Koodiallkirjastamise sertifikaadiga alustamine: installimine, seadistamine ja esimene allkirjastamistoiming

Võtme tagasivõtmine 

• Koodiallkirjastamissertifikaat võimaldab tarkvara krüptograafiliselt allkirjastada, et kasutajad ja operatsioonisüsteemid saaksid kontrollida, kes selle avaldas, ja kinnitada, et seda pole pärast avaldamist muudetud. 

• SSL.com väljastab koodiallkirjastamise privaatvõtmeid ainult FIPS-valideeritud riistvarale (YubiKey või Thales SafeNet USB tokenid) või pilvepõhisele e-allkirjastaja teenus — privaatvõtmeid ei saa kunagi allalaaditava failina eksportida .pfx faili. 

• Allkirjastamine toimub Microsofti abil. SignToolvõi e-allkirjastaja tööriista (e-allkirjastaja CKA, eSigner CodeSignToolvõi eSigner CSC API-ga), olenevalt sellest, kas teie sertifikaat asub tokenil või pilves. 

• Alates 1. märtsist 2026 piiravad CA/Browser Forumi baasnõuded avalikult usaldusväärsete koodiallkirjastamissertifikaatide kehtivust 458 päevaga; teie ostetud kehtivusaega see ei mõjuta, kuid selle kehtivusaja sees olevad üksikud sertifikaadid võivad vajada perioodilist uuesti väljastamist. 

• Ajatemplige oma allkirjad alati, et need jääksid kehtima ka pärast sertifikaadi kehtivusaja lõppu. 

Kõigi allkirjastamismeetodite ühised eeltingimused 

Enne alustamist, olenemata sellest, millist sertifikaadi edastusmeetodit kasutate, veenduge, et teil on olemas: 

• Windows SDK paigaldatud, mis sisaldab SignTool (SignTool on kaasas Windows 10/11 SDK-ga – eraldi allalaadimist pole vaja) 

• . fail, millele kavatsete alla kirjutada salvestatud lokaalselt ja ligipääsetav käsurealt 

• Administraatori juurdepääs allkirjastamismasinale, kuna mõned konfiguratsioonietapid ja SignTooli toimingud nõuavad kõrgendatud õigusi 

Siit edasi jaguneb seadistustee olenevalt sellest, kas teie sertifikaat on riistvaramärgil või registreeritud eSigneris. 

1. variant: märgipõhine koodiallkirjastamine 

SSL.com saadab koodiallkirjastamise sertifikaate kahel toetatud riistvaramärgil: YubiKey (FIPS-valideeritud) ja Thales SafeNet (Gemalto)See juhend eeldab, et teie tokenile on sertifikaat juba installitud. 

A. YubiKey koodiallkirjastamine 

Paigaldus- ja konfiguratsiooninõuded 

1. Installige Windows SDK ja SignTool. SignTool on kaasas Windows 10/11 SDK-ga ja installitakse tavaliselt sarnasel viisil: C: \ Program Files (x86) \ Windows Kits \ 10 \ bin \ \ x64 \ signtool.exe. 
2. Laadige alla ja installige YubiKey kiipkaardi minidraiver, saadaval Yubicost. See draiver on Windowsi jaoks FIPS-tokeni äratundmiseks vajalik. 
3. Leidke oma YubiKey PIN-kood. Teilt küsitakse seda PIN-koodi iga kord, kui allkirjastate. Seda saab teie SSL.com kontolt vaadata. 

Esimese faili allkirjastamine 

Kui token on ühendatud ja minidraiver installitud, avage PowerShell või käsuviip ja käivitage: 

.\signtool.exe sign /fd sha256 /a "C:\path\to\MyExecutable.exe" 

Siin on selle käsu iga osa toimimine: 

• .\signtool.exe käivitab SignTooli. Sõltuvalt teie SDK versioonist ja PATH-i konfiguratsioonist võite vajada täielikku teed signtool.exe. 

• /fd sha256 Määrab allkirjastamisel kasutatava räsialgoritmi. See lipp on kohustuslik Windows 10 SDK, HLK, WDK ja ADK järkude 20236 ja uuemate puhul ning tugevama turvalisuse tagamiseks on SHA256 soovitatav SHA1 asemel. 

• /a annab SignToolile käsu valida automaatselt sobiv koodiallkirjastamise sertifikaat – see on kasulik siis, kui olemas on ainult üks sertifikaat. 

• "C:\path\to\MyExecutable.exe" on allkirjastatava faili täielik tee. 

Toimingu autoriseerimiseks palutakse teil sisestada oma YubiKey PIN-kood. 

