App Store Connect API ključ (.p8): izrada i korištenje

App Store Connect API ključ omogućuje alatu, poput EAS-a, fastlanea, RevenueCata ili tvoje vlastite skripte, da radi na tvom računu bez tvoje lozinke i bez dvofaktorske autentifikacije. Apple čuva javnu polovicu ključa, a ti privatnu polovicu, datoteku .p8, preuzimaš samo jednom. S tom datotekom, Issuer ID-jem i Key ID-jem potpisuješ tokene koji za većinu zahtjeva vrijede najviše 20 minuta.

Svoje iOS aplikacije, među njima TradaZen i Nolera, objavljujem s Expoom. Timski ključ s ulogom App Manager koristim za RevenueCat, za Expo buildove i za alat naredbenog retka koji uređuje moje stranice aplikacija. Ovaj vodič prati stranice Applea, Expoa i fastlanea koje sam ponovno pročitao 3. studenoga 2026. Ne brkaj ga s ključevima servisa ubačenima u kod aplikacije: o njima piše u članku tajni API ključ u Expo aplikaciji.

Čemu služi App Store Connect API ključ

Prema Appleovoj dokumentaciji, App Store Connect API traži JWT token za svaki zahtjev. Generiraš ga i potpisuješ svojim privatnim ključem. Ključ služi isključivo za taj API: ne možeš ga koristiti za druge Appleove servise.

Njegova prednost stane u jednu rečenicu: nitko ne mora odobriti prijavu. Tvoj Apple ID zapinje na dvofaktorskoj autentifikaciji, što blokira svaku automatizaciju. Vodič EAS Submit za iOS pokazuje što to mijenja kod slanja Expo aplikacije.

Prije svega: zatraži pristup API-ju

Prvi ključ ne možeš napraviti odmah. Pomoć za App Store Connect je jasna: Account Holder najprije mora zatražiti pristup API-ju. Otvori Users and Access, klikne na Integrations, pa na Request Access. Apple zahtjev razmatra pojedinačno.

Account Holder je osoba koja je registrirala račun. Ako tek počinješ, to si ti: vodič Apple developerski račun detaljno opisuje registraciju.

Timski ili individualni ključ

Apple nudi dvije vrste ključeva. Evo razlika, prema dokumentaciji i pomoći za App Store Connect:

Kriterij	Timski ključ	Individualni ključ
Tko ga može generirati	Account Holder ili Admin	Gotovo svaki korisnik
Dostupne aplikacije	Sve, bez iznimke	One koje korisnik vidi
Prava	Odabrana uloga	Prava korisnika
Broj ključeva	Više njih	Jedan aktivan po osobi
Certifikati i profili	Da, ovisno o ulozi	Ne
Prodaja, financije, notaryTool	Ovisno o ulozi	Ne
Polje tokena	iss = Issuer ID	sub = user

„Gotovo svaki korisnik” prema Appleu znači: Account Holder, Admin, App Manager, Customer Support, Developer i Marketing, osim ako im Admin ili Account Holder nije oduzeo pravo generiranja individualnog ključa.

Za Expo ili fastlane odaberi timski ključ. Individualni ključ nema pristup endpointima za provisioning, onima koji izrađuju certifikate i profile. Dokumentacija fastlanea to potvrđuje: timski ključevi su obavezni za svaki pristup vezan uz provisioning.

Koju ulogu dati ključu

Timski ključ ima pristup svim aplikacijama na računu, bez obzira na ulogu. Uloga određuje što smije raditi. Apple upozorava da Admin ključ može stvarati i brisati korisnike: daj najmanju ulogu koja pokriva tvoju upotrebu. Prava u nastavku dolaze iz Appleove tablice uloga.

Upotreba ključa	Uloge koje to dopuštaju
Slanje buildova	Admin, App Manager, Developer
Upravljanje TestFlight buildovima	Admin, App Manager
Izrada certifikata i profila	Admin, App Manager
Slanje aplikacije na pregled	Admin, App Manager
Uvoz proizvoda i cijena (RevenueCat)	Najmanje App Manager
Generiranje drugih timskih ključeva	Admin

Redak za RevenueCat dolazi iz njegove dokumentacije. Expoov vodič pak ključu daje ulogu Admin. Na mojim aplikacijama dovoljna je uloga App Manager: EAS s njom izrađuje distribucijske profile, a RevenueCat uvozi proizvode.

Kad generiraš ključ, više mu ne možeš promijeniti ni ime ni ulogu. Za promjenu ga moraš opozvati i generirati novi.

Izrada timskog ključa, korak po korak

Treba ti Admin ili Account Holder račun. Prema Appleu:

1. Otvori Users and Access, pa karticu Integrations.
2. Odaberi App Store Connect API u lijevom stupcu, pa karticu Team Keys.
3. Klikni na Generate API Key ili na gumb +.
4. Daj ključu ime. Služi samo tebi, nije dio ključa. Nazovi ga po alatu koji će ga koristiti.
5. Odaberi ulogu pod Access, pa klikni na Generate.
6. Preuzmi privatni ključ putem poveznice Download API Key.

