Сначала проверьте здесь

Передайте .p12 на машину по защищённому каналу, импортируйте его в связку ключей, используемую для сборки, и убедитесь, что файл содержит соответствующий закрытый ключ. Одного сертификата без закрытого ключа недостаточно для подписи кода. Пароль для импорта задавайте через секретную переменную CI; не записывайте его в репозиторий, скрипт командной строки или обращение в поддержку.

security find-identity -v -p codesigning

Выполните проверку в среде пользователя, от имени которого работает runner. Если сертификат виден пользователю рабочего стола, это не значит, что к нему есть доступ у другой служебной учётной записи. Также проверьте, разблокирована ли связка ключей, добавлена ли она в список поиска этого пользователя и есть ли у процесса подписи необходимые права.

Используйте для сборки отдельную связку ключей и блокируйте её после завершения задачи согласно установленному порядку. Если нужна помощь, отправьте очищенный от конфиденциальных данных результат проверки идентификаторов и текст ошибки. Не отправляйте .p12, закрытый ключ или пароль для импорта.

Сверьте четыре параметра: Bundle ID, Team ID, назначение экспорта и entitlements. Для приложений с расширениями нужна отдельная конфигурация каждого подписываемого Target. Совпадение настроек основного приложения не гарантирует совпадение настроек расширений.

Также проверьте срок действия профиля, наличие в нём используемого сертификата и соответствие способа подписи параметрам экспорта. Для разработки и тестирования применяются другие настройки, чем для распространения. Не выбирайте профиль только по похожему имени файла.

Сохраните журнал этапа экспорта и очищенную от конфиденциальных данных копию ExportOptions.plist. В обращении укажите, где произошёл сбой: на этапе archive или exportArchive — это поможет сразу сузить круг причин.

Храните файл .p8 в каталоге с ограниченным доступом. Передавайте Key ID, Issuer ID и путь к файлу через секретные переменные CI. Используйте только те права, которые нужны для загрузки или автоматизации, и не вставляйте содержимое ключа прямо в lane или репозиторий.

API Key подходит для загрузки и управления в процессах, поддерживающих такой способ аутентификации, но не заменяет закрытый ключ сертификата, необходимый для локальной подписи кода. Если не удаётся загрузить сборку в TestFlight, выясните, связана ли ошибка с локальной подписью артефакта, аутентификацией API, правами приложения или сведениями о версии.

После смены ключа обновите конфигурацию runner и удалите старые ссылки на ключ. Если нужна помощь, укажите код ошибки без конфиденциальных данных и этап выполнения, но не отправляйте файл .p8.

Проверьте права на чтение репозитория с данными для подписи, пароль расшифровки, тип распространения, идентификатор приложения и настройки команды. Для обычной работы CI предпочтительно только считывать уже подготовленные данные для подписи, не создавая и не изменяя сертификаты при каждом запуске.

lane :prepare_signing do
  match(
    type: "appstore",
    readonly: true,
    app_identifier: ENV.fetch("APP_IDENTIFIER"),
    team_id: ENV.fetch("TEAM_ID")
  )
end

Управляйте учётными данными для доступа к репозиторию и паролем расшифровки отдельно. Если не удаётся прочитать данные, проверьте аутентификацию репозитория; если не удаётся расшифровать — пароль; если установка прошла успешно, но подпись не работает, проверьте связку ключей и профиль подготовки. Не сводите три разные проблемы к тому, что «match не работает».