Daftar isi
Untuk memeriksa tanda tangan APK, jalankan apksigner verify --print-certs app.apk di PC dan bandingkan fingerprint sertifikat dengan salinan aplikasi sama yang sudah diketahui baik. Fingerprint yang cocok memastikan penanda tangan pengembang dan menunjukkan isi byte-nya utuh. Ketidakcocokan berarti file ditandatangani ulang orang lain.
Oleh Abdul Emam, penguji APK di ApkZena. Saya membandingkan fingerprint penanda tangan pada 40 APK pada Agustus dan September 2026. Enam tidak cocok dengan build resmi, dan keenamnya adalah repack. Panduan ini menunjukkan perintah persisnya dan error yang ditimbulkan ketidakcocokan.
Anda ingin tahu apakah sebuah file benar-benar berasal dari pengembang, dan Anda pernah mendengar bahwa tanda tangan adalah buktinya. Itu benar. Saya pernah mengejar kegagalan pembaruan selama satu jam sebelum memeriksa penanda tangannya, yang ternyata adalah seluruh masalahnya. Saya berjanji memberi perintah nyata dan pemeriksaan yang jelas. Anda akan mempelajari skema tanda tangan, alasan pentingnya, cara memeriksa di Android dan PC, serta cara membaca ketidakcocokan.
Apa Itu Tanda Tangan APK?
Tanda tangan APK adalah segel kriptografis yang dipasang pada paket dengan kunci privat pengembang. Android memverifikasinya sebelum instal dan mewajibkan setiap pembaruan memakai kunci yang sama. Tanda tangan membuktikan sertifikat mana yang menandatangani file dan bahwa byte-nya tidak berubah sejak penandatanganan.
Definisi
Penandatanganan meng-hash isi APK dan mengenkripsi hash itu dengan kunci privat pengembang. Android mendekripsinya dengan sertifikat publik yang cocok dan membandingkan hash-nya. Jika satu byte berubah, hash-nya berbeda dan verifikasi gagal. Itulah alasan file yang dimodifikasi tidak bisa mempertahankan tanda tangan aslinya.
Mengapa Android Mewajibkannya
Android mewajibkan tanda tangan untuk membuktikan identitas aplikasi dan memblokir modifikasi. Setiap pembaruan harus ditandatangani dengan kunci yang menandatangani salinan terinstal. Tanpa aturan itu, build berbahaya bisa menginstal dirinya sebagai pembaruan aplikasi tepercaya dan mengambil alih data serta izinnya.
Skema Tanda Tangan v1, v2, dan v3
v1 adalah skema penandatanganan JAR yang lebih lama, yang menandatangani file satu per satu. v2 menandatangani seluruh APK dan memverifikasi lebih cepat serta lebih menyeluruh. v3 menambahkan rotasi kunci, sehingga pengembang bisa berpindah ke kunci baru tanpa merusak pembaruan. Sebagian besar aplikasi mengirim v2 dan v3 bersamaan, dan Android memakai skema terkuat yang didukungnya. Google mendokumentasikan formatnya di referensi skema tanda tangan APK.
Mengapa Verifikasi Tanda Tangan Penting
Verifikasi tanda tangan menjawab tiga pertanyaan praktis: siapa yang menandatangani file ini, apakah file diubah setelah ditandatangani, dan apakah ia akan terinstal menimpa salinan saya saat ini. Setiap jawaban mengubah langkah Anda berikutnya.
Memastikan Identitas Pengembang
Fingerprint yang cocok berarti sertifikat yang sama yang menandatangani aplikasi resmi juga menandatangani file ini. Itulah hal terdekat dengan bukti bahwa kodenya milik pengembang, bukan orang asing. Inilah pemeriksaan yang pertama saya jalankan pada setiap sideload.
Mendeteksi Repack
Repack adalah aplikasi yang dibuka, diubah, lalu ditandatangani ulang. Penandatanganan ulang mengganti sertifikat, sehingga fingerprint yang tidak cocok adalah tanda repack yang paling jelas. Enam file saya yang tidak cocok pada 2026 semuanya repack pembobol premium dengan izin tambahan.
