miles o millones de usuarios y es una app de pago podríamos ir a la cárcel :) , no no... pero en cualquier caso habría que comunicar a los usuarios de la app fantasma que la misma no podrá ser actualizada y que deberían instalar la nueva.

Sea de pago o no, es un paso desagradable. Y si es de pago habrá que inventarse alguna forma para que quienes la compraron no tengan que volver a pagarla, en fin, un verdadero lío, y todo por no haber guardado como un tesoro nuestro archivo debug.keystore.

Para evitar que nos ocurra esto

Si has firmado tu App con Android Studio y no tienes una copia de tu archivo debug.keystore no dejes de hacerlo ya y guarda ese tesoro en uno o varios lugares muy seguros.


Documentación de Android al respecto y cómo funciona la firma de Apps en AS

Android exige que todos los APK se firmen digitalmente con un certificado para su instalación. En este documento se describe la manera de firmar tus APK usando Android Studio, incluidos los procesos de creación y almacenamiento de tu certificado, firma de diferentes configuraciones de compilación con distintos certificados y configuración del proceso de compilación para firmar tus APK automáticamente.

Certificados y keystores

Un certificado de clave pública, también conocido como certificado digital o un certificado de identidad, contiene la clave pública de un par de claves públicas y privadas, y otros metadatos que identifican al propietario de la clave (por ejemplo, nombre y ubicación). El propietario del certificado conserva la clave privada correspondiente.

Cuando firmas un APK, la herramienta de firma adjunta el certificado de clave pública al APK. El certificado de clave pública sirve como una “huella digital” que asocia de manera exclusiva el APK contigo y con tu clave privada correspondiente. Esto permite a Android verificar que cualquier actualización futura a tu APK sea auténtica y provenga del autor original.

Un keystore es un campo binario que contiene una o más claves privadas. Cuando firmas una APK para el lanzamiento usando Android Studio, puedes optar por generar un keystore nuevo y una clave privada o usar los que ya tengas. Debes elegir una contraseña segura para tu keystore y una clave segura aparte para cada clave privada almacenada en el keystore. Debes conservar tu keystore en un lugar seguro y protegido. Consulta Proteger tu clave privada, a continuación.

Debes usar el mismo certificado durante la vida útil de tu app para que los usuarios puedan instalar versiones nuevas como actualizaciones en la app. Para obtener más información sobre los beneficios que tiene usar el mismo certificado para todas tus app durante su vida útil, consulta Consideraciones respecto de las firmas en la Ayuda de Android.

Firmar tu compilación de depuración

Cuando ejecutas o depuras tu proyecto desde el IDE, Android Studio automáticamente firma tu APK con un certificado de depuración generado por las herramientas del SDK de Android. La primera vez que ejecutas o depuras tu proyecto en Android Studio, el IDE automáticamente crea el keystore y el certificado de depuración en $HOME/.android/debug.keystore, y configura el keystore y las contraseñas de claves.

Debido a que el certificado de depuración se crea con las herramientas de compilación y no es seguro por diseño, en la mayoría de las tiendas de apps (incluida Google Play Store) no se aceptará un APK firmado con un certificado de depuración para la publicación.

Android Studio automáticamente almacena tu información de firma de depuración en una configuración de firma para que no debas ingresarla cada vez que realices depuraciones. Una configuración de firma es un objeto que comprende toda la información necesaria para firmar un APK, como la ubicación y la contraseña del keystore, el nombre de la clave y la contraseña de la clave. No puedes editar directamente la configuración de firma de depuración, pero puedes configurar la forma de firmar la compilación de tu lanzamiento.

Configurar el proceso de compilación para que firme automáticamente tu APK

En Android Studio, puedes configurar tu proyecto para firmar el APK de lanzamiento de manera automática durante el proceso de compilación generando una configuración de firmas y asignándola a tu tipo de compilación de versión. Una configuración de firma consta de una ubicación de keystore, una contraseña de keystore, un alias de clave y una contraseña de clave. Para generar una configuración de firma y asignarla a tu tipo de compilación de versión usando Android Studio, sigue estos pasos:

  1. En la ventana Project, haz clic con el botón secundario en tu app y luego con el primario en Open Module Settings.
  2. En la ventana Project Structure, en la sección Modules del panel izquierdo, haz clic en el módulo que deseas firmar.
  3. Haz clic en la pestaña Signing y luego con el primario en Add +.
  4. Selecciona el archivo de tu keystore, ingresa un nombre para esta configuración de firma (ya que puedes crear más de una) y la información requerida.

Ventana para crear una configuración nueva de firma.

  1. Haz click en la pestaña Build Types.
  2. Haz clic en la compilación release.
  3. En Signing Config, selecciona la configuración que acabas de crear.

