Signature et notarisation des apps Mac, expliquées simplement

Réponse courte

La signature met votre nom sur l'app et montre qu'elle n'a pas changé. La notarisation l'envoie à l'analyse automatique d'Apple. L'agrafage attache le résultat, pour qu'il puisse être vérifié hors ligne. Vous les faites dans cet ordre, et vous les faites en dernier, une fois le build finalisé.

Si vous n'avez jamais lancé votre app que depuis Xcode, cette partie de la livraison peut ressembler à un mur de certificats. Les idées sont simples, et il n'y en a que trois. Pour le détail complet, avec les documents d'Apple en lien, lisez ce qu'est la notarisation sur Mac. Cet article en est la version courte pour les créateurs.

Les trois étapes

La signature est votre nom sur l'app. Un certificat Developer ID d'Apple indique qui l'a faite, et la signature montre que rien n'a changé depuis. Obtenir ce certificat demande une adhésion au programme Apple Developer, à 99 $US par an.
La notarisation est une analyse automatique. Vous envoyez l'app signée, le service d'Apple cherche du contenu malveillant et des problèmes de signature, et s'il n'en trouve aucun, il délivre un ticket. Aucune personne chez Apple n'utilise votre app, et ce n'est pas App Review.
L'agrafage attache ce ticket à votre fichier, pour qu'un Mac puisse le vérifier sans être connecté.

Si vous ne vendez que par le Mac App Store, vous sautez les deux dernières étapes. Apple signe les apps du store, et sa documentation indique que le processus du store comporte des contrôles de sécurité équivalents.

Ce que voient vos utilisateurs si vous sautez cette étape

Ils voient un avertissement. macOS indique qu'il ne peut pas vérifier l'app, et depuis macOS Sequoia, le Ctrl-clic ne permet plus de le contourner. Ils doivent aller dans Réglages Système et choisir Ouvrir quand même. Certaines personnes abandonneront à ce stade, et je ne peux pas le leur reprocher. Ce que signifie « Apple n'a pas pu vérifier » montre le même avertissement de leur côté, à lire une fois.

L'ordre qui vous fait gagner un après-midi

Terminez le build. Toute modification après la signature casse la signature.
Signez d'abord le code imbriqué, comme les frameworks et les assistants, puis l'app elle-même. Utilisez le runtime renforcé et un horodatage sécurisé, car la notarisation exige les deux.
Mettez-le dans un DMG si c'est ainsi que vous le livrez, et signez-le aussi.
Soumettez-le avec notarytool. Apple indique que l'analyse prend généralement moins d'une heure.
Lisez le journal, même en cas de succès.
Agrafez-le avec stapler.

Vérifiez votre propre build

spctl -a -vv /Applications/YourApp.app
xcrun stapler validate /Applications/YourApp.app

Vous voulez source=Notarized Developer ID dans le premier résultat, et un message de réussite dans le second. Collez ce que vous obtenez dans l'explication de la notarisation, qui vous dira ce que signifie chaque ligne, ou vous signalera si elle ne reconnaît pas quelque chose. Elle lit le texte dans votre navigateur et n'envoie rien ailleurs.

Faites ensuite le test qui détecte le plus de problèmes : téléchargez votre propre build via un navigateur sur un autre Mac ou un autre compte utilisateur, puis ouvrez-le. La liste de contrôle de lancement contient celui-ci et les autres étapes, dans l'ordre.

Ce que notarisé ne veut pas dire

Cela ne veut pas dire bonne, privée ou sûre. Cela veut dire que l'analyse automatique d'Apple n'a rien trouvé qu'elle connaisse. Faites attention à ne pas promettre davantage sur votre site. Comment savoir si une app Mac est sûre explique ce que chaque vérification peut ou ne peut pas prouver, du point de vue d'un utilisateur.

Ce que MacPip fait de tout cela

MacPip demande des téléchargements signés et notarisés. Les apps open source sont les bienvenues sans cela, et leur rapport l'indique. Une coche bleue signifie qu'une personne a vérifié l'app à la date indiquée, et la signature et la notarisation n'apparaissent dans le rapport que lorsque nous les avons confirmées sur une copie téléchargée. Ce n'est pas une garantie de sécurité, et nos règles le disent. Quand votre build est prêt, vous pouvez le référencer gratuitement.