API ključ App Store Connect (.p8): ustvarjanje in uporaba

API ključ App Store Connect omogoča orodju, kot so EAS, fastlane, RevenueCat ali tvoja lastna skripta, da deluje v tvojem računu brez tvojega gesla in brez dvostopenjskega preverjanja. Apple obdrži javno polovico ključa, ti pa zasebno polovico, datoteko .p8, preneseš samo enkrat. S to datoteko, z Issuer ID in s Key ID podpisuješ žetone, ki za večino zahtev veljajo največ 20 minut.

Svoje iOS aplikacije, med njimi TradaZen in Nolera, objavljam z Expo. Ekipni ključ z vlogo App Manager uporabljam za RevenueCat, za svoje Expo builde in za orodje v ukazni vrstici, s katerim urejam strani aplikacij. Ta vodič sledi stranem Appla, Expa in fastlana, ki sem jih ponovno prebral 3. novembra 2026. Ne zamenjaj ga s ključi storitev, ki jih vstaviš v kodo aplikacije: o teh govori članek skrivni API ključ v aplikaciji Expo.

Kaj počne API ključ App Store Connect

Po Applovi dokumentaciji API App Store Connect zahteva žeton JWT za vsako zahtevo. Ustvariš ga in podpišeš s svojim zasebnim ključem. Ključ služi samo temu API-ju: za druge Applove storitve ga ne moreš uporabiti.

Njegova prednost je povzeta v enem stavku: nihče ne rabi potrjevati prijave. Tvoj Apple ID se zatakne pri dvostopenjskem preverjanju, kar blokira vsako avtomatizacijo. Vodič EAS Submit za iOS pokaže, kaj to spremeni pri pošiljanju aplikacije Expo.

Najprej: zaprosi za dostop do API-ja

Prvega ključa ne moreš ustvariti kar takoj. Pomoč App Store Connect je jasna: Account Holder mora najprej zaprositi za dostop do API-ja. Odpre Users and Access, klikne Integrations in nato Request Access. Apple vsako prošnjo pregleda posebej.

Account Holder je oseba, ki je registrirala račun. Če šele začenjaš, si to ti: vodič Applov razvijalski račun podrobno opiše registracijo.

Ekipni ali osebni ključ

Apple ponuja dve vrsti ključev. Tu so razlike, povzete iz dokumentacije in pomoči App Store Connect:

Merilo	Ekipni ključ	Osebni ključ
Kdo ga lahko ustvari	Account Holder ali Admin	Skoraj vsak uporabnik
Dostopne aplikacije	Vse, brez izjeme	Tiste od uporabnika
Pravice	Izbrana vloga	Pravice uporabnika
Število ključev	Več	En aktiven na osebo
Certifikati in profili	Da, glede na vlogo	Ne
Prodaja, finance, notaryTool	Glede na vlogo	Ne
Polje v žetonu	iss = Issuer ID	sub = user

»Skoraj vsak uporabnik« po Applu pomeni: Account Holder, Admin, App Manager, Customer Support, Developer in Marketing, razen če jim je Admin ali Account Holder odvzel pravico do ustvarjanja osebnega ključa.

Za Expo ali fastlane izberi ekipni ključ. Osebni ključ nima dostopa do končnih točk za provisioning, tistih, ki ustvarjajo certifikate in profile. Dokumentacija fastlana to potrjuje: ekipni ključi so obvezni za vsak dostop, povezan s provisioningom.

Katero vlogo dati ključu

Ekipni ključ ima dostop do vseh aplikacij v računu, ne glede na vlogo. Vloga določa, kaj lahko počne. Apple opozarja, da lahko ključ Admin ustvarja in briše uporabnike: daj najmanjšo vlogo, ki pokrije tvojo uporabo. Spodnje pravice so iz Applove tabele vlog.

Uporaba ključa	Vloge, ki to omogočajo
Pošiljanje buildov	Admin, App Manager, Developer
Upravljanje buildov TestFlight	Admin, App Manager
Ustvarjanje certifikatov in profilov	Admin, App Manager
Pošiljanje aplikacije v pregled	Admin, App Manager
Uvoz izdelkov in cen (RevenueCat)	Najmanj App Manager
Ustvarjanje drugih ekipnih ključev	Admin

Vrstica za RevenueCat je iz njegove dokumentacije. Expov vodič pa ključu dodeli vlogo Admin. Pri mojih aplikacijah zadošča vloga App Manager: EAS z njo ustvari distribucijske profile, RevenueCat pa uvozi izdelke.

Ko je ključ ustvarjen, mu ne moreš več spremeniti ne imena ne vloge. Če želiš spremembo, ga moraš preklicati in ustvariti novega.

Ustvarjanje ekipnega ključa, korak za korakom

Potrebuješ račun Admin ali Account Holder. Po Applu:

1. Odpri Users and Access, nato zavihek Integrations.
2. V levem stolpcu izberi App Store Connect API, nato zavihek Team Keys.
3. Klikni Generate API Key ali gumb +.
4. Ključu daj ime. Služi samo tebi, ni del ključa. Poimenuj ga po orodju, ki ga bo uporabljalo.
5. Pod Access izberi vlogo, nato klikni Generate.
6. Prenesi zasebni ključ prek povezave Download API Key.