Selección de una configuración de firma en Android Studio.

  1. Haz clic en OK.

Ahora, cada vez que compiles tu tipo de compilación de versión usando Android Studio, el IDE firmará el APK automáticamente con la configuración que especificaste. Puedes encontrar tus APK firmados en el archivo build/outputs/apk/ dentro del directorio del proyecto del módulo que compiles.

Cuando creas una configuración de firma, tu información de firma se incluye en texto sin formato en tus archivos de compilación de Gradle. Si trabajas en un equipo o compartes tu código públicamente, debes mantener protegida tu información de firma quitándola de los archivos de compilación y almacenándola por separado. Puedes obtener más información sobre la manera de quitar tu información de firma de tus archivos de compilación en Quitar información sobre la firma de tus archivos de compilación. Si deseas más información sobre la forma de mantener protegida tu información de firma, lee Asegurar tu clave privada.

Firmar tu compilación de versión manualmente con Android Studio

Puedes usar Android Studio para generar manualmente APK firmados, ya sea uno por vez o para diferentes variantes de compilación a la vez. En lugar de firmar manualmente los APK, también puedes configurar ajustes de compilación de Gradle para administrar la firma automáticamente durante el proceso de compilación. Aquí se describe el proceso manual de firma. Para obtener más información acerca de la firma de apps como parte del proceso de compilación, consulta Configurar el proceso de compilación para que firme automáticamente tu APK.

Para firmar manualmente tu APK para el lanzamiento en Android Studio los pasos a seguir están explicados en el apartado Firmar tu compilación de versión de la ayuda de Android, y son los siguientes: Para firmar una app en el modo de lanzamiento desde la línea de comandos, completa la siguiente secuencia de pasos:

  1. Crea una clave privada usando keytool. Por ejemplo:

    $ keytool -genkey -v -keystore my-release-key.jks -keyalg RSA -keysize 2048 -validity 10000 -alias app

En este ejemplo se te solicitan contraseñas para el keystore y la clave, y para otorgar los campos de nombre distintivo de tu clave. Luego se genera el keystore como un archivo llamado my-release-key.jks. El keystore contiene una clave única que es válida para 10 000 dias.

  1. Compila tu app en el modo de lanzamiento para obtener un APK sin firmar y sin alinear.
  2. Alinea el APK sin firmar usando zipalign:

    $ zipalign -v -p 4 my-app-unaligned.apk my-app.apk

zipalign garantiza que todos los datos descomprimidos comiencen con una alineación de bytes en particular relacionada con el comienzo del archivo, lo que reduce el consumo de memoria RAM de una app.

  1. Firma tu APK con tu clave privada usando apksigner:

    $ apksigner sign --ks my-release-key.jks my-app.apk

En este ejemplo se firma la app my-app.apk usando una clave y un certificado privados que se almacenan en un único archivo KeyStore: my-release-key.jks.

La herramienta apksigner admite otras opciones de firmas, incluida la firma de un archivo APK con archivos de clave y certificado privados separados y la firma de un APK con varios firmantes.

  1. Verifica que tu APK esté firmado.

    $ apksigner verify my-app.apk

Firmar tu app manualmente sin usar Android Studio

No necesitas que Android Studio para firmar tu app. Puedes hacerlo desde la línea de comandos usando herramientas estándares de Android SDK y el JDK. Si no quieres firmar tu App con Android Studio, aquí se explica como hacerlo con otras herramientas.

Otros tipos de firmas

En la documentación de Android también podemos encontrar detalles sobre:

1
  • 1
    No olvides en marcar como correcta la solución
    – Codelaby
    Commented el 27 abr. 2017 a las 17:23
1

Siempre realiza un respaldo de tu Keystore en un lugar seguro y no olvides el usuario y passwords.

La llave que comentas tiene extensión .keystore

Si tuvieras el keystore, pero no los password probablemente podrías hacer algo con:

http://code.google.com/p/android-keystore-password-recover/

Si no se tiene el Keystore, definitivamente tienes que crear otro y subir una nueva aplicación a tu Play Store, ya que no podrías reemplazar la existente !


COMO FIRMAR TU APLICACIÓN !

Primeramente necesitas obtener un Keystore de producción para firmar la aplicación, eso se realiza mediante la utilería keytool, este es un ejemplo:

keytool -list -keystore your_keystore_name

keytool -list -v -keystore your_keystore_name -alias your_alias_name

Pero además de la utilería keytool ahora para mayor facilidad puedes usar este método:

Firmar tu compilación de versión (Si deseas crear un keystore nuevo, haz clic en Create new.)

introducir la descripción de la imagen aquí

Con el archivo .keystore que obtengas debes firmar tu aplicación, desde el menú de Android Studio puedes realizarlo, te requerira la ruta de tu keystore:

introducir la descripción de la imagen aquí


¿Cual diferencia entre debug.keystore y la keystore que yo genero para subir aplicaciones a Google Playstore?

