Belajar Desktop Developer - Packaging & Distribution

#Pendahuluan

CatatanKu sudah lengkap secara fungsional — UI, data lokal, background task, theming, aksesibilitas. Namun aplikasi yang belum bisa di-install pengguna bukanlah produk. Packaging mengubah folder proyek menjadi installer yang bisa didistribusikan: file .exe di Windows, .dmg di macOS, dan .deb/.AppImage di Linux. Distribution adalah cara installer itu sampai ke pengguna: website, store, atau update server.

Episode ini membahas target installer tiap platform, code signing (tanda tangan digital yang menentukan kepercayaan OS), dan strategi distribusi. Ini titik di mana banyak aplikasi bagus gagal di lapangan — installer yang gagal, peringatan "unknown publisher", atau unduhan yang diblokir antivirus.

#Target Installer per Platform

#Format yang Harus Diketahui

Setiap platform punya format installer yang menjadi harapan penggunanya:

{
  "bundle": {
    "active": true,
    "targets": ["nsis", "dmg", "deb", "appimage"],
    "icon": ["icons/32x32.png", "icons/128x128.png", "icons/icon.ico", "icons/icon.icns"],
    "category": "Productivity",
    "shortDescription": "Aplikasi catatan offline-first",
    "publisher": "CatatanKu",
    "windows": {
      "nsis": { "installerIcon": "icons/icon.ico", "installMode": "currentUser" }
    }
  }
}

{
  "build": {
    "appId": "id.catatanku.app",
    "productName": "CatatanKu",
    "win": {
      "target": ["nsis", "msi"],
      "publisherName": "CatatanKu"
    },
    "mac": {
      "target": ["dmg", "zip"],
      "category": "public.app-category.productivity"
    },
    "linux": {
      "target": ["AppImage", "deb"],
      "category": "Utility",
      "maintainer": "catatanku@example.com"
    }
  }
}

Pola yang sama untuk Flutter (flutter build + tools seperti msix untuk Windows, dmg builder untuk macOS). Kuncinya bukan menghafal semua format, melainkan memahami mana yang dipakai untuk audiens mana: enterprise Windows memakai MSI, pengguna Linux modern memakai Flatpak/AppImage, pengguna macOS menunggu DMG.

#Code Signing

#Mengapa OS Percaya (atau Tidak) pada Aplikasi Kalian

Saat pengguna menjalankan aplikasi, OS mengecek: siapa yang menandatangani binary ini? Tanda tangan digital membuktikan (1) identitas penerbit, dan (2) bahwa file tidak diubah sejak ditandatangani.

• Windows — tanpa sertifikat Authenticode, pengguna melihat SmartScreen: "Windows protected your PC". Aplikasi tidak diblokir total, tetapi kepercayaan turun drastis.
• macOS — tanpa sertifikat Developer ID + notarization, Gatekeeper memblokir aplikasi dengan dialog "cannot be opened because the developer cannot be verified". Klik kanak + Open hanya jalan untuk pengguna teknis.
• Linux — tidak ada mandatory signing; distribusi via repositori/distro build memakai tanda tangan distro, bukan pengembang.

# 1. Build unsigned
# 2. Tandatangani dengan Developer ID Application
codesign --deep --force --sign "Developer ID Application: CatatanKu" \
  "dist/CatatanKu.app"
# 3. Kirim ke Apple untuk notarization
xcrun notarytool submit "dist/CatatanKu.dmg" --wait
# 4. Tempel notary ticket ke installer
xcrun stapler staple "dist/CatatanKu.dmg"

# 1. Dapatkan sertifikat Authenticode dari CA (DigiCert, Sectigo, dll)
# 2. Sign semua file yang didistribusikan
signtool sign /f catatanku.pfx /p PASSWORD /tr http://timestamp.digicert.com \
  /td sha256 /fd sha256 "dist/CatatanKu Setup 1.0.0.exe"

Poin penting: signing harus berjalan di CI/CD (episode 17), dengan secret dikelola aman — bukan di laptop masing-masing developer.

#Strategi Distribusi

#Empat Jalur Utama

• Website + update server — unduh installer dari situs; versi terbaru dikelola auto-update (episode 13).
• App store / store platform — Microsoft Store, Mac App Store, Flathub, Snapcraft. Keuntungan: OS mengelola update dan sandbox; biaya: aturan review dan komisi.
• Enterprise deployment — MSI/GPO di Windows, JAMF/Intune di macOS, repositori apt/dnf di Linux.
• Package manager — brew, choco, scoop, winget untuk pengguna teknis.

#Metadata dan Reputasi

Installer yang baik memuat metadata yang benar:

• Version — harus sama persis dengan versi di update server; tidak konsisten = update rusak.
• Icon berkualitas — ikon adalah identitas di dock, taskbar, dan file explorer.
• Publisher name yang konsisten — nama berbeda di Windows vs macOS membingungkan pengguna.

#Common Pitfalls

• Tidak menandatangani — aplikasi tampak "berbahaya" bagi OS; konversi install turun drastis.
• Signing tanpa CI — sertifikat pribadi bocor, atau release manual yang tidak konsisten.
• Installer tanpa auto-update — pengguna terjebak versi lama selamanya (episode 13).
• Metadata tidak konsisten — appId/productName berubah antar build merusak update dan integrasi sistem.
• Windows Defender flag — biner yang tidak signed, atau memakai bundler yang dikenal, memicu deteksi palsu; signing + reputasi publisher membantu.

#Penutup

Inti yang harus dibawa pulang:

• Packaging mengubah proyek menjadi installer: NSIS/MSI, DMG/PKG, DEB/AppImage/Flatpak.
• Code signing adalah kepercayaan: wajib di Windows (SmartScreen) dan macOS (Gatekeeper + notarization).
• Distribusi lewat empat jalur: website, store, enterprise, package manager.
• Metadata konsisten (versi, publisher, icon) adalah fondasi update yang sehat.

Di episode 13 selanjutnya kita menyambungkan packaging ke pengguna jangka panjang: auto-update & versioning — saluran rilis, update tanpa gangguan, dan rollback yang aman. Sampai jumpa di episode 13!