Povezava za prenos izgine takoj, ko datoteko preneseš, Apple pa ne hrani nobene kopije. Shrani .p8, preden zapreš stran.

Nato si zapiši oba identifikatorja. Po Applovi strani o žetonih je Issuer ID prikazan na vrhu strani Integrations, z gumbom Copy. Key ID se pojavi na seznamu aktivnih ključev: postavi miško nanj, da se prikaže Copy Key ID. Issuer ID je enak za vse ekipne ključe v računu. Key ID je lasten vsakemu ključu.

Pri osebnem ključu je krajše: odpri svoj uporabniški profil, se pomakni do Individual API Key in klikni Generate API Key. Tudi tu je prenos mogoč samo enkrat.

Shranjevanje datoteke .p8

Apple zahteva, da s ključem ravnaš kot z geslom: ne deli ga, ne shranjuj ga v repozitorij kode, nikoli ga ne vgradi v kodo aplikacije. Moja rutina:

• Mapa zunaj projekta ali upravitelj skrivnosti v tvojem orodju za neprekinjeno integracijo.
• Mapa s ključi v tvojem .gitignore, če mora datoteka med pošiljanjem živeti v projektu.
• Stroge pravice. Orodje v ukazni vrstici za App Store Connect je zavračalo moj .p8, dokler so ga lahko brali drugi računi. chmod 600 je težavo rešil.
• En ključ na orodje. Apple omogoča ustvarjanje več ključev, z vlogami po tvoji izbiri.

Zadnje točke na začetku nisem upošteval. Moj ključ App Manager hkrati služi RevenueCatu, mojim buildom in orodju za strani aplikacij. Če ga moram preklicati, padejo vsa tri orodja hkrati. Če bi začel znova, bi ustvaril en ključ na orodje, da bi lahko enega izklopil, ne da bi se dotaknil drugih.

Uporaba z Expo

Trije načini, kako ključ predati EAS:

• Prepusti ga EAS. eas credentials --platform ios lahko ustvari ključ in ga hrani na Expovih strežnikih. To je najpreprostejša pot.
• Navedi ga v eas.json. Profil submit sprejme ascApiKeyPath, ascApiKeyIssuerId in ascApiKeyId. Po referenci za eas.json ta polja sprejemajo okoljske spremenljivke, na primer $ASC_API_KEY_PATH.
• Podaj ga prek okolja. Repozitorij EAS CLI dokumentira EXPO_ASC_API_KEY_PATH, EXPO_ASC_KEY_ID in EXPO_ASC_ISSUER_ID. Pri osebnem ključu Issuer ID izpustiš.

Omejitev, ki jo moraš poznati pri buildih: Expo pojasnjuje, da uradni API ne zna povezati App Group, Merchant ID ali vsebnika CloudKit. Takrat potrebuješ prijavo s svojim Apple ID, lokalno. To sem doživel pri Noleri s skupino aplikacij za njen widget: ključ je zmožnost vklopil, skupine pa ni povezal. To povezavo sem naredil v Applovem razvijalskem portalu. Če sinhronizacija zmožnosti obtiči, jo EXPO_NO_CAPABILITY_SYNC=1 izklopi, zmožnost pa na identifikatorju aplikacije vklopiš sam. Podpisovanje buildov je podrobno opisano v članku certifikat in provisioning profile za iOS.

Uporaba s fastlane

fastlane bere ključ iz datoteke JSON. Polja key_id, issuer_id in key, vsebina .p8, so obvezna. duration in in_house sta neobvezna. Izmišljene vrednosti:

{
  "key_id": "XXXXXXXXXX",
  "issuer_id": "tvoj-issuer-id",
  "key": "-----BEGIN PRIVATE KEY-----\nMIGT...\n-----END PRIVATE KEY-----",
  "duration": 1200,
  "in_house": false
}

To datoteko nato podaš akciji, na primer fastlane pilot distribute --api_key_path fastlane/cle.json. V Fastfile akcija app_store_connect_api_key sprejme key_id, issuer_id in key_filepath. Trajanje seje ne presega 1200 sekund, torej 20 minut. Vse akcije tega ne podpirajo: fastlane na primer navaja, da produce in pem z API ključem ne delujeta.

Uporaba v lastni skripti

Brez orodja žeton narediš sam. Apple določa recept:

• Glava: alg je ES256, kid je tvoj Key ID, typ je JWT.
• Vsebina, ekipni ključ: iss, tvoj Issuer ID; iat, čas nastanka; exp, čas poteka; aud, ki je appstoreconnect-v1.
• Vsebina, osebni ključ: sub je user namesto iss.
• Trajanje: če je daljše od 20 minut, Apple žeton za večino zahtev zavrne.

