Gestion des identifiants

Gérez vos identifiants de build iOS et Android en local pour faciliter vos builds cloud.

Aperçu

Capgo CLI stocke vos identifiants de build sur votre machine — jamais sur les serveurs de Capgo. Par défaut, ils se trouvent dans un fichier global , ~/.capgo-credentials/credentials.json, partagé entre tous vos projets. Passez --local pour les conserver par projet dans .capgo-credentials.json à la place. Lorsque vous lancez un build, les identifiants enregistrés sont utilisés automatiquement et envoyés en toute sécurité à Capgo, puis supprimés une fois le build terminé.

Besoin d'aide pour obtenir vos identifiants ?

Si vous n’avez pas encore vos certificats et vos identifiants, consultez ces guides complets :

iOS :

• Comment obtenir des certificats iOS - Guide étape par étape
• Guide des certificats iOS - Tutoriel détaillé étape par étape
• Blog : Builds iOS automatiques - Configuration CI/CD complète

Android :

• Créer un keystore - Guide étape par étape
• Guide des certificats Android - Tutoriel détaillé étape par étape
• Blog : builds Android automatiques - Configuration CI/CD complète

Garantie de sécurité

Vos identifiants ne sont JAMAIS stockés de façon permanente sur les serveurs de Capgo :

• ✅ Utilisés UNIQUEMENT pendant le processus de build actif
• ✅ Supprimés automatiquement après la fin du build
• ✅ Les applications sont envoyées directement sur l'App Store/Play Store – nous ne stockons RIEN
• ✅ Transmis de manière sécurisée via HTTPS

Commandes

Gérer les identifiants de manière interactive

Le moyen le plus rapide de gérer vos credentials enregistrés est le gestionnaire interactif. Il ouvre une TUI (la même que celle build init utilisée) où vous pouvez parcourir ce qui est stocké, voir ce qui est configuré par app et par plateforme, exporter un fichier .env fichier, ou supprimer les identifiants d’une plateforme :

bunx @capgo/cli@latest build credentials manage

Option	Description
--appId <appId>	App à gérer (vous demande de choisir si non renseigné)
--platform <ios|android>	Plateforme à gérer (demande si non renseigné)
--local	Utiliser l'option par projet .capgo-credentials.json au lieu du fichier global

Vous préférez des commandes ponctuelles et scriptables ? Utilisez les commandes individuelles ci-dessous.

Enregistrer les identifiants

Stockez vos identifiants de build localement pour une utilisation automatique :

bunx @capgo/cli@latest build credentials save --platform <ios|android> [options]

Mettre à jour les identifiants

Mettez à jour partiellement des identifiants existants sans tout ressaisir :

bunx @capgo/cli@latest build credentials update --platform <ios|android> [options]

Le update utilise la commande fusion additive pour les profils de provisionnement — les nouveaux profils sont fusionnés avec les existants. Pour remplacer l’ensemble de la carte de provisionnement, ajoutez --overwrite-ios-provisioning-map.

Exemple — ajouter un profil d’extension aux identifiants existants :

bunx @capgo/cli@latest build credentials update \
  --platform ios \
  --ios-provisioning-profile "com.example.app.widget=./widget_profile.mobileprovision"

La commande update accepte les mêmes options que save mais toutes sont facultatives — seules les champs fournis sont mis à jour.

Lister les identifiants

Afficher les identifiants enregistrés (les mots de passe sont masqués) :

bunx @capgo/cli@latest build credentials list

# List credentials for a specific app
bunx @capgo/cli@latest build credentials list --appId com.example.app

Effacer les identifiants

Supprimez les identifiants enregistrés de votre machine locale :

# Clear all credentials
bunx @capgo/cli@latest build credentials clear

# Clear credentials for a specific app + platform
bunx @capgo/cli@latest build credentials clear --appId com.example.app --platform ios

Migrer les identifiants

Convertissez l'ancien format à profil unique vers le nouveau format multi-cible :

bunx @capgo/cli@latest build credentials migrate --platform ios

La commande migrate détecte les anciens BUILD_PROVISION_PROFILE_BASE64 identifiants, les convertit en CAPGO_IOS_PROVISIONING_MAP, et supprime les clés obsolètes. Voir Migration depuis un profil unique pour plus de détails.