Ajatempli lisamine (soovitatav)

Ajatempli lisamine tagab, et teie allkiri jääb kehtima ka pärast sertifikaadi kehtivusaja lõppemist, kuna ajatempel tõestab, et kood allkirjastati ajal, mil sertifikaat oli veel kehtiv. Lisa /tr http://ts.ssl.com /td sha256 teie käsule — pange tähele, et SSL.com-i ajatempli server nõuab /tr lipp konkreetselt (mitte vanem /t lipp) ja /td peab tulema pärast /tr või SignTool valib vaikimisi nõrgema SHA-1 ajatempli algoritmi. 

B. Thales SafeNet (Gemalto) USB-pulk 

Paigaldus- ja konfiguratsiooninõuded 

1. Installige Windows SDK ja SignTool (nagu eespool). 
2. SafeNeti autentimiskliendi installimine, vahetarkvara, mis haldab Thales SafeNeti riistvara. Täieliku juhendi koos üksikasjalike allalaadimis- ja installimisjuhistega leiate aadressilt: SafeNeti autentimiskliendi allalaadimine koodi allkirjastamise sertifikaatide jaoks 
3. Aktiveeri oma Thales SafeNeti token. Sest SSL.com eelinstallib sertifikaadi tokenile enne saatmist, aktiveerimine toimub teie kaudu SSL.com konto, mitte lokaalselt: 
4. Leidke füüsilisele žetoonile trükitud seerianumber. 
5. Logige sisse oma SSL.com kontole ja avage Tellimused Tab. 
6. Klõpsake oma sertifikaadi tellimuse allalaadimise/üksikasjade lingil ja seejärel leidke Füüsilised žetoonid sektsiooni. 
7. Sisesta tokeni seerianumber selle aktiveerimiseks. See näitab sinu Aktiveerimise PIN-kood (nimetatakse ka parooliks Token Password, sisestatakse allkirjastamisel) ja teie Administraatori PIN-kood (nimetatakse ka PUK-koodiks, kasutatakse ainult lukustatud tokeni lähtestamiseks). 

Esimese faili allkirjastamine 

1. Ühenda Thales SafeNeti token oma arvutiga. 
2. Avage SafeNeti autentimisklient, et token tuvastataks. 
3. Käivita allkirjastamiskäsk: 

signtool sign /tr http://ts.ssl.com /td sha256 /fd sha256 /a "PATH_OF_FILE_TO_BE_SIGNED" 

• /fd sha256 — allkirjastamiseks kasutatav kokkuvõtealgoritm 

• /tr http://ts.ssl.com — SSL.com ajatempli serveri aadress 

• /td sha256 — ajatempli kokkuvõtte algoritm 

• /a — valib automaatselt sobiva sertifikaadi 

• Faili tee peaks olema jutumärkides ja sisaldama failinime ennast, nt "C:\Users\Admin\Documents\test file.dll". 

Kui Windows teatab, et allkirja tööriist ei tuvastata käsuna, asenda allkirja tööriist käsus koos täieliku jutumärkides oleva teega signtool.exe (täpne tee sõltub teie installitud SDK versioonist ja arhitektuurist). 

1. Käivita käsuviip administraatorina ja käivitage käsk. 
2. Kui küsitakse, sisestage oma Token parool (aktiveerimis-PIN-kood teie SSL.com tellimislehelt). 
3. Eduteade kinnitab faili allkirjastamist. 

Kui teie token lukustub või peate selle parooli muutma, ärge proovige PIN-koodi korduvalt ära arvata, kuna see võib tokeni lukustada. 

Allkirja kontrollimine (mõlemad märgitüübid) 

Pärast allkirjastamist veenduge allkirja kehtivuses: 

.\signtool.exe verify /pa "C:\path\to\MyExecutable.exe" 

Eduka tulemuse korral kuvatakse kasutatud algoritm ja ajatempli. Samuti saate allkirjastatud failil paremklõpsata ja avada Kinnisvaraja kontrollige Digitaalallkirjad vahekaarti allkirjastaja identiteedi ja allkirjastamiskuupäeva visuaalseks kinnitamiseks. 

