https://jumplink.eu/de/blog/tags/macos/feed.xml 2026-11-01T00:00:00Z Pascal Garber https://jumplink.eu/ https://jumplink.eu/de/blog/macos-signing/ 2026-11-01T00:00:00Z 2026-11-01T00:00:00Z

gjsify ship baut aus deiner App Pakete für Linux, macOS und Windows. Für den Mac signiert und notarisiert es jetzt auch, mit einem Befehl und ohne Packaging-Dateien im Repo.

<p>Eine App zu schreiben ist die eine Hälfte, sie bei Leuten zum Laufen zu bringen die andere. Mit <code>gjsify ship</code> baust du aus deinem Projekt installierbare Pakete, ohne Packaging-Dateien im Repo und ohne <code>dpkg-deb</code>, <code>rpmbuild</code> oder <code>hdiutil</code> von Hand zu bedienen. Neu ist, dass <code>ship</code> für macOS jetzt auch <strong>signiert und von Apple notarisieren lässt</strong>. Das habe ich bei drei Apps benutzt: <a href="https://jumplink.eu/Learn6502/">Learn 6502 Assembly</a>, <a href="https://jumplink.eu/steuererklaerung/">Steuererklärung</a> und <a href="https://jumplink.eu/beifahrer/">Beifahrer</a>. Alle drei gibt es jetzt als dmg für Apple Silicon und für Intel, und macOS öffnet sie ohne Warnung.</p> <h3>Ein Befehl pro Betriebssystem</h3> <p><code>ship</code> führt das <code>build</code>-Skript deines Projekts aus, stellt eine Nutzlast zusammen und verpackt sie je Format. Welche Bibliotheken eine Linux-Distribution braucht, liest es aus deinem Bundle. Die Einstellungen stehen in einem <code>gjsify.ship</code>-Block in der <code>package.json</code>.</p> <pre class="shiki shiki-themes github-light github-dark" style="--shiki-light:#24292e;--shiki-dark:#e1e4e8;--shiki-light-bg:#fff;--shiki-dark-bg:#24292e" tabindex="0"><code><span class="line"><span style="--shiki-light:#6F42C1;--shiki-dark:#B392F0">gjsify</span><span style="--shiki-light:#032F62;--shiki-dark:#9ECBFF"> ship</span><span style="--shiki-light:#032F62;--shiki-dark:#9ECBFF"> linux</span><span style="--shiki-light:#005CC5;--shiki-dark:#79B8FF"> --target</span><span style="--shiki-light:#032F62;--shiki-dark:#9ECBFF"> deb,rpm,appimage</span></span> <span class="line"><span style="--shiki-light:#6F42C1;--shiki-dark:#B392F0">gjsify</span><span style="--shiki-light:#032F62;--shiki-dark:#9ECBFF"> ship</span><span style="--shiki-light:#032F62;--shiki-dark:#9ECBFF"> darwin</span><span style="--shiki-light:#005CC5;--shiki-dark:#79B8FF"> --arch</span><span style="--shiki-light:#032F62;--shiki-dark:#9ECBFF"> arm64</span><span style="--shiki-light:#005CC5;--shiki-dark:#79B8FF"> --target</span><span style="--shiki-light:#032F62;--shiki-dark:#9ECBFF"> macos-app-zip,macos-app-dmg</span></span></code></pre> <p>Linux bekommt <code>.deb</code>, <code>.rpm</code> und AppImage. Für den Mac entstehen eine <code>.app</code> als <code>.zip</code> und als <code>.dmg</code>, eine Architektur pro Lauf. Die Apps tragen ihre Laufzeit selbst mit: Wer sie herunterlädt, braucht weder GJS noch GTK auf dem Rechner. Windows bekommt einen MSI-Installer. Den signiere ich noch nicht, dazu unten mehr.</p> <h3>Signieren und notarisieren</h3> <p>Ohne Signatur öffnet macOS eine heruntergeladene App nicht, das Quarantäne-Flag des Browsers lässt Gatekeeper sie ablehnen. Dafür brauchst du drei Dinge:</p> <ul><li>eine Mitgliedschaft im Apple Developer Program,</li><li>ein Zertifikat vom Typ <em>Developer ID Application</em> im Schlüsselbund,</li><li>einen Zugang für <code>notarytool</code>, zum Beispiel einen App-Store-Connect-API-Schlüssel, abgelegt als Profil mit <code>xcrun notarytool store-credentials</code>.