Enregistrement des identifiants iOS

Remarque

Vous n’avez pas encore de certificats iOS ? Consultez le Guide des builds iOS pour les instructions de création de certificats et de profils de provisionnement.

Exemple complet

bunx @capgo/cli@latest build credentials save \
  --platform ios \
  --certificate ./cert.p12 \
  --p12-password "YourP12Password" \
  --ios-provisioning-profile "com.example.app=./profile.mobileprovision" \
  --apple-key ./AuthKey_ABC1234567.p8 \
  --apple-key-id "ABC1234567" \
  --apple-issuer-id "00000000-0000-0000-0000-000000000000" \
  --apple-team-id "TEAM123456"

Options iOS

Option	Description	Requis
--certificate <path>	Chemin du fichier de certificat .p12	Oui (release)
--p12-password <password>	Mot de passe du certificat .p12	Oui (release)
--ios-provisioning-profile <mapping>	Mapping du profil de provisionnement (bundleId=path). Répétable pour les apps multi-cibles. Si un seul profil et aucun préfixe bundleId, CLI l’infère automatiquement à partir du profil.	Oui (release)
--apple-key <path>	Chemin de la clé .p8 API d’App Store Connect	Voir la note¹
--apple-key-id <id>	ID de la clé API App Store Connect	Voir la note¹
--apple-issuer-id <id>	ID émetteur (UUID) API d’App Store Connect	Voir la note¹
--apple-team-id <id>	ID d'équipe App Store Connect	Oui
--apple-id <email>	E-mail Apple ID pour l'upload avec mot de passe d'application (alternative à la clé API)	Voir la note²
--apple-app-specific-password <password>	Mot de passe d'application (xxxx-xxxx-xxxx-xxxx)	Voir la note²
--apple-app-id <id>	ID numérique de l'app App Store Connect (ex. 1234567890)	Voir la note²
--ios-distribution <mode>	Mode de distribution : app_store (par défaut) ou ad_hoc	Non
--output-upload	Activer un lien de téléchargement Capgo à durée limitée pour l'artefact du build	Non (par défaut : false)
--output-retention <seconds>	Durée de conservation des artefacts de build (ex. : 3600s)	Non (par défaut : 3600s)
--skip-build-number-bump	Ignorer l’incrémentation automatique du numéro de build	Non

¹ Exigences pour la clé API d’App Store Connect

• app_store mode (par défaut) : les trois options de clé API sont requis sauf si vous passez --output-upload ou --skip-build-number-bump (ce qui permet de contourner la soumission pilotée par API).
• ad_hoc mode : ces options sont facultatives — aucune publication sur l'App Store n'a lieu. Voir Mode de distribution Ad-Hoc pour plus de détails.

² Mot de passe spécifique à l'app (non recommandé)

Cette méthode est déconseillée, voire à éviter. Elle n'existe que comme solution de compatibilité pour les équipes qui migrent depuis Ionic Appflow. Privilégiez une clé API App Store Connect (.p8), qui est l'option recommandée, plus complète et plus sécurisée pour la CI/CD. Si vous devez l'utiliser, les trois options (--apple-id, --apple-app-specific-password, et --apple-app-id) sont requis ensemble. Le nombre --apple-app-id (App Store Connect → votre app → Informations sur l’app → Apple ID) permet à l’upload de s’exécuter sans prompt 2FA interactif ; avec cette méthode, le numéro de build retombe sur un horodatage, car App Store Connect n’est pas interrogé.