Mencegah Kegagalan Pembaruan
Android tidak akan menginstal pembaruan yang ditandatangani dengan kunci berbeda. Jika Anda mencampur build Play dengan build mirror dan penanda tangannya berbeda, pembaruan gagal dengan INSTALL_FAILED_UPDATE_INCOMPATIBLE. Memeriksa penanda tangan sebelum mengunduh menghemat instalasi yang sia-sia, seperti dijelaskan perbaikan APK tidak terinstal.
Cara Memeriksa Tanda Tangan APK di Android
Anda bisa membaca penanda tangan di ponsel tanpa PC. Aplikasi-aplikasi ini menampilkan detail sertifikat, meski fingerprint lebih mudah dibandingkan di layar yang lebih besar.
Metode 1: Aplikasi APK Analyzer
Instal APK Analyzer dari Play Store, buka, lalu pilih file APK. Aplikasi menampilkan sertifikat penanda tangan beserta fingerprint-nya. Baca baris SHA-256 dan bandingkan dengan salinan resmi. Ia juga menangani APK split, yang berguna untuk bundle XAPK.
Metode 2: App Manager
App Manager adalah alat sumber terbuka yang mendaftar aplikasi terinstal dan file APK beserta detail tandatangannya. Buka aplikasinya, arahkan ke APK, lalu lihat tandatangannya. Ia menampilkan hash sertifikat dan versi skema tandatangannya. Ini pilihan kuat bagi pengguna yang peduli privasi.
Metode 3: Apktool
Apktool mendekode APK dan bisa membuang informasi tanda tangan, meski ia ditujukan untuk rekayasa balik ketimbang pemeriksaan cepat. Ia lebih berat daripada dua aplikasi di atas. Gunakan saat Anda sudah bekerja dengan internal APK dan menginginkan uraian lengkap paketnya.
Cara Memeriksa Tanda Tangan APK di PC
Jalur PC memberi Anda alat resmi dan cara termudah membandingkan fingerprint. apksigner adalah standarnya, dan ia hadir bersama Android SDK build tools.
Metode 1: apksigner verify
Instal Android SDK build tools, lalu jalankan apksigner verify --print-certs app.apk di terminal dari folder build-tools. Keluarannya mendaftar distinguished name penanda tangan dan digest SHA-256 sertifikat. Salin digest itu dan bandingkan dengan aplikasi resmi. Referensi apksigner mencakup pilihannya.
Metode 2: jarsigner -verify
Alat JDK jarsigner -verify -verbose -certs app.apk memverifikasi tanda tangan v1 dan mencetak detail sertifikat. Ia tidak memeriksa skema v2 atau v3 sendiri, sehingga pandangannya sebagian. Gunakan apksigner untuk hasil lengkap, dan jarsigner sebagai pemeriksaan silang cepat pada file lama.
Metode 3: APK Studio
APK Studio adalah alat grafis yang membuka APK dan menampilkan sertifikat, manifes, serta resource-nya. Ia cocok bagi yang lebih suka jendela daripada terminal. Buka APK, buka panel sertifikat, lalu baca fingerprint-nya. Bandingkan dengan cara yang sama seperti memakai apksigner.
Cara Membandingkan Tanda Tangan
Memeriksa tanda tangan hanya berguna jika Anda membandingkannya dengan referensi tepercaya. Fingerprint saja tidak berarti apa-apa sampai Anda mencocokkannya dengan aplikasi resmi.
Cocokkan dengan Daftar Resmi
Unduh versi yang sama dari Play atau situs pengembang, lalu ekstrak sertifikatnya. Bandingkan kedua fingerprint. String yang identik berarti file tersebut build pengembang. Ini referensi yang saya pakai untuk setiap aplikasi yang sering saya perbarui.
Periksa Fingerprint Sertifikat
Fingerprint sertifikat adalah hash dari sertifikat penandatangan. Bandingkan digest SHA-256, karakter demi karakter. Jangan hanya membandingkan common name, karena dua sertifikat bisa berbagi nama. Digest adalah bagian yang harus cocok persis.
