Apple署名
Macを使わずにiOSの配布用または開発用証明書を作成します。ここで証明書署名要求（CSR）と秘密鍵を生成し、CSRをAppleにアップロードして、発行された証明書を署名用の.p12ファイルに変換します。
ワークフロー
ステップ 1
Apple の証明書リクエストに反映させたい個人または組織の情報を入力してください。
出力
CSRが生成されるまで何も表示されません。生成後、両方のファイルをダウンロードし、秘密鍵は安全に保管してください。
ステップ 2
Appleから証明書が発行されたら、 .cer とステップ1の秘密鍵を組み合わせて、パスワード保護された
.p12 を作成します。Xcode、fastlane、CI、または Capgo Cloud Build で利用可能です。
すべてブラウザ上で実行されます。 証明書、秘密鍵、パスワードはローカルで読み取られるだけで、サーバーにアップロードされることはありません。
出力内容
.cerファイルと秘密鍵を選択し、パスワードを設定して.p12を作成します。macOS KeychainやXcodeで利用可能な、SHA-1 MACを用いた3DES暗号化形式で生成されます。
基本情報
AppleはすべてのiOSアプリに対してcode署名を求めています。署名証明書は、ビルドがApple Developerチームのメンバーによって行われたことを証明するもので、iOSは署名が信頼できないアプリのインストールや起動を拒否します。
作成には3つのファイルが必要です。まず、 CSR (.csr)は公開鍵とアイデンティティを保持し、Appleに送信されます。次に、 秘密鍵 (.pem) は手元に残ります。一方、 証明書 (.cer) は Apple から発行されるものです。ビルドツールでは、証明書と秘密鍵をセットにした .p12 ファイル。
Mac のキーチェーンアクセスでは、CSR を作成すると秘密鍵はログインキーチェーン内に隠されます。このジェネレーターは両方のファイルを直接提供するため、Windows、Linux、または CI ランナーから Apple Distribution や Apple Development 証明書を作成でき、常に鍵の場所を把握できます。
セキュリティとプライバシー
Cache-Control: no-store. データベースへの保存や、レスポンス後の保持は一切行われません。ローカルで鍵を生成したい場合は？以下のOpenSSLコマンドで同じ2つのファイルを作成できます。
openssl req -new -newkey rsa:2048 -nodes \
-keyout ios-private-key.pem \
-out ios-certificate-request.csr \
-subj "/emailAddress=jane@company.com/CN=Jane Doe/C=US"ステップバイステップ
CSRの作成からTestFlightでの署名済みビルドまで。すべての工程がWindows、Linux、macOSのブラウザとターミナルで完結します。
ステップ 1
上のフォームに名前、メールアドレス、2文字の国コード code を入力し、「Generate CSR and private key」を選択してください。両方のファイルをダウンロードし、秘密鍵は安全に保管してください。
ステップ 2
developer.apple.comにサインインし、Certificates, Identifiers & Profilesを開きます。プラスボタンを選択し、Apple DistributionまたはApple Developmentを選択してください。
ステップ 3
ios-certificate-request.csrファイルをアップロードして続行し、発行された証明書（通常はdistribution.cerまたはdevelopment.cer）をダウンロードします。
ステップ 4
このページのステップ2にある .cer から .p12 へのコンバーターを使用します。.cerと秘密鍵を選択し、パスワードを設定して .p12 をダウンロードしてください。ブラウザ上で実行されるほか、OpenSSLコマンドを使用することも可能です。
ステップ 5
Apple Developerで、App IDに対してApp Store、ad hoc、またはdevelopment用のプロビジョニングプロファイルを作成し、新しい証明書を選択します。
ステップ 6
.p12とプロファイルをXcode、fastlane、CIのシークレット、またはCapgo Cloud Buildにインポートして、アプリをビルドし、TestFlightやApp Storeへアップロードしましょう。
出力結果を使う
最短ルートは、 ブラウザで使える.cerから.p12へのコンバーター 上記です。 コマンドライン派ですか？OpenSSLでも同様のことが可能です。エクスポート用のパスワードを求められますが、それがそのまま.p12のパスワードになります。
OpenSSLはmacOSや主要なLinuxディストリビューションにプリインストールされており、WindowsではGit BashやWSLから利用できます。
# 1. Convert Apple's DER .cer to PEM
openssl x509 -inform DER -in distribution.cer -out distribution.pem
# 2. Bundle the certificate and private key into a .p12
# -legacy (OpenSSL 3) keeps the file compatible with macOS Keychain.
# Drop it on OpenSSL 1.1 or LibreSSL, which do not support the flag.
openssl pkcs12 -export -legacy \
-inkey ios-private-key.pem \
-in distribution.pem \
-name "Apple Distribution" \
-out distribution.p12.p12とプロビジョニングプロファイルを一度保存すれば、あとは Capgo で iOS と Android アプリをクラウド上でビルド・署名.
