Un certificato di firma dell'app identifica la chiave usata per firmare un'app Android. Android usa questa identità per verificare che un aggiornamento provenga dallo stesso sviluppatore dell'app installata. Per i normali aggiornamenti, il nuovo pacchetto deve essere firmato con la chiave corrispondente; in genere, un certificato diverso non può sostituire direttamente l'app esistente.
Questo protegge l'integrità dell'app rendendo più difficili le sostituzioni non autorizzate. Gli aggressori potrebbero tentare di aggirare il controllo convincendo un utente a disinstallare un'app attendibile prima di installarne una copia modificata e firmata con un'altra chiave. Si tratta di un'operazione diversa da un normale aggiornamento e potrebbe compromettere i controlli di sicurezza integrati nell'app. Installa o aggiorna le app bancarie tramite la loro pagina ufficiale nello store o un canale attendibile e fai attenzione a richieste insolite di rimuoverle o reinstallarle.