Cómo obtener el SHA-1 en Android Studio: debug, release y Play Console

Si vas a conectar Firebase, Google Sign-In o Maps, tarde o temprano te piden la «huella digital del certificado SHA-1». En esta guía verás cómo obtener el SHA1 en Android Studio en menos de un minuto, cómo sacarlo con keytool cuando el IDE no ayuda, y, sobre todo, cuál de los tres SHA-1 que tiene tu app debes registrar para que el inicio de sesión no falle cuando publiques en Google Play.

Qué es la huella digital SHA-1 y por qué tienes más de una

La huella digital (fingerprint) es un resumen corto y único del certificado con el que se firma tu app. Los proveedores de APIs la piden junto con el nombre de paquete para saber que las peticiones vienen de tu app y no de una copia. Según la documentación de Google Play services, servicios como Acceso con Google necesitan el SHA-1 de tu certificado de firma para crear el cliente OAuth y la clave de API.

El detalle que confunde a casi todos: una app Android normal tiene tres certificados distintos, y cada uno tiene su propio SHA-1.

Certificado	Quién lo crea	Dónde se usa
Debug (debug.keystore)	Android Studio, automáticamente	Cuando ejecutas la app desde el IDE
Clave de subida (upload)	Tú, al generar el keystore de release	Firma el AAB que subes a Play Console
Clave de firma de la app	Google (firma de apps de Play)	Firma lo que instalan los usuarios desde Play

Si solo registras el de debug, todo funciona en tu teléfono y falla en producción. Más abajo verás cómo evitarlo.

Opción 1: obtener el SHA-1 con signingReport en Android Studio

Es la forma más rápida y la que recomienda la guía oficial de firma de Android Studio.

1. Abre tu proyecto en Android Studio.
2. Ve a View › Tool Windows › Gradle.
3. Despliega TuApp › Tasks › android y haz doble clic en signingReport.
4. Abre la ventana Run (abajo). Verás un bloque por cada variante (debug, release…) con MD5, SHA1 y SHA-256.

Si no ves la carpeta Tasks, en versiones recientes del IDE la lista de tareas puede estar oculta. Usa el botón Execute Gradle Task (icono del elefante) del panel Gradle y escribe gradle signingReport, o ejecuta directamente desde la terminal integrada:

# macOS / Linux
./gradlew signingReport

# Windows
gradlew signingReport

Busca la línea Variant: debug y copia el valor de SHA1:. El formato es de 20 pares hexadecimales separados por dos puntos, por ejemplo A7:89:E5:...:AB:18.

Si el release aparece sin firma

Si la variante release muestra Config: null o no muestra huellas, todavía no configuraste el signingConfig de release. En ese caso usa keytool sobre tu keystore (opción 2) o lee directamente las huellas en Play Console (opción 3).

Opción 2: obtener el SHA-1 con keytool

keytool viene con Java y sirve para leer cualquier keystore.

Huella de debug (la contraseña predeterminada del keystore de depuración es android):

# macOS / Linux
keytool -list -v -alias androiddebugkey -keystore ~/.android/debug.keystore

# Windows
keytool -list -v -alias androiddebugkey -keystore %USERPROFILE%\.android\debug.keystore

Huella de tu clave de subida (release):

keytool -list -v -alias upload -keystore ruta/a/upload-keystore.jks

Cambia upload por el alias que elegiste al crear el keystore. Te pedirá la contraseña del almacén y mostrará SHA1 y SHA256 en la sección Certificate fingerprints.

Huella de un APK o AAB ya generado:

keytool -printcert -jarfile app-release.aab

«keytool no se reconoce como un comando interno o externo»

Es uno de los errores más buscados en Windows. Significa que Java no está en tu PATH. No necesitas instalar nada: Android Studio trae su propio JDK. Ejecuta keytool con la ruta completa (ajústala si instalaste el IDE en otra carpeta):

"C:\Program Files\Android\Android Studio\jbr\bin\keytool" -list -v -alias androiddebugkey -keystore %USERPROFILE%\.android\debug.keystore

Opción 3: el SHA-1 de producción está en Play Console

Si publicas con AAB, Google re-firma tu app con la clave de firma de la app, y esa es la huella que ven los servicios de Google cuando un usuario instala desde Play. La ayuda oficial de Play Console lo dice explícitamente: debes registrar en tus proveedores de APIs la huella de la clave que custodia Google, no solo tu clave de subida local.

