Flujo: firma con un certificado Developer ID Application o Developer ID Installer y el entorno de ejecución reforzado (hardened runtime), ejecuta xcrun notarytool submit app.zip --wait con una clave de API de App Store Connect o una contraseña específica de app y, después, aplica xcrun stapler staple a la app, al DMG o al paquete para que Gatekeeper pueda comprobarlo sin conexión. Desde el 1 de noviembre de 2023, el servicio solo acepta envíos de notarytool (o de Xcode 14 y posteriores), no de la vía retirada de altool.
La notarización no es App Review: comprueba si hay malware conocido y problemas de firma, no el comportamiento. Gatekeeper, en las versiones actuales de macOS, bloquea por defecto el software Developer ID sin notarizar, así que, en la práctica, distribuir fuera de la App Store la exige.