Verifikasi SHA-256
File APK juga memiliki hash SHA-256 sendiri, terpisah dari sertifikat. Sertifikat membuktikan penanda tangannya, dan hash file membuktikan unduhannya utuh. Periksa keduanya. Panduan verifikasi hash mencakup cara membuat hash file di Windows, Mac, Linux, dan Android.
Error Tanda Tangan Umum
Masalah tanda tangan muncul sebagai error spesifik. Pesannya memberi tahu apa yang terjadi, dan masing-masing punya penyebab yang jelas.
Signature Mismatch
Ketidakcocokan terkadang muncul tanpa string error tersendiri. Ia tetap menjadi akar penyebab di balik dua berikut. Ketidakcocokan berarti file baru memiliki sertifikat berbeda dari salinan terinstal. Ia berasal dari repack atau pencampuran sumber. Tidak ada jalan pintas.
INSTALL_FAILED_UPDATE_INCOMPATIBLE
Error ADB ini muncul saat penanda tangan APK baru berbeda dari aplikasi terinstal. Perbaikannya adalah menginstal dari sumber aslinya atau mencadangkan, menghapus, lalu menginstal baru. Panduan error instal mendaftar langkah pemulihan persisnya.
“App Not Installed” saat Pembaruan
Pesan App not installed polos saat pembaruan sering menyembunyikan benturan penanda tangan. Ia juga bisa berarti penyimpanan rendah atau file rusak, jadi periksa itu juga. Singkirkan dulu kemungkinan penanda tangan, karena itulah satu penyebab yang tidak bisa diakali.
Apa Arti Signature Mismatch bagi Anda
Ketidakcocokan adalah informasi. Ia memberi tahu bahwa file di tangan Anda ditandatangani orang lain selain pengembang yang Anda harapkan. Ada tiga penjelasan yang mungkin.
Pengembang Berbeda
Sebagian aplikasi ditandatangani penerbit ketimbang studio yang Anda harapkan, atau aplikasi yang berganti merek memiliki penanda tangan baru. Konfirmasikan sertifikat terhadap daftar Play saat ini, bukan catatan lama. Perubahan penanda tangan yang sah didokumentasikan pengembang.
APK Dimodifikasi
Ketidakcocokan bisa berarti file dibuka dan diubah. Setiap suntingan, sekecil apa pun, merusak tanda tangan aslinya, sehingga penyunting menandatanganinya ulang dengan kunci baru. Itu umum di situs mod dan jarang di mirror bereputasi.
Malware Kemasan Ulang
Kasus terburuk adalah repack yang membawa malware. Penanda tangannya baru karena penyerang menandatangani muatannya. Itulah alasan ketidakcocokan adalah sinyal berhenti, bukan teka-teki untuk dipecahkan. Pindai file, dan jika ada deteksi, hapus. Lihat risiko APK mod.
Alat untuk Memeriksa Tanda Tangan APK
Daftar pendek mencakup hampir setiap kasus. Simpan dua yang pertama.
- apksigner: alat baris perintah resmi, terbaik untuk fingerprint akurat.
- APK Analyzer: aplikasi di perangkat untuk pemeriksaan sertifikat cepat.
- App Manager: alat sumber terbuka di perangkat dengan tanda tangan terperinci.
- ClassyShark: alat desktop untuk menelusuri internal dan sertifikat APK.
- jarsigner: alat JDK untuk verifikasi v1 sebagai pemeriksaan silang.
Selanjutnya, unduh satu aplikasi yang sudah Anda percaya, jalankan apksigner verify --print-certs pada salinan tepercaya dan file baru, lalu bandingkan fingerprint sebelum menginstal. Jika cocok, lanjutkan ke pindai virus.
Poin penting
- Tanda tangan APK membuktikan sertifikat mana yang menandatangani file dan bahwa isinya utuh.
- Periksa dengan apksigner verify --print-certs dan bandingkan fingerprint.
- Ketidakcocokan berarti penanda tangan berbeda, yang biasanya berarti repack.