Ce qui est stocké

Lorsque vous enregistrez des identifiants iOS, le CLI :

1. Lit les fichiers de certificat et de profil de provisionnement
2. Les convertit en encodage base64
3. Les enregistre dans ~/.capgo-credentials/credentials.json (ou .capgo-credentials.json par --local)
4. Stocke les mots de passe et identifiants en texte brut (fichiers locaux uniquement)

Structure du fichier stocké :

{
  "ios": {
    "BUILD_CERTIFICATE_BASE64": "...",
    "CAPGO_IOS_PROVISIONING_MAP": "{\"com.example.app\":{\"profile\":\"...\",\"name\":\"match AppStore com.example.app\"}}",
    "APPLE_KEY_CONTENT": "...",
    "P12_PASSWORD": "...",
    "APPLE_KEY_ID": "ABC1234567",
    "APPLE_ISSUER_ID": "...",
    "APP_STORE_CONNECT_TEAM_ID": "TEAM123456",
    "CAPGO_IOS_DISTRIBUTION": "app_store"
  }
}

Enregistrement des identifiants Android

Remarque

Vous n’avez pas encore de keystore ? Consultez le Guide des builds Android pour savoir comment créer un keystore et configurer les identifiants Play Store.

Exemple complet

bunx @capgo/cli@latest build credentials save \
  --platform android \
  --keystore ./release.keystore \
  --keystore-alias "my-key-alias" \
  --keystore-key-password "KeyPassword123" \
  --keystore-store-password "StorePassword123" \
  --play-config ./play-store-service-account.json

Options Android

Option	Description	Requis
--keystore <path>	Chemin vers le fichier .keystore ou .jks	Oui (release)
--keystore-alias <alias>	Alias de la clé dans le keystore	Oui (release)
--keystore-key-password <password>	Mot de passe de l'alias de la clé	Oui (release)
--keystore-store-password <password>	Mot de passe du keystore	Oui (release)
--play-config <path>	Chemin du fichier JSON du compte de service Play Store	Oui (publication)

Ce qui est stocké

Lorsque vous enregistrez les identifiants Android, le CLI :

1. Lit les fichiers keystore et JSON du compte de service
2. Les convertit en encodage base64
3. Les enregistre dans ~/.capgo-credentials/credentials.json (ou .capgo-credentials.json par --local)
4. Stocke les mots de passe et l’alias en texte brut (fichiers locaux uniquement)

Structure du fichier stocké :

{
  "android": {
    "ANDROID_KEYSTORE_FILE": "...",
    "PLAY_CONFIG_JSON": "...",
    "KEYSTORE_KEY_ALIAS": "my-key-alias",
    "KEYSTORE_KEY_PASSWORD": "...",
    "KEYSTORE_STORE_PASSWORD": "..."
  }
}

Utilisation des identifiants enregistrés

Une fois les identifiants enregistrés, ils sont utilisés automatiquement lors du build :

# Credentials automatically loaded from ~/.capgo-credentials/credentials.json
bunx @capgo/cli@latest build request com.example.app --platform ios

Vous pouvez également remplacer les identifiants enregistrés à l’aide de variables d’environnement :

# Environment variables take precedence over saved credentials
BUILD_CERTIFICATE_BASE64="..." \
P12_PASSWORD="different-password" \
bunx @capgo/cli@latest build request com.example.app --platform ios

Ordre de priorité :

1. Variables d’environnement (priorité la plus élevée)
2. Identifiants enregistrés (~/.capgo-credentials/credentials.json, ou locaux .capgo-credentials.json)
3. Aucun identifiant (priorité la plus basse)

Consultation des identifiants enregistrés

Listez les identifiants que vous avez enregistrés :

bunx @capgo/cli@latest build credentials list

Exemple de sortie :

📋 Saved Build Credentials:

iOS Credentials:
  ✓ Certificate (base64)
  ✓ Provisioning Map (JSON)
  ✓ Apple Key Content (base64)
  ✓ P12 Password: ********
  ✓ Apple Key ID: ABC1234567
  ✓ Apple Issuer ID: 00000000-0000-0000-0000-000000000000
  ✓ Team ID: TEAM123456

Android Credentials:
  ✓ Keystore (base64)
  ✓ Play Store Config (base64)
  ✓ Keystore Alias: my-key-alias
  ✓ Key Password: ********
  ✓ Store Password: ********

Location: ~/.capgo-credentials/credentials.json

🔒 These credentials are stored locally on your machine only.
   When building, they are sent to Capgo but NEVER stored there.
   They are auto-deleted after build completion.