bunx @capgo/cli@latest build credentials save \
--platform ios \
--certificate ./distribution.p12 \
--p12-password "your-p12-password" \
--ios-provisioning-profile "com.example.app=./profile.mobileprovision" \
--apple-team-id "TEAM123456"Mac の場合は .p12 をダブルクリックして Keychain にインポートすれば Xcode で認識されます。CI ランナーでは、fastlane を使って一時的な keychain にインポートしてください。
import_certificate(
certificate_path: "distribution.p12",
certificate_password: ENV["P12_PASSWORD"],
keychain_name: "build.keychain",
keychain_password: ENV["KEYCHAIN_PASSWORD"]
)GitHub Actions や GitLab シークレット用に署名ファイルをエンコードし、証明書が秘密鍵と一致していることを確認します。
# Encode the .p12 and profile for CI secrets
base64 -i distribution.p12 | tr -d '\n' > p12.base64
base64 -i profile.mobileprovision | tr -d '\n' > profile.base64
# Check that the certificate and key match (both hashes must be equal)
openssl x509 -noout -modulus -in distribution.pem | openssl md5
openssl rsa -noout -modulus -in ios-private-key.pem | openssl md5トラブルシューティング
署名後
ネイティブバイナリに署名が済めば、Capgo live updates で Capacitor の Web レイヤー変更を OTA 配信できます。チャンネル、ロールバック、既存の CI/CD もそのまま使えます。 OTA を同じリリースフローに組み込む準備ができたら、無料で試せます。
よくある質問
CSR、証明書の種類、.p12 変換、Apple Developer アカウント、CI やクラウドビルドでの証明書の使い方に関する回答です。
Certificate Signing Request (.csr) と、対応する RSA 2048 ビット秘密鍵 (.pem) を作成します。CSR を Apple Developer にアップロードして Apple Distribution または Apple Development 証明書 (.cer) を取得し、.cer と秘密鍵を組み合わせて、Xcode、fastlane、CI、Capgo Cloud Build で使える .p12 ファイルにします。
CSRは、公開鍵と識別情報（名前、メールアドレス、国など）を含み、秘密鍵で署名された小さなファイルです。Appleはこれを使用して、その鍵に紐付けられた署名証明書を発行します。秘密鍵がAppleに渡ることは決してないため、このツールで生成される .pem ファイルは必ず大切に保管してください。
はい、可能です。ここでCSRと秘密鍵を生成し、任意のブラウザからApple DeveloperポータルにCSRをアップロードして .cer をダウンロードしてください。その後、このページのステップ2にあるコンバーターを使って .p12 に変換します。Windows、Linux、macOSのいずれからでも動作するため、どの工程でもKeychain Accessは必要ありません。
Xcodeから登録済みのテストデバイスでビルドを実行する場合は「Apple Development」を選択してください。App Store、TestFlight、またはad hoc配布用のビルドに署名する場合は「Apple Distribution」を選択してください。どちらのタイプでも同じCSRを使用できます。タイプは本ツールではなく、Apple Developer側で選択します。
いいえ。ステップ1では、CSRと秘密鍵はHTTPS経由のステートレスな Capgo エンドポイントによってオンデマンドで生成され、Cache-Control: no-store を指定してブラウザに直接返されます。これらがデータベースに書き込まれたり、レスポンス後に保持されたりすることはありません。ステップ2の .cer から .p12 へのコンバーターは、すべてブラウザ上で動作し、何もアップロードしません。ローカルでの鍵生成がポリシーで定められている場合は、このページにあるOpenSSLコマンドを使用してください。
Appleから提供される.cerファイルには公開証明書のみが含まれています。アプリの署名には秘密鍵も必要なため、ビルドツールは証明書と秘密鍵をパスワードでまとめた.p12ファイルを必要とします。
このページのステップ2を使用してください。Appleから取得した.cer（DERまたはPEM形式）と、CSR作成時に使用した秘密鍵.pemを選択し、パスワードを入力して「Build .p12 file」を選択します。ブラウザ上で証明書と鍵の整合性を確認し、macOS Keychain、Xcode、fastlaneで利用可能な3DES暗号化された.p12を生成します。データがアップロードされることはありません。また、CIのシークレット用に.p12をbase64形式でコピーすることも可能です。
はい。CSRのアップロードや署名証明書の発行には、Apple Developer Programの有料メンバーシップ（年額99 USD、または社内配布用のEnterpriseプログラム）が必要です。CSR自体の生成にはアカウントは不要です。
Apple DevelopmentおよびApple Distribution証明書の有効期限は1年間です。App Storeですでに公開されているアプリは、証明書の期限切れや失効後も動作し続けますが、次回のビルドを署名するには新しい証明書とプロビジョニングプロファイルが必要になります。
可能ですが、証明書ごとに新しいキーペアを作る方が安全で、ローテーションも簡単です。やってはいけないのは、それらを混在させることです。.cer は、その CSR を作成した秘密鍵と完全に一致するものだけが使えます。キーを紛失した場合は、証明書を失効させて新しい CSR を生成してください。
はい。Apple でも APNs SSL 証明書を作成する際に CSR を求められます。新規アプリなら、有効期限がなくすべてのアプリで使える APNs 認証キー（.p8）の方が通常は簡単です。
Capgo Native Build
このツールで作成した .p12 と provisioning profile をアップロードし、CI からリリースビルドをトリガーして、自前のビルドファームを維持せずに TestFlight や App Store へ配信できます。
Native Build を詳しく見る次へ進む
ツールスタック
これらのジェネレーターとデバイスユーティリティを組み合わせれば、ブラウザを離れずに署名・テスト・配信を進められます。
