Windows代码签名证书申请与signtool签名使用说明

当你的软件在用户电脑上弹出“未知发布者”的红色警告时，你是否意识到——这可能是用户放弃安装的最大原因？微软早已将代码签名设为强制性要求。正确获取并使用Windows代码签名证书，不仅是消除信任障碍的技术手段，更是保障产品合规上市的关键，本文将完整讲解Windows代码签名证书的申请流程与signtool签名使用方法。

　一、什么是Windows代码签名证书

Windows代码签名证书是一种数字证书，由权威CA机构签发，用于对.exe、.msi、.dll、.sys等可执行文件进行数字签名。它的核心作用有两层：一是向用户证明软件来源于真实可信的开发者；二是保护代码完整性，确保发布后未被篡改。

在Windows操作系统中，未经签名的软件会被SmartScreen筛选器标记为潜在风险。部署了Windows代码签名证书后，软件安装时可直接显示企业名称，消除“未知发布者”警告。

　二、Windows代码签名证书：OV还是EV

申请Windows代码签名证书的第一步，是选择合适的证书类型。目前主要分为两种：

OV代码签名证书（组织验证型）：验证企业基本身份，1-3个工作日签发。适合常规桌面应用程序（.exe、.msi）、工具软件等。。

EV代码签名证书（扩展验证型）：验证等级更高，需核实法人身份、企业地址等，3-7个工作日签发。私钥强制存储在硬件USB Key中。适合内核驱动程序签名，是通过微软WHQL认证的强制性前提。

选择建议：普通.exe/.msi软件选OV即可；Windows驱动程序必须选EV；内核模式驱动需EV+WHQL双重认证。EV证书可即时获得微软SmartScreen信誉，而OV需要数周下载积累才能消除拦截警告。

　三、Windows代码签名证书申请流程

Windows代码签名证书申请通常包含以下四个步骤：

第一步：准备申请材料。无论OV还是EV，核心材料基本一致：企业营业执照副本（需加盖公章）、法人身份证正反面照片、经办人身份信息、企业固定电话（用于接收验证电话）。

第二步：提交申请与身份核验。通过正规CA机构或其授权服务商提交申请。CA会通过政府数据库交叉核验企业信息，并拨打企业电话进行人工确认。EV证书审核更严格，可能包含额外验证步骤。选择安信证书等提供预审服务的服务商，可大幅降低审核驳回概率。

第三步：接收并安装证书。OV证书需自行将私钥导入硬件安全模块或USB令牌中。EV证书则由CA直接邮寄已预装私钥的专用硬件USB Key，首次使用需安装驱动并设置强密码。

第四步：使用SignTool为代码签名。签名操作主要在命令行中完成，核心工具是微软官方提供的SignTool.exe，通常包含在Windows SDK中。

　四、使用SignTool签名：详细命令说明

拿到Windows代码签名证书后，就可以使用SignTool进行签名了。

基础签名命令：

text

signtool sign/f”证书文件.pfx”/p”私钥密码”/fd SHA256/tr”http://timestamp.digicert.com””你的软件.exe”

关键参数说明：

/f：指定PFX格式的证书文件路径

/p：指定PFX证书的私钥密码

/fd SHA256：指定文件摘要算法，推荐SHA256

/tr：指定RFC 3161合规的时间戳服务器URL

/td SHA256：指定时间戳摘要算法，与/tr配合使用

使用硬件令牌签名（EV证书场景）：

text

signtool sign/a/tr http://timestamp.globalsign.com/tsa/r45standard/td SHA256/fd SHA256″你的软件.exe”

/a参数会自动从Windows证书存储中选择最合适的证书。

添加时间戳的重要性：时间戳允许签名在证书过期后仍然有效。务必在每次签名时都添加时间戳服务器。

验证签名：签名完成后，务必验证。方法一：右键点击文件→“属性”→“数字签名”选项卡查看详情。方法二：命令行运行：

text

signtool verify/pa”你的软件.exe”

Windows代码签名证书的申请与使用——选型OV或EV、准备材料提交审核、安装证书、使用SignTool完成签名——四步即可完成。普通桌面软件选OV，驱动开发必须选EV。选择安信证书这样的正规服务商，可以获得从材料预审到签名部署的专业支持。