Bonnes pratiques de sécurité

Sécurité du stockage local

1. Permissions des fichiers

   # Global credentials directory + file
   chmod 700 ~/.capgo-credentials
   chmod 600 ~/.capgo-credentials/credentials.json
   # Local (per-project) credentials, if you use --local
   chmod 600 .capgo-credentials.json

2. Ne jamais commiter d'identifiants

   # Ignore the per-project credentials file (used with --local)
   echo ".capgo-credentials.json" >> .gitignore

   Le fichier global se trouve dans votre répertoire personnel, en dehors du dépôt.

3. Séparer les identifiants

   • Utiliser des identifiants différents pour le développement local et la CI/CD
   • Faites pivoter vos identifiants régulièrement
   • Ne partagez pas les identifiants entre les membres de l’équipe

Utilisation CI/CD

Pour les environnements CI/CD, préférez les variables d’environnement aux identifiants enregistrés.

Exportez un fichier prêt à l’emploi .env (recommandé)

Plutôt que d’encoder chaque fichier d’identifiants en base64 manuellement (voir ci-dessous), laissez build credentials manage générer le fichier pour vous :

bunx @capgo/cli@latest build credentials manage
# pick your app → choose "Export to .env"

Il écrit un .env.capgo.<appId>.<platform> fichier (permissions 0600) contenant chaque identifiant enregistré sous forme de variable d’environnement — chaque ligne correspond à un secret à ajouter à votre fournisseur CI/CD. Les deux plateformes sont combinées par défaut ; ajoutez --platform ios ou --platform android pour limiter la portée à l’une d’elles.

Attention

Le fichier exporté contient vos secrets de signature — ajoutez-l’à .gitignore et ne le commitez jamais.

Référence complète des variables d'environnement

CLI lit les variables d'environnement suivantes pour les identifiants :

Identifiants iOS :

Variable	Description	Format	Requis
BUILD_CERTIFICATE_BASE64	Certificat P12/PKCS12 pour la signature avec code	Base64	Oui (release)
CAPGO_IOS_PROVISIONING_MAP	JSON map of bundle IDs to provisioning profile data	Chaîne JSON	Oui (release)
P12_PASSWORD	Mot de passe du certificat P12	Texte brut	Optionnel
APPLE_KEY_ID	ID de la clé API App Store Connect	Chaîne (ex. : « ABC1234567 »)	Voir la note¹
APPLE_ISSUER_ID	Identifiant émetteur API d’App Store Connect	Chaîne UUID	Voir la note¹
APPLE_KEY_CONTENT	Clé App Store Connect API (contenu du fichier .p8)	Base64	Voir la note¹
APP_STORE_CONNECT_TEAM_ID	Team ID Apple Developer	Chaîne (ex. : « XXXXXXXX »)	Oui
CAPGO_IOS_DISTRIBUTION	Mode de distribution : app_store (par défaut) ou ad_hoc	Chaîne	Non

Identifiants Android :

Variable	Description	Format	Requis
ANDROID_KEYSTORE_FILE	Fichier keystore pour la signature d’APK/AAB	Base64	Oui (release)
KEYSTORE_KEY_ALIAS	Alias de clé dans le keystore	Chaîne	Oui (release)
KEYSTORE_KEY_PASSWORD	Mot de passe de l'alias de la clé	Texte brut	Oui*
KEYSTORE_STORE_PASSWORD	Mot de passe du fichier keystore	Texte brut	Oui*
PLAY_CONFIG_JSON	JSON du compte de service Google Play	Base64	Oui (publication)

*Si un seul mot de passe est fourni, il sera utilisé pour les deux KEYSTORE_KEY_PASSWORD et KEYSTORE_STORE_PASSWORD.