V Pythonu, s knjižnico PyJWT in njeno kriptografsko odvisnostjo, ki jo po njeni dokumentaciji namestiš z pip install pyjwt[crypto]. V terminalu na Macu uporabi narekovaje: pip install "pyjwt[crypto]", sicer zsh zavrne oglate oklepaje.

import time
import jwt

KEY_ID = "XXXXXXXXXX"
ISSUER_ID = "tvoj-issuer-id"

with open("AuthKey_XXXXXXXXXX.p8") as f:
    private_key = f.read()

now = int(time.time())
token = jwt.encode(
    {"iss": ISSUER_ID, "iat": now, "exp": now + 20 * 60, "aud": "appstoreconnect-v1"},
    private_key,
    algorithm="ES256",
    headers={"kid": KEY_ID, "typ": "JWT"},
)
print(token)

Nato ga pošlješ v glavi Authorization, kot v Applovem primeru:

curl -H "Authorization: Bearer $TOKEN" "https://api.appstoreconnect.apple.com/v1/apps"

To skripto sem zagnal 3. novembra 2026 z začasnim ključem, ustvarjenim na svojem računalniku: glava in vsebina žetona ustrezata Applovi strani, podpis ES256 pa se preveri. Z tem testnim ključem, ki pri Applu ne obstaja, ga nisem poslal na Applov API. Isti žeton uporabljaj, dokler je veljaven: Apple to priporoča zaradi boljše zmogljivosti.

Preklic ključa

Ključ prekliči takoj, ko je izgubljen, ogrožen ali ga neko orodje ne uporablja več. Po pomoči App Store Connect, z računom Account Holder ali Admin:

1. Odpri Users and Access, nato Integrations.
2. Izberi Team Keys ali Individual Keys, nato klikni Edit.
3. Označi ključe za preklic, nato Revoke Key.
4. Potrdi z Revoke.

Preklicanega ključa ni mogoče nikoli več aktivirati. Apple ga prikazuje 30 dni pod Revoked. Vsako orodje, ki ga je uporabljalo, nato pri overjanju odpove. Pri Expu je sporočilo »App Store Connect rejected the API authentication credentials«. To sporočilo in druge napake pri pošiljanju razlaga članek napake pri pošiljanju z EAS in njihovo odpravljanje. Če ključ ni ogrožen, pripravi novega, preden izklopiš starega. Če je, Apple zahteva takojšen preklic.

Za svoj osebni ključ: tvoj profil, Individual API Key, nato Revoke.

Moj kontrolni seznam za ključ .p8

• Account Holder je zaprosil za dostop do API-ja.
• Ključ je ekipni, če služi buildom ali profilom.
• Njegova vloga je najmanjša, ki pokrije uporabo, ime pa pove, katero orodje ga uporablja.
• .p8 je shranjen zunaj repozitorija, s strogimi pravicami in šifrirano varnostno kopijo.
• Issuer ID in Key ID sta zapisana posebej, brez datoteke.
• Vsako orodje ima svoj ključ, da lahko prekličeš samo enega.

Avtomatiziraj objavo, ne da bi tvegal ključ

Ključ je le en del poti. iOS & Android Kit izhaja iz začetne kode mojih aplikacij, vključno z naročninami, in sledi štirim korakom do App Store, v tvojem tempu. Če s tem ključem povežeš RevenueCat, je celotna postavitev v članku RevenueCat in naročnina v aplikaciji iOS.

Če pripravljaš svojo prvo objavo, opravi brezplačno diagnostiko: pove ti, kaj te v resnici ovira, in ti pošlje moj kontrolni seznam proti Applovim zavrnitvam. Stran objava aplikacije v App Store povzame vsak korak, od strani aplikacije do odobritve.

Pogosta vprašanja

Kako ustvarim API ključ App Store Connect?

Account Holder najprej zaprosi za dostop do API-ja. Nato Admin odpre Users and Access, zavihek Integrations, App Store Connect API, Team Keys. Klikne Generate API Key, izbere ime in vlogo, ustvari ključ in nato prenese datoteko .p8.

Ali lahko izgubljen ključ .p8 ponovno prenesem?

Ne. Datoteko lahko preneseš samo enkrat, Apple pa ne hrani nobene kopije. Izgubljeni ključ prekliči, ustvari novega in posodobi vsako orodje, ki ga je uporabljalo.

Kje najdem Issuer ID in Key ID?

V App Store Connect, meni Users and Access, zavihek Integrations. Issuer ID je prikazan na vrhu strani. Key ID je na seznamu aktivnih ključev. Osebni ključ ne uporablja Issuer ID.

Katero vlogo dati ključu, ki ga uporablja Expo?

Expov vodič dodeli vlogo Admin. Po Applovi tabeli vlog App Manager zadošča za pošiljanje buildov ter ustvarjanje certifikatov in profilov. To je vloga mojega ključa, ki ga uporabljam za svoje Expo builde.

Ali lahko spremenim vlogo API ključa?

Ne. Apple po ustvarjanju ne dovoli spremeniti ne imena ne vloge ključa. Prekliči ga in ustvari novega s pravo vlogo.

Ali API ključ App Store Connect poteče?

Applove strani ne omenjajo nobenega poteka ključa, samo njegov preklic. Potečejo žetoni, podpisani z njim, za večino zahtev po največ 20 minutah.