Apple push notification certificate: .p8 of .p12 met Expo

Met het pushcertificaat van Apple mag een server meldingen naar je app sturen via APNs, de meldingendienst van Apple. Het bestaat in twee vormen: een .p12-certificaat, één jaar geldig en gekoppeld aan één app, of een .p8-sleutel, die niet verloopt en voor alle apps van je account werkt. Met Expo heb je het certificaat niet nodig: EAS stelt bij je eerste build voor om een .p8-sleutel aan te maken, en de pushdienst van Expo gebruikt die voor je.

De gids over het ontwikkelaarscertificaat en het provisioning profile noemt de pushsleutel in een paar regels. Hier gaan we tot de bodem: de keuze tussen de twee formaten, de omgevingen sandbox en productie, het vernieuwen, en de storingen die meldingen in TestFlight laten wegvallen.

Ik publiceer mijn apps met Expo en EAS. Solys en TradaZen declareren de plugin expo-notifications in hun configuratie: die maakt de app klaar om meldingen te ontvangen.

Waarom Apple een certificaat of sleutel vraagt

Een pushmelding vertrekt vanaf een server, die van jou of die van Expo, die haar aan APNs geeft, dat haar op de iPhone aflevert. APNs moet dus controleren of die server je app mag berichten. Apple biedt twee manieren om dat te bewijzen.

• Verbinding via token, met een .p8-sleutel. Volgens Apple is die sneller, bruikbaar vanaf meerdere servers, en dekt één sleutel alle apps van je team of een deel ervan. Je server ondertekent er een token mee, dat minstens elk uur opnieuw moet.
• Verbinding via certificaat, met een .p12-bestand. Apple vermeldt dat dit certificaat aan één app gekoppeld is en een jaar geldig blijft. Meerdere apps, meerdere certificaten.

Apples pagina over vervaldata herinnert eraan: de ondertekeningssleutel voor APNs-tokens verloopt nooit.

De tabel .p8 / .p12

Criterium	.p8-sleutel	.p12-certificaat
Looptijd	Verloopt niet	Eén jaar
Bereik	Al je apps	Eén app
Omgeving	Gekozen bij aanmaken	Sandbox en productie
Vernieuwen	Nooit, behalve bij intrekken	Elk jaar
Downloaden	Maar één keer	Export vanaf de Mac
Aantal	Twee per omgeving	Eén per app
Gebruik met Expo	Aangemaakt en beheerd door EAS	Niet in de Expo-docs

Drie kanttekeningen. Het .p8-bestand kun je maar één keer downloaden: Apple bewaart het niet in je account. Het .p12-bestand exporteer je vanuit de sleutelhanger van de Mac waarop het certificaat is aangemaakt. En de limiet van twee sleutels per omgeving geldt voor teamsleutels. Voor sleutels die tot bepaalde apps beperkt zijn, staat Apple er tot 200 per omgeving toe.

Expo's pagina over credentials noemt alleen de pushsleutel, en telt er maximaal twee per account, zonder onderscheid tussen omgevingen of sleutels per app. Voor een Expo-app is de .p8-sleutel de juiste keuze.

Sandbox en productie: twee omgevingen

APNs heeft twee servers: development, ook wel sandbox genoemd, en productie. Apple reserveert de eerste voor tests en de tweede voor gepubliceerde apps. De app weet welke te gebruiken via het entitlement aps-environment. Volgens Apple volgt de waarde het ondertekeningsprofiel: development met een ontwikkelprofiel, production met een distributieprofiel en voor TestFlight.

Een TestFlight-build praat dus met productie, precies zoals de App Store.

Aan de Expo-kant twee details. De documentatie van expo-notifications zegt dat het entitlement in het project altijd als development staat, en in het archief van een release-build naar production gaat. En bij het aanmaken wordt het Expo-token gekoppeld aan de omgeving van de app, die automatisch wordt gedetecteerd: je hoeft bij het versturen niets te kiezen.

