Створення та підпис десктопних програм для macOS
macOS вимагає двох рівнів верифікації: Code Signing (підпис розробника) та Notarization (нотаризація Apple). Без нотаризації Gatekeeper блокує програму з повідомленням «не може бути відкрита, тому що Apple не може її перевірити».
Вимоги
- Apple Developer Account ($99/рік)
- Developer ID Application Certificate
- Xcode Command Line Tools
Electron: побудова та підпис
// electron-builder.yml
mac:
target:
- target: dmg
- target: zip
icon: build/icon.icns
category: public.app-category.productivity
hardenedRuntime: true
gatekeeperAssess: false
entitlements: build/entitlements.mac.plist
entitlementsInherit: build/entitlements.mac.plist
identity: "Developer ID Application: Company Name (TEAM_ID)"
<!-- build/entitlements.mac.plist -->
<?xml version="1.0" encoding="UTF-8"?>
<plist version="1.0">
<dict>
<key>com.apple.security.cs.allow-jit</key><true/>
<key>com.apple.security.cs.allow-unsigned-executable-memory</key><true/>
<key>com.apple.security.cs.allow-dyld-environment-variables</key><true/>
<key>com.apple.security.network.client</key><true/>
</dict>
</plist>
Нотаризація
# Через notarytool (Xcode 13+)
xcrun notarytool submit AppName.dmg \
--apple-id "[email protected]" \
--password "@keychain:AC_PASSWORD" \
--team-id "TEAM_ID" \
--wait
# Stapling (вбудовування нотаризаційного квитка у файл)
xcrun stapler staple AppName.dmg
GitHub Actions для macOS
- uses: actions/checkout@v3
- name: Import Certificate
run: |
echo "$MACOS_CERTIFICATE" | base64 --decode > certificate.p12
security import certificate.p12 -P "$MACOS_CERTIFICATE_PWD" \
-A -t cert -f pkcs12 -k ~/Library/Keychains/login.keychain
- name: Build and Sign
run: npm run build:mac
env:
APPLE_ID: ${{ secrets.APPLE_ID }}
APPLE_ID_PASS: ${{ secrets.APPLE_ID_PASS }}
APPLE_TEAM_ID: ${{ secrets.APPLE_TEAM_ID }}
CSC_LINK: ${{ secrets.MACOS_CERTIFICATE }}
CSC_KEY_PASSWORD: ${{ secrets.MACOS_CERTIFICATE_PWD }}
Universal Binary (Intel + Apple Silicon)
# electron-builder автоматично створює universal binary
npx electron-builder --mac --universal
Universal binary запускається нативно на M1/M2/M3 без Rosetta 2.
Тривалість
Налаштування побудови, підпису та нотаризації: 3–4 робочих дні.