App Store Connect API-Schlüssel (.p8) erstellen und nutzen

Mit einem App Store Connect API-Schlüssel kann ein Tool wie EAS, fastlane, RevenueCat oder dein eigenes Skript auf deinem Account arbeiten, ohne dein Passwort und ohne Zwei-Faktor-Authentifizierung. Apple behält die öffentliche Hälfte des Schlüssels, und du lädst die private Hälfte, eine .p8-Datei, genau einmal herunter. Mit dieser Datei, der Issuer ID und der Key ID signierst du Tokens, die für die meisten Anfragen höchstens 20 Minuten gültig sind.

Ich veröffentliche meine iOS-Apps, darunter TradaZen und Nolera, mit Expo. Ein Team-Schlüssel mit der Rolle App Manager dient RevenueCat, meinen Expo-Builds und einem Kommandozeilen-Tool, das meine Store-Einträge bearbeitet. Dieser Guide folgt den Seiten von Apple, Expo und fastlane, Stand 3. November 2026. Verwechsle ihn nicht mit den Schlüsseln von Diensten, die im Code einer App landen: Die behandle ich in geheimer API-Schlüssel in einer Expo-App.

Was ein App Store Connect API-Schlüssel macht

Laut Apples Dokumentation verlangt die App Store Connect API für jede Anfrage ein JWT-Token. Du erzeugst es und signierst es mit deinem privaten Schlüssel. Der Schlüssel funktioniert nur für diese API: Für andere Apple-Dienste kannst du ihn nicht verwenden.

Der Vorteil in einem Satz: Niemand muss die Anmeldung bestätigen. Deine Apple-ID scheitert an der Zwei-Faktor-Authentifizierung, und das blockiert jede Automatisierung. Der Guide zu EAS Submit iOS zeigt, was das beim Hochladen einer Expo-App ändert.

Zuerst: API-Zugang beantragen

Den ersten Schlüssel kannst du nicht sofort erstellen. Die App Store Connect-Hilfe ist da eindeutig: Der Account Holder muss zuerst den API-Zugang beantragen. Er öffnet Users and Access, klickt auf Integrations und dann auf Request Access. Apple prüft jeden Antrag einzeln.

Der Account Holder ist die Person, die den Account registriert hat. Wenn du gerade anfängst, bist das du: Der Guide zum Apple-Entwicklerkonto erklärt die Registrierung.

Team-Schlüssel oder individueller Schlüssel

Apple bietet zwei Arten von Schlüsseln an. Hier die Unterschiede laut Dokumentation und App Store Connect-Hilfe:

Kriterium	Team-Schlüssel	Individueller Schlüssel
Wer ihn erzeugen kann	Account Holder oder Admin	Fast jeder Nutzer
Zugängliche Apps	Alle, ohne Ausnahme	Die des Nutzers
Rechte	Die gewählte Rolle	Die des Nutzers
Anzahl Schlüssel	Mehrere	Einer aktiv pro Person
Zertifikate und Profile	Ja, je nach Rolle	Nein
Verkäufe, Finanzen, notaryTool	Je nach Rolle	Nein
Feld im Token	iss = Issuer ID	sub = user

„Fast jeder Nutzer“ heißt laut Apple: Account Holder, Admin, App Manager, Customer Support, Developer und Marketing, außer ein Admin oder der Account Holder hat ihnen das Recht entzogen, einen individuellen Schlüssel zu erzeugen.

Für Expo oder fastlane nimm einen Team-Schlüssel. Ein individueller Schlüssel hat keinen Zugriff auf die Provisioning-Endpunkte, also die, die Zertifikate und Profile erstellen. Die fastlane-Dokumentation bestätigt das: Team-Schlüssel sind für jeden Provisioning-Zugriff erforderlich.

Welche Rolle dein Schlüssel bekommt

Ein Team-Schlüssel greift auf alle Apps des Accounts zu, egal welche Rolle er hat. Die Rolle entscheidet, was er tun darf. Apple warnt, dass ein Admin-Schlüssel Nutzer anlegen und löschen kann: Gib die kleinste Rolle, die deinen Einsatz abdeckt. Die Rechte unten stammen aus Apples Rollentabelle.

