代码签名证书需要硬件令牌吗？硬件令牌与云签名怎么选

代码签名证书需要硬件令牌吗？答案是：不一定需要企业自己持有USB硬件令牌，但公开信任的代码签名证书需要按行业要求保护私钥。选择本地令牌方案，要连接Ukey调用私钥；选择云签名方案，则通过云端服务完成签名，无需在电脑上插入实体令牌。

两种方式都能服务于软件发布，区别主要在私钥管理、操作体验和工作流程。安信证书提供GlobalSign EV硬件令牌方案和Certum EV云签名方案，分别适合固定环境签名和希望减少实体设备管理的团队。下面从原理、优劣势、价格和安装流程展开说明，帮助企业做出合适的选择。

为什么代码签名会涉及硬件设备

代码签名的核心，是使用私钥对程序相关数据进行数字签名。用户系统再通过证书和对应的验证机制，检查发布者身份与文件完整性。如果私钥被盗，攻击者就可能滥用企业身份签署其他程序，因此私钥保护是代码签名的重要基础。

根据CA/Browser Forum《代码签名基线要求》，自2023年6月1日起，相关公开信任代码签名证书的订户私钥须在符合要求的硬件密码模块中生成、保存和使用。这项要求不只针对EV证书，也不能简单理解为普通OV证书仍可随意导出私钥。

需要区分的是，“硬件保护”不等于“每个人都必须收到一个Ukey”。硬件令牌是实现私钥保护的一种方式，符合要求的云端签名服务也可以通过受保护的密码模块管理私钥。因此，企业是否需要保管实体设备，取决于采用哪种交付方案。

本文讨论的是公开信任代码签名证书的常见使用方式。企业内部自建证书体系、测试证书和不同平台的专用签名机制，有各自的规则，不应直接套用同一套采购与部署结论。

另外，证书文件与私钥不是同一个东西。证书包含用于验证身份和签名的公开信息，能够查看或下载证书，不代表可以导出私钥。购买前问清“证书怎样交付”和“私钥怎样调用”，比只问有没有证书文件更有助于确定安装方案。

硬件令牌签名：私钥在设备里，操作在本地

硬件令牌通常以USB设备的形式交付，也常被称为Ukey。签名时，将令牌连接到已经配置好的电脑，通过驱动、管理软件和签名工具调用设备中的私钥。受保护的私钥不作为普通文件复制到其他电脑，而是在设备内部完成相应密码运算。

这种方式的优势，是设备保管与签名权限之间的关系比较直观。企业可以指定专人管理令牌，把正式签名安排在固定工作站完成。对于定期发布版本、由少数人员负责交付的团队，操作链条清晰，也方便形成内部管理制度。

本地令牌的签名运算不依赖云签名平台，但完整发布流程不等于全程离线。请求可信时间戳、获取相关验证信息或完成其他平台操作，仍会涉及网络。企业规划隔离环境时，需要把本地签名和外部服务访问分别考虑。

硬件方案的不足也很具体：需要等待设备交付，配置驱动和客户端；换电脑时需要重新检查环境；多人异地协作时，设备调配会增加管理成本。令牌丢失、损坏或PIN被锁定，都可能影响发布安排。

此外，把Ukey插在电脑上并不代表程序天然安全。若电脑被控制，或签名权限使用不当，私钥即使无法导出，也存在被调用的风险。因此，设备管理应与账号权限、终端防护和发布审批一起落实。

云签名：省去实体令牌，管理重点转向账户与授权

云签名由服务端管理受保护的私钥，开发者通过指定客户端、连接组件或受支持的接口发起签名操作。企业无需在本地插入Ukey，也无需安排设备在不同成员之间流转，工作重点转向账户、身份验证和签名授权。

它最直接的优势，是减少设备邮寄与保管环节。对于异地办公、开发电脑更换频繁，或者不希望维护USB设备的团队，云签名能够降低实体设备带来的操作负担。需要更换工作环境时，按产品要求配置客户端和授权即可。

云签名的边界同样需要理解。发起签名依赖网络和服务可用性，账户验证无法完成、服务异常或网络受限时，发布工作会受到影响。企业还需按照套餐管理签名资源，不能将云签名直接理解为无限次数或无限并发。