Maak je de sleutel zelf aan, dan vraagt Apple naar de omgeving en het bereik: het hele team of bepaalde apps. De ontwikkelaarsdocumentatie beschrijft inmiddels teamsleutels die beperkt zijn tot sandbox of productie, terwijl oudere sleutels die overal werken geaccepteerd blijven. De accounthulp beweert daarentegen nog dat de sleutel voor beide omgevingen werkt. Apple spreekt zichzelf tegen: onthoud de omgeving die je bij het aanmaken kiest. Een sleutel die alleen voor sandbox is, werkt niet voor TestFlight en niet voor de App Store.

Hoe Expo de pushsleutel beheert

Volgens de setupgids van Expo, bijgewerkt op 28 juli 2026, stelt je eerste development build voor om pushmeldingen te configureren en een APNs-sleutel te genereren. Antwoord twee keer ja. Zonder EAS Build voer je eas credentials uit. Je hebt een betaald Apple Developer-account nodig.

Daarna:

• EAS bewaart de sleutel en koppelt hem aan je app. Volgens Expo werkt één sleutel voor zoveel apps als je wilt, en verandert het uploaden van een nieuwe sleutel de Expo Push-tokens van je gebruikers niet.
• Je server roept APNs niet aan. Hij stuurt naar de pushdienst van Expo, die doorstuurt naar APNs. Expo vraagt je de receipts te lezen ongeveer 15 minuten na verzending: daar verschijnen de fouten.
• De plugin zet het entitlement. Declareer expo-notifications in plugins:

{
  "expo": {
    "plugins": ["expo-notifications"]
  }
}

Twee valkuilen. De FAQ van Expo zegt dat Expo Go sinds SDK 53 geen pushmeldingen meer ondersteunt, terwijl de pagina van expo-notifications alleen Android noemt. Hoe dan ook raadt Expo een development build aan: test daarmee. En de sleutel verwijderen met eas credentials haalt hem van de servers van Expo, niet uit je Apple-account. Om een plek vrij te maken, trek je hem in via het Apple-portaal. Zoals elk geheim mag het .p8-bestand nooit in je repository belanden: dezelfde regel als voor API-sleutels in een Expo-app.

Vernieuwen: wat echt verloopt

De .p8-sleutel hoeft niet vernieuwd te worden. Hij stopt alleen als je hem intrekt. Denk je dat hij gelekt is, dan raadt Apple aan een nieuwe sleutel te maken, daarop over te stappen en pas dan de oude in te trekken. Om de sleutel met Expo te vervangen geeft de FAQ de stappen: eas credentials, iOS, je buildprofiel, dan de pushsleutel verwijderen en een nieuwe genereren.

Het .p12-certificaat verloopt elk jaar. Apple vraagt je het vóór de vervaldatum bij te werken en de datum in de sleutelhanger in de gaten te houden. Is het verlopen of ingetrokken, dan kun je geen meldingen meer sturen naar je app. Apple beschrijft geen aparte vernieuwing: je maakt een nieuw certificaat aan vanuit de identifier van de app, installeert het vóór de vervaldatum op je server en verwijdert daarna het oude. De beste vernieuwing blijft overstappen op de sleutel.

Beheer je iPhones met Intune of een andere tool voor apparaatbeheer? Dat is een ander certificaat. Het pushcertificaat voor apparaatbeheer maak je aan op het Apple Push Certificates Portal en wordt elk jaar vernieuwd. Apple raadt aan het gebruikte Apple-account te noteren: dat heb je nodig bij het vernieuwen.

Typische storingen en hoe je ze oplost

Werkt in development, niet in TestFlight

1. Je stuurt naar het verkeerde token. De TestFlight-build registreert zich bij productie en krijgt een nieuw token. Een token uit je development build werkt niet: Apple antwoordt BadDeviceToken als het token niet bij de omgeving past. Haal het token uit de TestFlight-app zelf.
2. De productie-app heeft geen pushcredentials. Dat is de diagnose uit Expo's FAQ. Controleer de credentialspagina van het project op expo.dev, of eas credentials.
3. Je sleutel is beperkt tot sandbox. Vervang hem door een sleutel die in productie werkt.
4. De iPhone krijgt geen token. Heb je de TestFlight-build over een Xcode-build heen geïnstalleerd, dan raadt Expo aan het apparaat opnieuw op te starten.