El archivo debug.keystore regularmente se ubica en alguna de las siguientes rutas:

  • ~/.android/ en SO X y Linux;
  • C:\Documents and Settings\<user>\.android\ en Windows XP;
  • C:\Users\<user>\.android\ en Windows Vista y Windows 7, 8 y 10.

pero este keystore NO es adecuado para firmar aplicaciones destinadas a la Google Playstore., este es un Keystore o certificado para depuración. Este certificado tiene una vigencia de un año, incluso puedes eliminarlo y al iniciar Android Studio generará otro nuevo.

Fecha de vencimiento del certificado de depuración El certificado autofirmado usado que se usa para firmar tu APK en el modo de depuración tiene un plazo de vencimiento de 365 días a partir de su fecha de creación. Cuando el certificado caduque, recibirás un error de compilación.

a diferencia del certificado o keystore que nosotros generamos, el cual necesita un Alias su password, además de un password propio del Keystore. Incluso un punto importante es que puedes definir una vigencia de este certificado en años.

https://developer.android.com/studio/publish/app-signing.html#release-mode

Este keystore que generaste, a diferencia del debug.keystore es sumamente importante guardarlo, realizar respaldo y evitar perderlo! porque no podrás subir actualizaciones firmadas de tu aplicación en caso de perderlo. Si lo pierdes te verás forzado a crear una nueva firma y subir otra aplicación diferente.

Incluso puedes configurar para que automáticamente se firme tu aplicación con este keystore que creaste para producción.

introducir la descripción de la imagen aquí


Obtener datos de un archivo llave, keystore:

Para obtener datos de un archivo llave como son SHA-1, MD5 o fecha de validez, se pude realizar usando la utilería keytool, definiendo el alias, usuario y password de la misma, en el caso de un debug.keystore el alias (androiddebugkey ), usario (android) y password (android) siempre son el mismo:

keytool -list -alias androiddebugkey -keystore debug.keystore -storepass android -keypass android -v

introducir la descripción de la imagen aquí

4
  • Gracias. Tengo que volver sobre este asunto, cuando disponga de un poco de tiempo. Actualmente tengo mi primera app en Play Store, está aún en versión beta, pero se puede instalar en cualquier dispostivo. Cuando la crée y la subí a la Store ignoraba todo este asunto de las firmas. Creo que está firmada con debug.keystore, aunque leí en alguna parte que no es del todo cierto lo de la duración de un año. ¿Hay alguna forma de verificar realmente cuándo dura la firma teniendo el archivo debug.keystore? ¿Hay alguna forma de leer-verificar esa información?
    – A. Cedano
    Commented el 19 jun. 2017 a las 15:33
  • Hola @A.Cedano claro que si, con la misma utilería Keytool obtienes todos sus datos : keytool -list -alias androiddebugkey -keystore c:\users\<usuario>\.android\debug.keystore -storepass android -keypass android -v , ahí se despliega la fecha de valides. La duración del debug.keystore al menos en las primeras versiones era de 1 año, pero hace algunos años ha cambiado, por ejemplo la que tengo de debug tiene duración de 30 años. Si generas una .keystore para firmar tus aplicaciones en cambio si puedes asignar una duración.
    – Jorgesys
    Commented el 19 jun. 2017 a las 15:47
  • Efectivamente. Mi debug.keystore tiene validez hasta el año 2046, no es probable que esté vivo para esa fecha... pero ¿qué tal si mi app se hace famosa y se la dejo en herencia a una fundación?... bueno, podría dejar el código y que suban una nueva app... :) ¿Se recomienda más o menos cuanto tiempo de validez para un keystore?
    – A. Cedano
    Commented el 19 jun. 2017 a las 16:01
  • hahaha! buen punto!, sabes el principal problema de los keystore de desarrollo es que son volátiles, los datos se vuelven a generar entonces tienen un SHA-1 diferente, de hecho si lo eliminas, se genera uno automáticamente. Por eso es mejor generar uno propio y cuidarlo como tesoro. Me has comentado algo que no me había pasado por la mente, ¿que pasara cuando caduque mi keystore de producción actual? =|, es algo que desconozco probablemente con los nuevas esquemas en un futuro se pueda importar source.android.com/security/apksigning/v2 y editar....
    – Jorgesys
    Commented el 19 jun. 2017 a las 16:20

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.