云签名也不自动等于无人值守签名。有些使用方式需要人工确认或额外身份验证，能否接入持续集成与持续交付流程，要看具体产品的接口、授权机制和使用条款。自动化团队应在选型阶段说明构建平台、运行环境和签名频率。

关于文件保密，还应核实实际数据流。不同方案对文件处理和摘要提交的设计并不相同，不能笼统承诺所有云签名都只传摘要，也不能认定都要上传完整程序。涉及保密代码时，应按所选方案的技术说明评估。

比较两种方案，先看工作方式再看价格

固定电脑、固定签名人员、发布频率稳定的团队，可以优先考虑硬件令牌。实体设备的保管边界清楚，配合一套成熟的本地操作记录，能够满足人工审核后正式发布的工作方式。

不方便接收或流转设备、希望减少硬件维护的团队，可以优先考虑云签名。它免去了本地Ukey环节，但仍需要配置客户端、账户和授权，不能把“无硬件令牌”理解为“零部署”。

如果企业每天有多次构建，要考虑的重点是授权机制、批量处理、并发能力、构建环境适配和失败恢复。把设备接入服务器并不自动获得合规的无人值守能力，购买云产品也不等于已经打通流水线。

成本比较则应覆盖证书、设备或服务套餐、部署工时及后续管理。单看年费容易忽略团队实际付出的维护成本。对小团队来说，操作简单和责任明确往往比功能数量更实用；对高频发布团队来说，稳定集成与权限控制更关键。

可以用一次实际发布来检验选择：开发人员完成构建后，谁审核文件、在哪里签名、谁完成身份验证、失败时谁处理？如果这些步骤都集中在固定岗位，本地令牌容易安排；如果设备流转已经成为工作障碍，云签名更值得考虑。具体方案应让现有流程更顺畅，而不是要求团队围绕一个新工具反复绕路。

硬件令牌产品推荐：GlobalSign EV代码签名证书

安信证书提供GlobalSign EV代码签名证书，价格为4000元/年，包含Ukey硬件令牌，并支持国内顺丰邮寄。该方案适合希望使用本地设备签名、由专人管理正式发布流程的企业。

GlobalSign EV通过扩展验证核实企业身份，可用于受支持的软件数字签名场景。对于Windows客户端和安装程序，企业可以在完成环境配置后使用相应工具签名，并通过验证结果确认发布者身份与文件完整性。

选择这款产品的重点，不只是获得一枚令牌。安信证书提供申请、审核及安装指导，协助企业衔接材料准备、设备交付和签名配置。对首次办理代码签名证书的团队，清楚的交付流程能够减少研发与采购之间的沟通成本。

如果项目涉及Windows内核驱动，还需按微软的相关要求办理开发者身份验证、提交、测试和签名等流程。EV证书可以参与相应流程，但不能把拥有证书等同于所有驱动均可通过本地签名直接发布。

云签名产品推荐：Certum EV代码签名证书

安信证书提供Certum EV代码签名证书，价格为2500元/年，采用云签名方式，无需邮寄Ukey。对于希望控制采购预算，同时减少实体令牌管理的企业，这款产品值得优先选择。

Certum EV适用于其支持的软件签名场景，包括.exe等程序文件。企业完成身份审核及账户配置后，通过产品支持的工具与授权流程使用签名服务，不需要为每次签名连接本地实体令牌。

推荐这款产品，是因为它在预算和交付方式上有明确特点：年费低于上述GlobalSign EV硬件方案，免去了实体Ukey的收发与保管。对采用人工或受支持流程完成签名的团队，这些差异能够直接影响日常操作安排。

如果需要多人协同、自动化构建或高频调用，应在采购时明确使用条件，由安信证书结合具体套餐协助选型。云端交付不代表允许随意共享账户，也不代表所列年费包含所有自动化功能，权限与使用范围仍应按产品方案执行。

硬件令牌怎么安装，云签名怎么开通

硬件方案先完成企业资料提交和身份审核，再按交付说明接收令牌。收到设备后，在签名电脑安装配套驱动和管理软件，完成要求的激活或初始化操作，设置并妥善保存PIN，然后检查工具能否识别证书及调用私钥。