Exemple GitHub Actions

.github/workflows/build.yml

name: Cloud Build

on:
  push:
    branches: [main]

jobs:
  build-ios:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v6
      - uses: oven-sh/setup-bun@v2
      - run: bun install
      - run: bunx @capgo/cli@latest build request com.example.app --platform ios
        env:
          CAPGO_TOKEN: ${{ secrets.CAPGO_TOKEN }}
          BUILD_CERTIFICATE_BASE64: ${{ secrets.BUILD_CERTIFICATE_BASE64 }}
          CAPGO_IOS_PROVISIONING_MAP: ${{ secrets.CAPGO_IOS_PROVISIONING_MAP }}
          P12_PASSWORD: ${{ secrets.P12_PASSWORD }}
          APPLE_KEY_ID: ${{ secrets.APPLE_KEY_ID }}
          APPLE_ISSUER_ID: ${{ secrets.APPLE_ISSUER_ID }}
          APPLE_KEY_CONTENT: ${{ secrets.APPLE_KEY_CONTENT }}
          APP_STORE_CONNECT_TEAM_ID: ${{ secrets.APP_STORE_CONNECT_TEAM_ID }}

  build-android:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v6
      - uses: oven-sh/setup-bun@v2
      - run: bun install
      - run: bunx @capgo/cli@latest build request com.example.app --platform android
        env:
          CAPGO_TOKEN: ${{ secrets.CAPGO_TOKEN }}
          ANDROID_KEYSTORE_FILE: ${{ secrets.ANDROID_KEYSTORE_FILE }}
          KEYSTORE_KEY_ALIAS: ${{ secrets.KEYSTORE_KEY_ALIAS }}
          KEYSTORE_KEY_PASSWORD: ${{ secrets.KEYSTORE_KEY_PASSWORD }}
          KEYSTORE_STORE_PASSWORD: ${{ secrets.KEYSTORE_STORE_PASSWORD }}
          PLAY_CONFIG_JSON: ${{ secrets.PLAY_CONFIG_JSON }}

Préparation des valeurs Base64

Pour convertir vos fichiers d’identifiants en base64 pour les secrets CI/CD :

# iOS Certificate (.p12)
base64 -i certificate.p12 | tr -d '\n' > certificate_base64.txt

# iOS Provisioning Profiles — use the CLI to generate CAPGO_IOS_PROVISIONING_MAP:
bunx @capgo/cli@latest build credentials save --platform ios \
  --ios-provisioning-profile "com.example.app=./profile.mobileprovision" \
  # ... other options
# Then copy CAPGO_IOS_PROVISIONING_MAP from ~/.capgo-credentials/credentials.json to your CI secrets

# iOS App Store Connect Key (.p8)
base64 -i AuthKey_XXXXXX.p8 | tr -d '\n' > apple_key_base64.txt

# Android Keystore (.keystore or .jks)
base64 -i release.keystore | tr -d '\n' > keystore_base64.txt

# Google Play Service Account JSON
base64 -i play-store-service-account.json | tr -d '\n' > play_config_base64.txt

Astuce

Le tr -d '\n' supprime les sauts de ligne pour créer une chaîne base64 sur une seule ligne, plus facile à stocker en tant que secret CI/CD.

Pourquoi les variables d’environnement sont plus sûres

Cette approche est plus sécurisée car :

• Les secrets sont gérés par votre plateforme CI/CD
• Aucun fichier d’identifiants sur les runners
• Rotation et contrôle d’accès simplifiés
• Journal d’audit de l’utilisation des secrets

Rotation des identifiants

Faites tourner régulièrement vos identifiants :

1. iOS: Générez de nouveaux certificats et des clés API chaque année
2. Android: Changez les mots de passe du keystore chaque année
3. Après un changement d’équipe: À renouveler lorsque des membres de l'équipe partent

Mettre à jour les identifiants enregistrés :

# Re-run save command with new credentials
bunx @capgo/cli@latest build credentials save --platform ios --certificate ./new-cert.p12 ...

Troubleshooting

« Aucun identifiant trouvé »

Si le build indique qu'aucun identifiant n'a été trouvé :

1. Vérifier si les identifiants sont enregistrés:

   bunx @capgo/cli@latest build credentials list

2. Enregistrer les identifiants s'ils sont absents:

   bunx @capgo/cli@latest build credentials save --platform ios ...