Poveznica za preuzimanje nestaje čim preuzmeš datoteku, a Apple ne čuva nikakvu kopiju. Spremi .p8 prije nego zatvoriš stranicu.

Zatim zapiši oba identifikatora. Prema Appleovoj stranici o tokenima, Issuer ID prikazuje se na vrhu stranice Integrations, s gumbom Copy. Key ID se pojavljuje na popisu aktivnih ključeva: prijeđi mišem preko njega da se pojavi Copy Key ID. Issuer ID je isti za sve timske ključeve na računu. Key ID je jedinstven za svaki ključ.

Za individualni ključ postupak je kraći: otvori svoj korisnički profil, spusti se do Individual API Key i klikni na Generate API Key. I ovdje se preuzima samo jednom.

Gdje držati datoteku .p8

Apple traži da ključ tretiraš kao lozinku: ne dijeli ga, ne stavljaj ga u repozitorij koda i nikad ga ne ugrađuj u kod aplikacije. Moja rutina:

• Mapa izvan projekta, ili upravitelj tajni tvog CI alata.
• Mapa s ključevima u tvom .gitignore, ako datoteka mora biti u projektu tijekom slanja.
• Stroga prava pristupa. Jedan alat naredbenog retka za App Store Connect odbijao je moj .p8 dok su ga mogli čitati drugi korisnički računi. chmod 600 riješio je problem.
• Jedan ključ po alatu. Apple dopušta generiranje više ključeva, s ulogama po tvom izboru.

Ovo zadnje na početku nisam primijenio. Moj App Manager ključ služi istovremeno za RevenueCat, za buildove i za alat za stranice aplikacija. Ako ga moram opozvati, padaju sva tri alata odjednom. Da mogu ponovno, napravio bih jedan ključ po alatu, kako bih mogao isključiti jedan bez diranja ostalih.

Korištenje s Expoom

Tri načina da ključ predaš EAS-u:

• Pusti EAS da njime upravlja. eas credentials --platform ios može izraditi ključ i čuvati ga na Expoovim serverima. To je najjednostavniji put.
• Navedi ga u eas.json. Profil submit prihvaća ascApiKeyPath, ascApiKeyIssuerId i ascApiKeyId. Prema referenci za eas.json, ta polja prihvaćaju varijable okruženja, poput $ASC_API_KEY_PATH.
• Predaj ga kroz okruženje. Repozitorij EAS CLI-ja dokumentira EXPO_ASC_API_KEY_PATH, EXPO_ASC_KEY_ID i EXPO_ASC_ISSUER_ID. Za individualni ključ izostavi Issuer ID.

Jedno ograničenje za buildove: Expo navodi da službeni API ne zna povezati App Group, Merchant ID ili CloudKit kontejner. Tada ti treba lokalna prijava s Apple ID-jem. To mi se dogodilo na Noleri s grupom aplikacija za widget: ključ je aktivirao capability, ali nije povezao grupu. To povezivanje napravio sam na Appleovom developerskom portalu. Ako sinkronizacija capabilityja zapne, EXPO_NO_CAPABILITY_SYNC=1 je isključuje, a capability sam aktiviraš na identifikatoru aplikacije. Potpisivanje buildova detaljno je opisano u članku iOS certifikat i provisioning profile.

Korištenje s fastlaneom

fastlane čita ključ iz JSON datoteke. Polja key_id, issuer_id i key, sadržaj .p8 datoteke, obavezna su. duration i in_house nisu obavezni. Izmišljene vrijednosti:

{
  "key_id": "XXXXXXXXXX",
  "issuer_id": "your-issuer-id",
  "key": "-----BEGIN PRIVATE KEY-----\nMIGT...\n-----END PRIVATE KEY-----",
  "duration": 1200,
  "in_house": false
}

Tu datoteku zatim predaješ akciji, na primjer fastlane pilot distribute --api_key_path fastlane/cle.json. U Fastfileu akcija app_store_connect_api_key prima key_id, issuer_id i key_filepath. Trajanje sesije ne prelazi 1200 sekundi, odnosno 20 minuta. Ne podržavaju je sve akcije: fastlane, primjerice, navodi da produce i pem ne rade s API ključem.

Korištenje u vlastitoj skripti

Bez alata, token izrađuješ sam. Apple određuje recept:

• Zaglavlje: alg je ES256, kid je tvoj Key ID, typ je JWT.
• Sadržaj, timski ključ: iss, tvoj Issuer ID; iat, vrijeme izrade; exp, vrijeme isteka; aud, s vrijednošću appstoreconnect-v1.
• Sadržaj, individualni ključ: sub s vrijednošću user umjesto iss.
• Trajanje: iznad 20 minuta Apple odbija token za većinu zahtjeva.