以常见Windows程序为例，可使用Windows SDK中的SignTool进行签名。配置证书选择条件、摘要算法和可信时间戳服务后，先对测试文件操作，再检查签名和时间戳结果。算法与工具参数应匹配所选产品及目标平台要求。

云签名方案则在审核与服务开通后配置账户，安装指定客户端或连接组件，并完成身份验证。随后确认工具与证书可用，进行测试签名。需要特别记录授权如何触发、如何续期，以及网络异常时怎样恢复操作。

两种方案都应验证最终发布文件，而不只是确认签名工具显示成功。检查发布者名称、签名有效性和时间戳，并在目标系统中安装测试。程序修改、资源替换或重新打包后，应重新检查并签署相关文件。

遇到“找不到证书”或“无法访问私钥”，先检查工具运行账户、设备或服务连接，以及证书选择条件。硬件方案关注驱动与PIN状态，云签名关注登录、授权和网络。记录完整错误信息与工具版本，有助于安信证书技术支持定位问题，无需通过聊天发送私钥、PIN或账户密码。

首次部署成功后，应保存不含敏感凭据的配置说明，并记录测试文件、验证结果和操作负责人。电脑迁移、工具升级或人员交接时，按记录重新验证一遍。这样的操作文档能够减少对单个人员经验的依赖，也便于判断后续故障来自环境变化还是证书状态。

使用过程中，容易忽略的三个问题

首先是凭据管理。硬件方案需要保管设备与PIN，云签名需要保护账户及验证凭据。团队应明确谁能申请签名、谁负责审批、谁执行发布，人员离职或职责变化时同步调整权限，避免长期保留不再需要的访问能力。

其次是时间戳与续期。有效时间戳能够为签名时间提供可信依据，使符合验证条件的旧文件在证书到期后继续被验证，但结果仍受吊销状态、算法和验证策略影响。新版本发布需要有效的签名凭据，不能靠旧时间戳延长证书使用期限。

企业还应提前安排故障处理。令牌损坏或丢失后，不能假定复制一份证书就能恢复签名；云账户无法登录时，也需要按服务流程恢复访问。若怀疑凭据或私钥遭到滥用，应及时联系服务方处理。将这些情况纳入发布预案，可以减少临近交付时临时找解决办法的压力。

最后是对安全提示的预期。签名用于验证发布者和文件完整性，不等于软件已经通过安全检测。硬件令牌与云签名都不能保证程序不被安全软件拦截，EV证书也不能保证立即获得SmartScreen信誉。软件质量、分发渠道与信誉管理仍然重要。

所以，代码签名证书需要硬件令牌吗，关键在于企业选择的私钥保护与交付方案。安信证书的GlobalSign EV适合本地令牌签名，Certum EV适合云签名。明确工作流程后再选产品，才能让证书顺利融入每一次正式发布。

代码签名证书常见问题

1、代码签名证书没有Ukey可以使用吗？

可以，选择支持云签名的产品即可。安信证书提供的Certum EV代码签名证书无需邮寄Ukey，通过指定工具和授权流程完成签名，但仍需要安全保护私钥。

2、OV代码签名证书可以直接导出私钥吗？

不能把OV理解为可以随意导出私钥。相关公开信任代码签名证书同样受硬件私钥保护要求约束，证书验证等级与私钥存储方式是不同维度。

3、硬件令牌和云签名，哪一种更安全？

不能仅按本地或云端判断。两者都需要符合相应保护要求，实际安全性还取决于终端防护、身份验证、权限管理和发布审批。应结合企业管理能力选择。

4、云签名可以直接用于自动化发布吗？

需要产品支持相应接口与授权流程。云签名不自动代表无人值守签名，采购时应说明构建环境、调用频率和审批要求，确认具体方案。

5、首次采购推荐哪两款产品？

固定电脑使用本地令牌，可选安信证书GlobalSign EV，4000元/年，含Ukey；希望采用云签名，可选Certum EV，2500元/年，无需邮寄Ukey。