</li></ul> <p>Dann kommen zwei Flags dazu:</p> <pre class="shiki shiki-themes github-light github-dark" style="--shiki-light:#24292e;--shiki-dark:#e1e4e8;--shiki-light-bg:#fff;--shiki-dark-bg:#24292e" tabindex="0"><code><span class="line"><span style="--shiki-light:#6F42C1;--shiki-dark:#B392F0">gjsify</span><span style="--shiki-light:#032F62;--shiki-dark:#9ECBFF"> ship</span><span style="--shiki-light:#032F62;--shiki-dark:#9ECBFF"> darwin</span><span style="--shiki-light:#005CC5;--shiki-dark:#79B8FF"> --arch</span><span style="--shiki-light:#032F62;--shiki-dark:#9ECBFF"> arm64</span><span style="--shiki-light:#005CC5;--shiki-dark:#79B8FF"> --target</span><span style="--shiki-light:#032F62;--shiki-dark:#9ECBFF"> macos-app-dmg</span><span style="--shiki-light:#005CC5;--shiki-dark:#79B8FF"> \</span></span> <span class="line"><span style="--shiki-light:#005CC5;--shiki-dark:#79B8FF"> --sign</span><span style="--shiki-light:#032F62;--shiki-dark:#9ECBFF"> "Developer ID Application: Dein Name (TEAMID)"</span><span style="--shiki-light:#005CC5;--shiki-dark:#79B8FF"> \</span></span> <span class="line"><span style="--shiki-light:#005CC5;--shiki-dark:#79B8FF"> --notarize</span><span style="--shiki-light:#032F62;--shiki-dark:#9ECBFF"> mein-notary-profil</span></span></code></pre> <p><code>--sign</code> signiert jedes ausführbare Bild in der App, das dmg-Image dazu. <code>--notarize</code> schickt das Ergebnis an Apple, wartet auf die Freigabe und heftet das Ticket an die Datei. Fehlt die Identität, packt <code>ship</code> ohne Signatur und sagt das laut. Ein stilles „signiert“ gibt es nicht.</p> <p>In CI läuft das auf einem Mac-Runner. Zertifikat und API-Schlüssel liegen als Secrets im Repository, der Job importiert sie in einen Wegwerf-Schlüsselbund. Bei mir hängen an jeder App fünf Secrets, und die Releases baut die CI. Danach prüft der Job pro Architektur <code>codesign --verify</code>, <code>spctl</code> mit gesetztem Quarantäne-Flag und <code>stapler validate</code>.</p> <h3>Was ich unterwegs gelernt habe</h3> <p>Den Stolperstein habe ich bei Steuererklärung gefunden, und er lag im Werkzeug, nicht in der App: Der Umlaut im Namen machte die Signatur ungültig. <code>codesign</code> leitet den Bezeichner des mitgelieferten Interpreters aus dem Dateinamen ab, und das dmg speichert Namen anders zerlegt als das Siegel sie berechnet hat. Das <code>.zip</code> war in Ordnung, dieselbe App im eingehängten dmg nicht. Notarisierung und <code>stapler validate</code> bestehen trotzdem, erst Gatekeeper lehnt die App beim Start ab. <code>ship</code> behandelt beides inzwischen selbst (<a href="https://github.com/gjsify/gjsify/pull/2466">#2466</a>, <a href="https://github.com/gjsify/gjsify/pull/2480">#2480</a>, enthalten ab gjsify 0.64.14), und ein Test mountet ein dmg mit Umlaut in den Dateinamen und prüft die Signatur darin. Du musst dafür nichts tun, auch nicht bei einem Namen wie „Steuererklärung“.</p> <p>Die Lehre daraus gilt für jede Auslieferung: Prüfe das fertige dmg auf einem echten Mac. Ich nehme das MacBook für arm64 und eine macOS-VM für Intel. Beide bekommen das Quarantäne-Flag wie nach einem Browser-Download, dann <code>spctl</code> und <code>codesign --verify --deep --strict</code> auf der App im eingehängten Image. Eine grüne CI hätte den Fehler allein nicht gezeigt.</p> <h3>Und Windows?</h3> <p>Das MSI baut <code>ship</code> schon, und die CI installiert und startet es testweise. Es ist aber unsigniert, und Windows warnt davor. Das Zertifikat von Microsoft steht noch aus, danach folgt die Anbindung an die CI.</p> <p>Mehr zu den Formaten steht in der Anleitung <a href="https://gjsify.org/gjsify/ship/">Ship your app</a>.</p>