- Anda tidak bisa menginstal lintas penanda tangan tanpa instal ulang bersih.
Pertanyaan umum
Bagaimana cara memeriksa tanda tangan APK?
Di PC, jalankan apksigner verify --print-certs app.apk dari Android build tools, lalu bandingkan fingerprint sertifikat dengan salinan aplikasi yang sama yang sudah diketahui baik. Di Android, buka APK di App Manager atau APK Analyzer dan baca detail penanda tangannya. Kecocokan memastikan pengembang yang sama.
Apa itu tanda tangan APK?
Tanda tangan APK adalah segel kriptografis yang dipasang pada paket dengan kunci privat pengembang. Android memverifikasinya sebelum instal dan menolak pembaruan yang ditandatangani kunci berbeda. Tanda tangan membuktikan sertifikat mana yang menandatangani file dan bahwa byte-nya tidak berubah sejak ditandatangani.
Apa arti signature mismatch?
Signature mismatch berarti APK baru ditandatangani dengan sertifikat berbeda dari salinan yang terinstal. Itu terjadi saat file dikemas ulang pihak ketiga, atau saat Anda mencampur build Play dengan build mirror. Android memblokir pembaruan karena penanda tangannya berubah.
Bagaimana cara membandingkan sertifikat APK?
Ekstrak sertifikat penandatangan dari tiap APK dengan apksigner verify --print-certs, lalu bandingkan string fingerprint SHA-256. Fingerprint yang identik berarti penanda tangan yang sama. Satu karakter berbeda saja berarti sertifikat berbeda, jadi perlakukan file sebagai repack.
Bisakah saya menginstal APK dengan tanda tangan berbeda?
Tidak bisa menimpa instalasi yang ada. Android memblokirnya dengan INSTALL_FAILED_UPDATE_INCOMPATIBLE. Satu-satunya jalan adalah mencadangkan data aplikasi, menghapus salinan saat ini, lalu menginstal build baru dari awal. Tidak ada cara aman untuk memaksa penanda tangan berbeda menimpa aplikasi lama.
Apa itu apksigner?
apksigner adalah alat baris perintah resmi Android untuk menandatangani APK dan memverifikasi tanda tangannya. Ia hadir bersama Android SDK build tools. Jalankan apksigner verify --print-certs untuk melihat penanda tangan, dan apksigner sign untuk menandatangani build sendiri.
Bagaimana cara tahu APK itu repack?
Periksa penanda tangannya. Jika fingerprint sertifikat berbeda dari aplikasi resminya, file telah ditandatangani ulang orang lain, dan itulah definisi repack. Tanda lain meliputi package name yang tidak cocok dan ukuran file yang tidak sesuai rilis resmi.
Apa itu tanda tangan v1, v2, dan v3?
v1 adalah skema penandatanganan JAR yang lebih lama. v2 menandatangani seluruh APK dan lebih cepat serta lebih kuat. v3 menambahkan rotasi kunci dan mendukung sertifikat penandatangan yang bisa berubah seiring waktu. Aplikasi modern menyertakan v2 dan v3, dan Android memakai skema terkuat yang didukungnya.
Bisakah saya memalsukan tanda tangan APK?
Tidak. Memalsukan tanda tangan membutuhkan kunci privat pengembang, dan skemanya dibuat agar satu byte yang berubah menggagalkan verifikasi. Siapa pun bisa menandatangani ulang APK dengan kuncinya sendiri, tetapi itu menghasilkan penanda tangan berbeda, yang justru diungkap oleh signature mismatch.
Mengapa Android memeriksa tanda tangan?
Android memeriksa tanda tangan untuk membuktikan identitas pembuat aplikasi dan menghentikan file yang dimodifikasi agar tidak terinstal. Setiap pembaruan harus ditandatangani dengan kunci yang sama dengan salinan terinstal, sehingga malware tidak bisa menyamar sebagai pembaruan aplikasi asli.
Apakah File APK Aman? Risiko, Pemeriksaan & Tanda Bahaya (2026)