Einsatz des Schlüssels	Rollen, die das erlauben
Builds hochladen	Admin, App Manager, Developer
TestFlight-Builds verwalten	Admin, App Manager
Zertifikate und Profile erstellen	Admin, App Manager
App zur Prüfung einreichen	Admin, App Manager
Produkte und Preise importieren (RevenueCat)	Mindestens App Manager
Weitere Team-Schlüssel erzeugen	Admin

Die RevenueCat-Zeile stammt aus deren Dokumentation. Der Expo-Guide dagegen gibt dem Schlüssel die Rolle Admin. Bei meinen Apps reicht App Manager: EAS erstellt damit die Distributionsprofile, und RevenueCat importiert die Produkte.

Sobald der Schlüssel erzeugt ist, kannst du weder Namen noch Rolle ändern. Willst du etwas ändern, musst du ihn widerrufen und einen neuen erzeugen.

Einen Team-Schlüssel erstellen, Schritt für Schritt

Du brauchst einen Admin- oder Account-Holder-Account. Laut Apple:

1. Öffne Users and Access, dann den Tab Integrations.
2. Wähle App Store Connect API in der linken Spalte, dann den Tab Team Keys.
3. Klicke auf Generate API Key oder auf den Button +.
4. Gib dem Schlüssel einen Namen. Der ist nur für dich, er ist nicht Teil des Schlüssels. Benenne ihn nach dem Tool, das ihn nutzen wird.
5. Wähle die Rolle unter Access und klicke auf Generate.
6. Lade den privaten Schlüssel herunter über den Link Download API Key.

Der Download-Link verschwindet, sobald du die Datei heruntergeladen hast, und Apple behält keine Kopie. Leg die .p8 sicher ab, bevor du die Seite schließt.

Notiere dir dann die beiden IDs. Laut Apples Seite zu Tokens wird die Issuer ID oben auf der Seite Integrations angezeigt, mit einem Copy-Button. Die Key ID steht in der Liste der aktiven Schlüssel: Fahr mit der Maus darüber, dann erscheint Copy Key ID. Die Issuer ID ist für alle Team-Schlüssel des Accounts gleich. Die Key ID gehört zu genau einem Schlüssel.

Bei einem individuellen Schlüssel geht es schneller: Öffne dein Nutzerprofil, scroll zu Individual API Key und klick auf Generate API Key. Auch hier kannst du nur einmal herunterladen.

Die .p8-Datei aufbewahren

Apple verlangt, den Schlüssel wie ein Passwort zu behandeln: Teile ihn nicht, leg ihn nicht in ein Code-Repository, bau ihn nie in den Code einer App ein. Meine Routine:

• Ein Ordner außerhalb des Projekts, oder der Secrets-Manager deines CI-Tools.
• Der Schlüsselordner in deiner .gitignore, falls die Datei für einen Upload kurz im Projekt liegen muss.
• Strenge Rechte. Ein Kommandozeilen-Tool für App Store Connect hat meine .p8 abgelehnt, solange andere Accounts sie lesen konnten. Ein chmod 600 hat das Problem gelöst.
• Ein Schlüssel pro Tool. Apple erlaubt, mehrere Schlüssel zu erzeugen, mit den Rollen deiner Wahl.

Den letzten Punkt habe ich anfangs nicht umgesetzt. Mein App-Manager-Schlüssel dient gleichzeitig RevenueCat, meinen Builds und meinem Tool für die Store-Einträge. Muss ich ihn widerrufen, fallen drei Tools auf einmal aus. Würde ich es nochmal machen, würde ich einen Schlüssel pro Tool erstellen, damit ich einen abschalten kann, ohne die anderen anzufassen.

Nutzung mit Expo

Drei Wege, EAS den Schlüssel zu geben:

• EAS verwalten lassen. eas credentials --platform ios kann einen Schlüssel erstellen und auf den Servern von Expo speichern. Das ist der einfachste Weg.
• Ihn in eas.json eintragen. Das submit-Profil akzeptiert ascApiKeyPath, ascApiKeyIssuerId und ascApiKeyId. Laut eas.json-Referenz akzeptieren diese Felder Umgebungsvariablen wie $ASC_API_KEY_PATH.
• Ihn über die Umgebung übergeben. Das EAS CLI-Repository dokumentiert EXPO_ASC_API_KEY_PATH, EXPO_ASC_KEY_ID und EXPO_ASC_ISSUER_ID. Bei einem individuellen Schlüssel lässt du die Issuer ID weg.

