22장. Android 서명 키

Android 업데이트는 같은 signing identity가 중요하다. Google Play에서는 upload key로 AAB를 서명해 올리고 Play App Signing이 배포용 app signing key를 관리한다. 두 키를 분리하면 upload key reset 경로가 있다.

keystore, alias, password를 source control에 넣지 않는다. CI secret/HSM과 오프라인 복구본, 담당자, 접근 감사, rotation 계획을 둔다. OAuth/API 제공자에는 upload가 아니라 실제 설치 앱의 app-signing certificate fingerprint가 필요한지 확인한다.