3. Vérifier que le fichier d'identifiants existe:

   ls -la ~/.capgo-credentials/credentials.json   # global
   ls -la .capgo-credentials.json                 # local (--local)

« Permission denied » lors de la lecture des identifiants

Corriger les permissions du fichier :

chmod 600 ~/.capgo-credentials/credentials.json   # global
chmod 600 .capgo-credentials.json                 # local

Les identifiants ne sont pas utilisés

Vérifiez que la bonne plateforme est spécifiée :

# Make sure --platform matches saved credentials
bunx @capgo/cli@latest build request com.example.app --platform ios  # Uses ios credentials
bunx @capgo/cli@latest build request com.example.app --platform android  # Uses android credentials

Effacer et réenregistrer les identifiants

Si les identifiants semblent corrompus :

# Clear all credentials
bunx @capgo/cli@latest build credentials clear

# Save again
bunx @capgo/cli@latest build credentials save --platform ios ...

Migration depuis les variables d'environnement

Si vous utilisez actuellement des variables d’environnement, vous pouvez migrer vers des identifiants enregistrés :

1. Extrayez vos variables d'environnement actuelles

   echo $BUILD_CERTIFICATE_BASE64  # Verify they exist

2. Décoder les fichiers base64 en fichiers d’origine (si nécessaire)

   echo "$BUILD_CERTIFICATE_BASE64" | base64 -d > cert.p12
   echo "$BUILD_PROVISION_PROFILE_BASE64" | base64 -d > profile.mobileprovision

3. Sauvegardez avec le CLI

   bunx @capgo/cli@latest build credentials save \
     --platform ios \
     --certificate ./cert.p12 \
     --ios-provisioning-profile ./profile.mobileprovision \
     --p12-password "$P12_PASSWORD" \
     --apple-key-id "$APPLE_KEY_ID" \
     --apple-issuer-id "$APPLE_ISSUER_ID" \
     --apple-team-id "$APP_STORE_CONNECT_TEAM_ID"

   Si vous avez des identifiants enregistrés dans l'ancien format (un seul BUILD_PROVISION_PROFILE_BASE64), lancez :

   bunx @capgo/cli@latest build credentials migrate --platform ios

   Cela convertit l'ancien profil unique en CAPGO_IOS_PROVISIONING_MAP et supprime les anciennes BUILD_PROVISION_PROFILE_BASE64 et APPLE_PROFILE_NAME clés.

4. Tester le build

   bunx @capgo/cli@latest build request com.example.app --platform ios

5. Supprimer les variables d'environnement (facultatif)

   unset BUILD_CERTIFICATE_BASE64 BUILD_PROVISION_PROFILE_BASE64

Emplacement du fichier

Les identifiants sont stockés dans un seul fichier JSON :

• Mondial (par défaut) : ~/.capgo-credentials/credentials.json — partagé entre tous vos projets
• Local (avec --local): .capgo-credentials.json à la racine de votre projet — remplace le fichier global pour ce projet

Le fichier est créé automatiquement la première fois que vous enregistrez des identifiants. Ajoutez .capgo-credentials.json vers votre .gitignore ainsi, les identifiants par projet ne sont jamais commités.

Étapes suivantes

• Prise en main - Créez votre premier build
• Builds iOS - Configuration de build spécifique à iOS
• Builds Android - Configuration de build spécifique à Android
• Troubleshooting - Problèmes courants et solutions

Besoin d'aide ?

• 📚 Guide de dépannage
• 💬 communauté Discord
• 📧 E-mail : support@capgo.app

Continuer depuis la gestion des credentials

Si vous utilisez Gestion des identifiants pour planifier l'automatisation CI/CD, et le connecter avec CI/CD Capgo pour le workflow produit dans le CI/CD de Capgo, Capgo Native Build pour le workflow produit dans les Native Builds de Capgo, Intégrations Capgo pour le workflow produit dans les intégrations de Capgo, Intégration CI/CD pour le détail d'implémentation dans l'intégration CI/CD, et Intégration GitHub Actions pour les détails d'implémentation de l'intégration GitHub Actions.