Eine Einschränkung bei Builds solltest du kennen: Expo weist darauf hin, dass die offizielle API keine App Group, keine Merchant ID und keinen CloudKit-Container zuordnen kann. Dann brauchst du eine lokale Anmeldung mit deiner Apple-ID. Das habe ich bei Nolera mit der App Group des Widgets erlebt: Der Schlüssel hat die Capability aktiviert, die Gruppe aber nicht zugeordnet. Die Zuordnung habe ich im Apple-Entwicklerportal gemacht. Wenn die Capability-Synchronisierung hängt, schaltet EXPO_NO_CAPABILITY_SYNC=1 sie ab, und du aktivierst die Capability selbst auf der App-ID. Das Signieren von Builds erkläre ich in Zertifikat und Provisioning Profile unter iOS.

Nutzung mit fastlane

fastlane liest den Schlüssel aus einer JSON-Datei. Die Felder key_id, issuer_id und key, also der Inhalt der .p8, sind Pflicht. duration und in_house sind optional. Beispielwerte:

{
  "key_id": "XXXXXXXXXX",
  "issuer_id": "deine-issuer-id",
  "key": "-----BEGIN PRIVATE KEY-----\nMIGT...\n-----END PRIVATE KEY-----",
  "duration": 1200,
  "in_house": false
}

Diese Datei gibst du dann an eine Action weiter, zum Beispiel fastlane pilot distribute --api_key_path fastlane/cle.json. In einem Fastfile nimmt die Action app_store_connect_api_key die Werte key_id, issuer_id und key_filepath. Die Sitzungsdauer liegt bei höchstens 1.200 Sekunden, also 20 Minuten. Nicht alle Actions unterstützen den Schlüssel: fastlane weist zum Beispiel darauf hin, dass produce und pem nicht mit einem API-Schlüssel funktionieren.

Nutzung im eigenen Skript

Ohne Tool baust du das Token selbst. Apple gibt das Rezept vor:

• Header: alg ist ES256, kid ist deine Key ID, typ ist JWT.
• Payload, Team-Schlüssel: iss, deine Issuer ID; iat, der Erstellungszeitpunkt; exp, der Ablaufzeitpunkt; aud, mit dem Wert appstoreconnect-v1.
• Payload, individueller Schlüssel: sub ist user anstelle von iss.
• Dauer: Über 20 Minuten lehnt Apple das Token bei den meisten Anfragen ab.

In Python mit der Bibliothek PyJWT und ihrer Kryptografie-Abhängigkeit, installiert per pip install pyjwt[crypto] laut Dokumentation. Im Terminal auf dem Mac setzt du Anführungszeichen: pip install "pyjwt[crypto]", sonst lehnt zsh die eckigen Klammern ab.

import time
import jwt

KEY_ID = "XXXXXXXXXX"
ISSUER_ID = "deine-issuer-id"

with open("AuthKey_XXXXXXXXXX.p8") as f:
    private_key = f.read()

now = int(time.time())
token = jwt.encode(
    {"iss": ISSUER_ID, "iat": now, "exp": now + 20 * 60, "aud": "appstoreconnect-v1"},
    private_key,
    algorithm="ES256",
    headers={"kid": KEY_ID, "typ": "JWT"},
)
print(token)

Dann schickst du es im Header Authorization, wie in Apples Beispiel:

curl -H "Authorization: Bearer $TOKEN" "https://api.appstoreconnect.apple.com/v1/apps"

Ich habe dieses Skript am 3. November 2026 mit einem Wegwerf-Schlüssel ausgeführt, den ich auf meinem Rechner erzeugt habe: Header und Payload des Tokens stimmen mit Apples Seite überein, und die ES256-Signatur lässt sich verifizieren. An Apples API habe ich es mit diesem Testschlüssel nicht geschickt, denn bei Apple existiert er nicht. Verwende dasselbe Token wieder, solange es gültig ist: Apple empfiehlt das für bessere Performance.

Einen Schlüssel widerrufen

Widerrufe einen Schlüssel, sobald er verloren oder kompromittiert ist oder kein Tool ihn mehr nutzt. Laut App Store Connect-Hilfe, mit einem Account-Holder- oder Admin-Account:

1. Öffne Users and Access, dann Integrations.
2. Wähle Team Keys oder Individual Keys und klicke auf Edit.
3. Markiere die zu widerrufenden Schlüssel, dann Revoke Key.
4. Bestätige mit Revoke.