U Pythonu, s bibliotekom PyJWT i njenom kriptografskom ovisnošću, instaliranom naredbom pip install pyjwt[crypto] prema njenoj dokumentaciji. U terminalu na Macu stavi navodnike: pip install "pyjwt[crypto]", inače zsh odbija uglate zagrade.

import time
import jwt

KEY_ID = "XXXXXXXXXX"
ISSUER_ID = "your-issuer-id"

with open("AuthKey_XXXXXXXXXX.p8") as f:
    private_key = f.read()

now = int(time.time())
token = jwt.encode(
    {"iss": ISSUER_ID, "iat": now, "exp": now + 20 * 60, "aud": "appstoreconnect-v1"},
    private_key,
    algorithm="ES256",
    headers={"kid": KEY_ID, "typ": "JWT"},
)
print(token)

Zatim ga šalješ u zaglavlju Authorization, kao u Appleovom primjeru:

curl -H "Authorization: Bearer $TOKEN" "https://api.appstoreconnect.apple.com/v1/apps"

Pokrenuo sam ovu skriptu 3. studenoga 2026. s jednokratnim ključem generiranim na svom računalu: zaglavlje i sadržaj tokena odgovaraju Appleovoj stranici, a ES256 potpis prolazi provjeru. Nisam ga poslao Appleovom API-ju s tim testnim ključem, koji kod Applea ne postoji. Koristi isti token dok god vrijedi: Apple to preporučuje radi boljih performansi.

Opoziv ključa

Opozovi ključ čim se izgubi, bude kompromitiran ili ga neki alat više ne koristi. Prema pomoći za App Store Connect, s Account Holder ili Admin računom:

1. Otvori Users and Access, pa Integrations.
2. Odaberi Team Keys ili Individual Keys, pa klikni na Edit.
3. Označi ključeve za opoziv, pa Revoke Key.
4. Potvrdi s Revoke.

Opozvani ključ nikad se ne može ponovno aktivirati. Apple ga prikazuje 30 dana pod Revoked. Svaki alat koji ga je koristio tada pada na autentifikaciji. S Expoom poruka glasi „App Store Connect rejected the API authentication credentials”. Ta poruka i druge greške pri slanju objašnjene su u članku greške pri slanju s EAS-om i kako ih popraviti. Ako ključ nije kompromitiran, pripremi novi prije nego isključiš stari. Ako jest, Apple traži da ga odmah opozoveš.

Za vlastiti individualni ključ: tvoj profil, Individual API Key, pa Revoke.

Moja check-lista za .p8 ključ

• Account Holder je zatražio pristup API-ju.
• Ključ je timski ako služi za buildove ili profile.
• Uloga mu je najmanja koja pokriva upotrebu, a ime govori koji ga alat koristi.
• .p8 je spremljen izvan repozitorija, sa strogim pravima i šifriranom sigurnosnom kopijom.
• Issuer ID i Key ID zapisani su odvojeno, bez datoteke.
• Svaki alat ima svoj ključ, kako bi se mogao opozvati samo jedan.

Automatiziraj objavu, a da ne riskiraš ključ

Ključ je samo jedan dio puta. iOS & Android Kit kreće od početnog koda mojih aplikacija, uključujući pretplate, i vodi te kroz četiri koraka do App Storea, tvojim tempom. Ako s ovim ključem spajaš RevenueCat, cijela postavka je u članku RevenueCat i in-app pretplata na iOS-u.

Ako pripremaš prvo izdanje, napravi besplatnu dijagnostiku: reći će ti što te stvarno koči i poslati ti moju check-listu protiv Appleovih odbijanja. Stranica objava aplikacije na App Storeu prolazi kroz svaki korak, od stranice aplikacije do odobrenja.

Česta pitanja

Kako napraviti App Store Connect API ključ?

Account Holder najprije zatraži pristup API-ju. Zatim Admin otvori Users and Access, karticu Integrations, App Store Connect API, Team Keys. Klikne na Generate API Key, odabere ime i ulogu, generira ključ i preuzme datoteku .p8.

Može li se izgubljeni .p8 ključ ponovno preuzeti?

Ne. Datoteka se preuzima samo jednom, a Apple ne čuva nikakvu kopiju. Opozovi izgubljeni ključ, generiraj novi i ažuriraj svaki alat koji ga je koristio.

Gdje pronaći Issuer ID i Key ID?

U App Store Connectu, izbornik Users and Access, kartica Integrations. Issuer ID prikazuje se na vrhu stranice. Key ID nalazi se na popisu aktivnih ključeva. Individualni ključ ne koristi Issuer ID.

Koju ulogu dati ključu koji koristi Expo?

Expoov vodič daje ulogu Admin. Prema Appleovoj tablici uloga, App Manager je dovoljan za slanje buildova i izradu certifikata i profila. To je uloga mog ključa, koji koristim za Expo buildove.

Može li se promijeniti uloga API ključa?

Ne. Apple ne dopušta promjenu ni imena ni uloge ključa nakon izrade. Opozovi ga, pa generiraj novi s pravom ulogom.

Istječe li App Store Connect API ključ?

Appleove stranice ne spominju nikakav istek ključa, samo njegov opoziv. Istječu tokeni potpisani njime, najkasnije nakon 20 minuta za većinu zahtjeva.