"No valid aps-environment entitlement string found"

Volgens de FAQ van Expo betekent deze fout dat er geen pushsleutel is ingesteld voor je iOS-project. Controleer de credentialspagina en start een nieuwe build: EAS stelt dan voor de sleutel te genereren. Controleer ook of expo-notifications echt in plugins staat.

ITMS-90078: Missing Push Notification Entitlement

Apple stuurt deze e-mail na het uploaden: je app lijkt zich bij APNs te registreren, maar de ondertekening bevat het entitlement aps-environment niet. Expo's notitie over SDK 51 legt het uit. Sinds die SDK wordt het entitlement alleen toegevoegd als expo-notifications geïnstalleerd is. De waarschuwing komt van twee controles van Apple. De eerste vergelijkt de capabilities van je app-identifier met de entitlements van de app. De tweede vindt in de binary een registratiemethode voor meldingen, die in de code van Expo in elke app zit.

Het is een waarschuwing, geen afwijzing, zegt Expo. Gebruik je meldingen, voeg dan de plugin toe en bouw opnieuw: EAS synchroniseert de capabilities van de app-identifier bij elke build. Zo niet, verwijder dan de capability Push Notifications van je identifier in het Apple-portaal. De waarschuwing kan blijven, zonder gevolgen.

InvalidCredentials of alle apps tegelijk stil

InvalidCredentials in een receipt betekent dat je pushcredentials niet meer geldig zijn, vaak omdat de sleutel is ingetrokken. Alle apps die hem gebruikten vallen tegelijk stil. De oplossing van Expo: eas credentials, dan een nieuwe sleutel. Noemt de receipt InvalidProviderToken, dan raadt Expo aan opnieuw te bouwen en daarbij de pushsleutel en het profiel opnieuw te genereren.

Voordat je meldingen aanzet

Om meldingen vóór de release op je iPhone te testen, volg je TestFlight om je app te testen. Stuur je stille meldingen om de app te wekken, lees dan guideline 2.5.4 over achtergrondmodi nog eens. De hele keten zonder Mac staat in een iOS-app publiceren zonder Mac, en de stappen van de release op de pagina een app publiceren in de App Store.

Doe vóór je eerste verzending de gratis diagnose: die vertelt je wat er in je project vastloopt en stuurt je mijn checklist tegen afwijzingen door Apple. Om de app te bouwen, abonnementen te koppelen en te publiceren, volgt de iOS & Android Kit het traject in vier stappen met de Starter Code van mijn apps, in je eigen tempo.

Veelgestelde vragen

Verloopt het Apple-pushcertificaat?

Het .p12-certificaat verloopt na een jaar, en je meldingen stoppen als je het niet vervangt. De .p8-sleutel verloopt nooit: hij stopt alleen als je hem intrekt. Dat is de belangrijkste reden om de sleutel te kiezen.

Heb je per app een pushcertificaat nodig?

Met een .p12-certificaat wel: elk certificaat is aan één app gekoppeld. Een .p8-sleutel werkt voor alle apps van je account. Met Expo kan één sleutel dus je hele catalogus dekken.

Hoe vernieuw je een Apple-pushcertificaat?

Maak een nieuw certificaat aan vanuit de identifier van je app, met een nieuwe ondertekeningsaanvraag, installeer het op je server en verwijder daarna het oude. Doe dat vóór de vervaldatum. Het eenvoudigst blijft overstappen op een .p8-sleutel, die niet vernieuwd hoeft te worden.

Ik ben mijn .p8-bestand kwijt, wat nu?

Apple laat je het maar één keer downloaden. Heeft EAS de sleutel aangemaakt, dan bewaart Expo hem en blijven je meldingen werken. Zo niet, maak een nieuwe sleutel, voeg hem toe met eas credentials en trek de oude in via het Apple-portaal. De Expo Push-tokens van je gebruikers veranderen niet.

Moet je opnieuw bouwen na het wisselen van pushsleutel?

Meestal niet. De sleutel is voor de server die verstuurt, niet voor de geïnstalleerde app, en Expo geeft aan dat een nieuwe sleutel de tokens niet verandert. Uitzondering: melden de receipts InvalidProviderToken, dan raadt Expo aan opnieuw te bouwen met een nieuwe sleutel en een nieuw profiel.