Ein widerrufener Schlüssel lässt sich nie wieder aktivieren. Apple zeigt ihn 30 Tage lang unter Revoked an. Jedes Tool, das ihn genutzt hat, scheitert dann bei der Authentifizierung. Bei Expo lautet die Meldung „App Store Connect rejected the API authentication credentials“. Diese Meldung und andere Upload-Fehler erkläre ich in Upload-Fehler mit EAS und ihre Behebung. Ist der Schlüssel nicht kompromittiert, bereite den neuen vor, bevor du den alten abschaltest. Ist er kompromittiert, verlangt Apple, ihn sofort zu widerrufen.

Für deinen eigenen individuellen Schlüssel: dein Profil, Individual API Key, dann Revoke.

Meine Checkliste für den .p8-Schlüssel

• Der Account Holder hat den API-Zugang beantragt.
• Der Schlüssel ist ein Team-Schlüssel, wenn er für Builds oder Profile gedacht ist.
• Seine Rolle ist die kleinste, die den Einsatz abdeckt, und sein Name sagt, welches Tool ihn nutzt.
• Die .p8 liegt außerhalb des Repositorys, mit strengen Rechten und einer verschlüsselten Sicherungskopie.
• Issuer ID und Key ID sind separat notiert, ohne die Datei.
• Jedes Tool hat seinen eigenen Schlüssel, damit du einen einzelnen widerrufen kannst.

Deine Veröffentlichung automatisieren, ohne deinen Schlüssel preiszugeben

Der Schlüssel ist nur ein Teil des Wegs. Das iOS & Android Kit startet mit dem Starter Code meiner Apps, Abos inklusive, und führt dich in vier Schritten bis in den App Store, in deinem Tempo. Wenn du RevenueCat mit diesem Schlüssel anbindest, findest du das komplette Setup in RevenueCat und In-App-Abos unter iOS.

Wenn du deinen ersten Release vorbereitest, mach deine kostenlose Diagnose: Sie zeigt dir, was dich wirklich blockiert, und schickt dir meine Checkliste gegen Apple-Ablehnungen. Die Seite App im App Store veröffentlichen geht jeden Schritt durch, vom Store-Eintrag bis zur Freigabe.

Häufige Fragen

Wie erstelle ich einen App Store Connect API-Schlüssel?

Der Account Holder beantragt zuerst den API-Zugang. Danach öffnet ein Admin Users and Access, Tab Integrations, App Store Connect API, Team Keys. Er klickt auf Generate API Key, wählt Namen und Rolle, erzeugt den Schlüssel und lädt die .p8-Datei herunter.

Kann ich einen verlorenen .p8-Schlüssel erneut herunterladen?

Nein. Die Datei lässt sich nur einmal herunterladen, und Apple behält keine Kopie. Widerrufe den verlorenen Schlüssel, erzeuge einen neuen und aktualisiere jedes Tool, das ihn genutzt hat.

Wo finde ich die Issuer ID und die Key ID?

In App Store Connect, Menü Users and Access, Tab Integrations. Die Issuer ID steht oben auf der Seite. Die Key ID steht in der Liste der aktiven Schlüssel. Ein individueller Schlüssel nutzt keine Issuer ID.

Welche Rolle bekommt ein Schlüssel, den Expo nutzt?

Der Expo-Guide gibt die Rolle Admin. Laut Apples Rollentabelle reicht App Manager, um Builds hochzuladen und Zertifikate und Profile zu erstellen. Das ist die Rolle meines Schlüssels, den ich für meine Expo-Builds nutze.

Kann ich die Rolle eines API-Schlüssels ändern?

Nein. Apple erlaubt nach der Erstellung weder eine Änderung des Namens noch der Rolle. Widerrufe ihn und erzeuge einen neuen mit der richtigen Rolle.

Läuft ein App Store Connect API-Schlüssel ab?

Apples Seiten erwähnen keinen Ablauf des Schlüssels, nur seinen Widerruf. Ablaufen tun die damit signierten Tokens, für die meisten Anfragen nach höchstens 20 Minuten.