Pasos según la ayuda actual de Play Console:

1. Entra a tu app en Play Console.
2. Ve a Protegida con Play › Distribución en Play Store › Ir a Firma de aplicaciones de Play.
3. En la sección Clave de firma de aplicación, copia el SHA-1 (y el SHA-256 si tu proveedor lo pide).
4. En la misma página verás el certificado de la clave de subida; también puedes registrarlo para probar builds locales de release.

Si tu app usa la firma híbrida preparada para computación cuántica, Google indica que debes registrar las huellas de varias claves. Registra todas las que muestre la página. Si quieres entender bien la diferencia entre ambas claves, revisa nuestra guía de firma de apps de Google Play.

SHA-1 en Flutter y Expo / React Native

Flutter: el proyecto Android vive en la carpeta android/. Ejecuta:

cd android
./gradlew signingReport

Si aún no configuraste la firma de release con key.properties, sigue los pasos de nuestra guía para publicar una app Flutter en Play Store.

React Native (CLI): igual que Flutter, cd android && ./gradlew signingReport.

Expo con EAS: las credenciales viven en los servidores de EAS. Ejecuta eas credentials, elige Android y el perfil (por ejemplo production); el CLI muestra el keystore con sus huellas MD5, SHA1 y SHA256. Recuerda que ese keystore es tu clave de subida: para producción también necesitas el SHA-1 de Play Console.

Cómo agregar el SHA-1 en Firebase

Según la ayuda de Firebase:

1. Abre tu proyecto y entra a Configuración del proyecto (icono de engranaje).
2. En la tarjeta Tus apps, selecciona tu app Android.
3. Haz clic en Agregar huella digital, pega el SHA-1 y guarda.

Repite el paso para cada huella: debug, subida y firma de la app. Después vuelve a descargar google-services.json si tu configuración lo requiere. Firebase indica que el SHA-1 es necesario para Firebase Authentication con Google o con número de teléfono; si no usas esas funciones, no es obligatorio.

Si integras Firebase Analytics o anuncios, aprovecha para revisar qué debes declarar en tu política de privacidad con Firebase y anuncios.

Errores comunes y cómo resolverlos

• Google Sign-In funciona en debug pero falla en la versión de Play (error 12500). La guía de solución de problemas de Firebase atribuye el 12500 a que falta el correo de asistencia o falta el SHA: agrega el SHA-1 de release y el de Play Console, y configura el correo de asistencia del proyecto.
• «Huella digital no válida del certificado SHA-1». Suele aparecer cuando pegas un valor que no es SHA-1: por ejemplo, el SHA-256 (más largo) en el campo de SHA-1, o el texto con espacios o la etiqueta SHA1: incluida. Copia solo los 20 pares hexadecimales.
• «An OAuth2 client already exists for this package name and SHA-1 in another project». Firebase explica que ocurre cuando otro proyecto de Firebase o Google Cloud ya tiene un cliente OAuth con ese paquete y ese SHA-1. Elimina el cliente del proyecto viejo o usa ese proyecto.
• Cambiaste de computadora y dejó de funcionar en debug. Cada instalación de Android Studio genera su propio debug.keystore, así que el SHA-1 de debug cambia. Registra el nuevo.
• Perdiste el keystore de subida. No pierdes la app si usas firma de apps de Play: puedes solicitar el restablecimiento de la clave de subida desde Play Console. El SHA-1 de la clave de firma de la app no cambia.

Preguntas frecuentes

¿Cómo obtener el SHA-1 en Android Studio sin terminal?

Usa el panel Gradle › Tasks › android › signingReport y lee el resultado en la ventana Run. No necesitas escribir comandos.

¿El SHA-1 de debug sirve para producción?

No. El de debug solo identifica las builds que ejecutas desde tu equipo. Para usuarios reales necesitas el SHA-1 de la clave de firma de la app que muestra Play Console.

¿Para qué sirve el SHA-1?

Para que servicios como Acceso con Google, Firebase Authentication, Maps o Android App Links verifiquen que la app que hace la petición es la tuya.

¿El SHA-1 es secreto?

No. Es la huella del certificado público, pensada para compartirse con proveedores de APIs. Lo que nunca debes compartir es el archivo .jks ni sus contraseñas.

¿Dónde está el SHA-1 en Play Console?

En Protegida con Play › Distribución en Play Store › Firma de aplicaciones de Play, sección Clave de firma de aplicación.

Antes de publicar: deja todo listo con AppConsol

Registrar las huellas correctas evita que el login se rompa el día del lanzamiento, pero la ficha también necesita icono, capturas, política de privacidad y Data safety. En AppConsol puedes generar gratis tu política de privacidad, iconos y screenshots para Google Play y App Store, y llegar a la revisión con la ficha completa. Pruébalo hoy y publica sin sorpresas.