Firma e notarizzazione, in parole semplici, per chi crea la prima app per Mac
Di Justinas Rolando, creatore di MacPip
La firma mette il tuo nome sull'app e mostra che non è cambiata. La notarizzazione la invia alla scansione automatica di Apple. Lo stapling allega il risultato, così può essere verificato offline. Si fanno in quell'ordine, e si fanno per ultime, dopo che la build è definitiva.
Se hai sempre avviato la tua app solo da Xcode, questa parte della distribuzione può sembrare un muro di certificati. Le idee sono semplici, e sono solo tre. Per tutti i dettagli, con i documenti di Apple collegati, leggi cos'è la notarizzazione su Mac. Questo post è la versione breve per i creatori.
I tre passaggi
- La firma è il tuo nome sull'app. Un certificato Developer ID di Apple dice chi l'ha realizzata, e la firma mostra che da allora non è cambiato nulla. Per ottenere quel certificato serve un'iscrizione all'Apple Developer Program, a 99 USD all'anno.
- La notarizzazione è una scansione automatica. Carichi l'app firmata, il servizio di Apple cerca contenuti dannosi e problemi di firma, e se non ne trova rilascia un ticket. Nessuna persona di Apple usa la tua app, e non è App Review.
- Lo stapling allega quel ticket al tuo file, così un Mac può verificarlo senza essere connesso.
Se vendi solo tramite il Mac App Store, salti gli ultimi due. Apple firma le app dello store, e la sua documentazione dice che il processo dello store ha verifiche di sicurezza equivalenti.
Cosa vedono i tuoi utenti se la salti
Ricevono un avviso. macOS dice che non può verificare l'app, e da macOS Sequoia il Ctrl-clic non permette più di superarlo. Devono andare in Impostazioni di Sistema e scegliere Apri comunque. Qualcuno a quel punto rinuncia, e non posso biasimarlo. Cosa significa «Apple non ha potuto verificare» mostra lo stesso avviso dal loro lato, ed è utile leggerlo una volta.
L'ordine che ti fa risparmiare un pomeriggio
- Completa la build. Qualsiasi modifica dopo la firma rompe la firma.
- Firma prima il codice annidato, come framework e helper, poi l'app stessa. Usa il runtime con protezioni avanzate e un timestamp sicuro, perché la notarizzazione richiede entrambi.
- Mettila in un DMG se così distribuisci, e firma anche quello.
- Invialo con
notarytool. Apple dice che la scansione di solito richiede meno di un'ora. - Leggi il log, anche se è andato a buon fine.
- Fai lo stapling con
stapler.
Verifica la tua build
spctl -a -vv /Applications/YourApp.app xcrun stapler validate /Applications/YourApp.app
Dal primo vuoi source=Notarized Developer ID, e dal secondo un messaggio di successo. Incolla quello che ottieni nella guida alla notarizzazione, e ti dirà cosa significa ogni riga, o ti avviserà se non riconosce qualcosa. Legge il testo nel tuo browser e non invia nulla da nessuna parte.
Poi fai il test che individua di più: scarica la tua build con un browser su un altro Mac o account utente, e aprila. La checklist di lancio contiene questo e gli altri passaggi in ordine.
Cosa non significa «notarizzata»
Non significa buona, privata o sicura. Significa che la scansione automatica di Apple non ha trovato nulla di noto. Fai attenzione a non promettere di più sul tuo sito. Come capire se un'app per Mac è sicura spiega cosa può e cosa non può dimostrare ciascuna verifica, dal punto di vista di un utente.
Cosa fa MacPip con questo
MacPip chiede download firmati e notarizzati. Le app open source sono benvenute anche senza, e il loro rapporto lo dice. Una spunta blu significa che una persona ha verificato l'app alla data indicata, e firma e notarizzazione compaiono nel rapporto solo quando le abbiamo confermate su una copia scaricata. Non è una garanzia di sicurezza, e lo dicono le nostre regole. Quando la tua build è pronta, puoi inserirla gratis.
Real listings to look at
Check reports on MacPip say what was confirmed on a real copy. These two developer-minded listings are good ones to open and read.
ShediA Mac cleaner for developers that explains every item before it goes.Cleanup and Maintenance, checked October 30, 2026
SpaceWiseSpaceWise safely cleans developer disk clutter like node_modules and Docker caches.Developer Tools, checked October 30, 2026
Fonti
- Apple Developer: notarizzazione del software macOS prima della distribuzione
- Apple Developer: firmare software per Mac con Developer ID
- Apple Developer News: aggiornamenti alla protezione runtime in macOS Sequoia
- Guida di MacPip: cos'è la notarizzazione su Mac?
Continua a leggere
- Come lanciare un'app per Mac: una checklist che sta in una paginaCosa fare prima, durante e dopo il giorno di lancio di un'app per Mac: firma, la tua pagina, elenchi, Product Hunt, Show HN e cosa misurare.
- Come scrivere una descrizione di una riga che dica cosa fa la tua app per MacUn modo semplice per scrivere la riga sotto il nome della tua app per Mac: dichiara a cosa serve, taglia l'enfasi, e provala su qualcuno che non ha mai visto l'app.
- Quanto vale davvero un link dofollow, da un sito che ne offre unoCosa significa dofollow, cosa dice Google sui link, perché oggi un link da un elenco nuovo vale poco, e cosa fare al posto di comprare link.