Un certificato di firma è l'identità crittografica associata a un'app Android. Gli sviluppatori lo usano per firmare i pacchetti delle app e Android ne verifica la firma quando un'app viene installata o aggiornata. Per un normale aggiornamento, il nuovo pacchetto deve essere firmato con la stessa identità di firma dell'app installata, nel rispetto delle regole di firma di Android.
Questo protegge la continuità dell'app: in genere, un editore diverso non può sostituire un'app installata tramite il normale processo di aggiornamento. Gli aggressori possono invece ricorrere all'ingegneria sociale, ad esempio convincendo un utente a disinstallare un'app bancaria legittima prima di installare un'imitazione trojanizzata. Questo non è un aggiramento del certificato di firma: sfrutta la fiducia dell'utente e le sue scelte di installazione. Gli utenti e chi si occupa della difesa dovrebbero considerare segnali d'allarme le richieste inattese di disinstallare e reinstallare un'app o le app provenienti da fonti sconosciute.