Play App Signing: Cara Menandatangani AAB dengan Aman

Setiap aplikasi Android harus ditandatangani secara digital sebelum bisa dirilis. Tanda tangan inilah yang membuktikan bahwa pembaruan aplikasi benar-benar berasal dari Anda, bukan pihak lain. Dulu developer harus menjaga sendiri kunci penandatangan seumur hidup aplikasi, dan kehilangannya berarti bencana. Play App Signing hadir untuk mengurangi risiko itu. Artikel ini menjelaskan apa itu Play App Signing, beda antara upload key dan app signing key, serta cara membuat keystore dan menandatangani berkas Android App Bundle (.aab) Anda dengan aman.

Apa itu Play App Signing?

Play App Signing adalah layanan Google yang menyimpan dan mengelola kunci penandatangan resmi aplikasi Anda (app signing key) di infrastruktur Google. Anda tetap menandatangani unggahan dengan kunci Anda sendiri (upload key), lalu Google menandatangani ulang aplikasi dengan app signing key sebelum mengirimkannya ke pengguna. Dengan begitu, kunci paling penting tidak lagi sepenuhnya bergantung pada penyimpanan lokal Anda.

Beda upload key vs app signing key

Ini konsep inti yang sering membingungkan. Ada dua kunci berbeda dengan peran berbeda.

• Upload key: kunci milik Anda, dipakai untuk menandatangani .aab sebelum diunggah ke Play Console. Jika hilang, Anda masih bisa meminta reset upload key ke Google.
• App signing key: kunci yang dikelola Google lewat Play App Signing dan dipakai untuk menandatangani aplikasi final yang diterima pengguna. Inilah kunci yang tidak boleh berubah selama umur aplikasi.

Inti keuntungannya: karena app signing key disimpan Google, kehilangan upload key tidak lagi fatal seperti dulu, karena upload key bisa direset selama Anda masih punya akses ke akun Play Console.

Cara enroll ke Play App Signing

Untuk aplikasi baru, Play App Signing umumnya sudah menjadi default saat Anda pertama mengunggah App Bundle. Anda tinggal memastikan opsinya aktif.

1. Buka Play Console lalu pilih aplikasi Anda.
2. Masuk ke bagian penandatanganan aplikasi (App integrity atau App signing) di menu Setup.
3. Aktifkan Play App Signing bila belum aktif.
4. Unggah .aab pertama Anda; Google akan membuat atau mengelola app signing key untuk aplikasi tersebut.
5. Catat sidik jari (SHA-1 dan SHA-256) yang ditampilkan bila aplikasi Anda memakai layanan yang membutuhkannya, seperti login pihak ketiga atau Maps.

Cara membuat keystore dan menandatangani AAB

Untuk mengunggah, Anda perlu upload key yang tersimpan dalam sebuah keystore. Keystore adalah berkas terenkripsi berisi kunci penandatangan Anda. Anda bisa membuatnya lewat Android Studio atau baris perintah.

Lewat Android Studio

1. Buka menu Build lalu Generate Signed Bundle atau APK.
2. Pilih Android App Bundle.
3. Klik Create new untuk membuat keystore baru, lalu tentukan lokasi berkas, kata sandi keystore, alias kunci, dan kata sandi kunci.
4. Isi data sertifikat seperlunya, lalu lanjutkan proses build.
5. Android Studio akan menghasilkan .aab yang sudah ditandatangani dengan upload key Anda, siap diunggah ke Play Console.

Lewat baris perintah (keytool)

1. Gunakan keytool bawaan JDK untuk membuat keystore: perintah keytool -genkeypair dengan alias, algoritma, dan masa berlaku panjang (misalnya puluhan tahun).
2. Simpan berkas keystore dan catat semua kata sandi serta alias di tempat aman.
3. Konfigurasikan Gradle (signingConfigs) untuk memakai keystore itu saat build rilis.
4. Jalankan build App Bundle sehingga menghasilkan .aab yang tertandatangani.

Jangan sampai kehilangan keystore

Meski Play App Signing membuat kehilangan upload key tidak lagi seburuk dulu, menjaga keystore tetap sangat penting demi kelancaran. Kehilangan akses bisa menghambat rilis pembaruan sampai proses reset selesai, dan bila Anda tidak memakai Play App Signing, kehilangan kunci bisa berarti Anda tidak bisa lagi memperbarui aplikasi sama sekali.

• Simpan salinan keystore di beberapa tempat aman, misalnya penyimpanan terenkripsi dan cadangan luring.
• Catat kata sandi keystore, alias, dan kata sandi kunci di pengelola kata sandi.
• Jangan menaruh keystore di dalam repositori kode publik.
• Batasi akses hanya ke orang yang benar-benar perlu.
• Uji secara berkala bahwa cadangan keystore Anda masih bisa dibuka.

Ringkasan

Play App Signing memisahkan dua peran: upload key milik Anda untuk mengunggah, dan app signing key yang dikelola Google untuk menandatangani aplikasi final. Aktifkan layanannya, buat keystore untuk upload key, tandatangani .aab Anda, dan simpan cadangan dengan disiplin. Dengan fondasi penandatanganan yang benar, tahap berikutnya tinggal pengujian sebelum rilis. Bila Anda sampai pada closed testing dan butuh 12+ tester real device yang opt-in resmi serta aktif setiap hari selama 14 hari, layanan kami siap membantu dengan garansi sampai approve Production, mulai Rp 150.000.