2. võimalus: SSL.com eSigneri pilvekoodi allkirjastamine 

Kui füüsiliste tokenite haldamine pole teie meeskonna jaoks praktiline – eriti hajutatud arendajate või automatiseeritud ehitustorustike puhul – e-allkirjastaja võimaldab teil koodi kaugelt allkirjastada mis tahes internetiühendusega seadmest, kusjuures privaatvõti on kaitstud SSL.com pilve HSM-is, mitte teie hallataval riistvaral. eSigneri koodiallkirjastamiseks on vaja EV-koodiallkirjastamissertifikaati ja see toetab laia valikut failitüüpe, sealhulgas Microsoft Authenticode'i vorminguid (exe, Dll, .sys, .ocx-failja teised), MSI installijad, PowerShelli skriptid, CAB- ja CAT-failid, Java jar faile ja – eSigner CKA kaudu allkirjastamisel – ka MSIX-, MDB- ja ACCDE-faile. Koodiallkirjastamise maksimaalne failisuurus on 200 MB, olenemata sellest, kas kasutate eSigner Expressi või eSigner API-t. 

1. samm: registreerige oma sertifikaat eSigneris 

Enne millelegi allkirjastamist tuleb teie sertifikaaditellimus registreerida eSigneris ja siduda kahefaktorilise autentimisega (2FA), mis on nõutav iga allkirjastamistoimingu puhul. Teil on kaks registreerimisteed: 

QR-koodi (autentimisrakenduse) meetod 

1. Logige sisse oma SSL.com kontole, klõpsake Tellimusedja avage oma sertifikaadi tellimuse üksikasjade leht. 
2. Leia eSigner Cloud Signing registreerimine jaotis ja valige OTP RAKENDUS kui teie teise teguri meetod. 
3. Looge neljakohaline PIN-kood ja salvestage see turvaliselt – ideaaljuhul paroolihaldurisse, kuna vajate seda hiljem allkirjastamisseadmete lisamiseks, eemaldamiseks või asendamiseks. 
4. Click luua OTP ja väljastada sertifikaatIlmub QR-kood. 
5. Skannige QR-koodi autentimisrakendusega, näiteks Google Authenticatori või Authyga. Rakendus genereerib nüüd 30-sekundilised ühekordsed paroolid, mida kasutatakse iga tulevase allkirjastamistoimingu jaoks. Pange tähele, et QR-koodi kuvatakse ainult üks kord – see ei ilmu uuesti, kui lehte uuesti laadite. 

OTP SMS-meetod 

1. Logi sisse oma SSL.com kontole (vali õige meeskond, kui kuulud mitmesse), klõpsa Tellimusedja avage oma sertifikaadi üksikasjade leht. 
2. alla Teise teguri autentiminevalige OTP SMS. 
3. aasta Mobiilinumbri kinnitamine jaotises valige oma riigikood, sisestage oma mobiilinumber ja klõpsake saada OTP SMS. 
4. Otsi oma telefonist 6-kohalist koodi saidilt „AuthMSG” (SSL.com-i kinnitusteenus), sisesta see tellimislehel ja klõpsa telefoni kinnitamine. 
5. Kui olete kinnitanud, klõpsake luua OTP ja väljastada sertifikaat registreerimise lõpetamiseks. Seejärel kuvatakse teie konto lehel kinnitatud telefoninumbri neli viimast numbrit. 

2. samm: valige allkirjastamisvahend 

Kui olete registreerunud, valige allkirjastamismeetod, mis sobib teie töövoogudega: 

eSigner Cloud Key Adapter (CKA) 

 Windowsi rakendus, mis käitub nagu virtuaalne USB-token, laadides teie pilvepõhise sertifikaadi Windowsi sertifikaadipoodi, et tuttavad tööriistad (nt signtool.exe ja certutil.exe saab seda otse kasutada. See on parim valik meeskondadele, kes soovivad jätkata olemasolevate SignToolil põhinevate töövoogude kasutamist ilma füüsilise riistvarata. 

Nõuded: eSigneris registreeritud sertifikaat; eSigneri CKA installitud ja käsitsi või automaatseks allkirjastamiseks konfigureeritud; Windowsi SDK/SignTool installitud; allkirjastatav fail salvestatud kohapeal; ja käsitsi allkirjastamiseks valmis kahefaktoriline autentimismeetod. 

Tüüpiline CKA allkirjastamiskäsk näeb välja selline: 

"C:\Program Files (x86)\Windows Kits\10\bin\10.0.22000.0\x86\signtool.exe" sign /fd sha256 /tr http://ts.ssl.com /td sha256 /sha1 CERTIFICATE_THUMBPRINT "SIGNABLE_FILE_PATH" 

• /fd sha256 — räsialgoritm 

• /tr http://ts.ssl.com ja /td sha256 — ajatempli server ja kokkuvõtealgoritm 

• /sha1 CERTIFICATE_THUMBPRINT — tuvastab sertifikaadihoidlast sõrmejälje abil, millist sertifikaati kasutada 

• Allkirjastatava faili tee peaks olema jutumärkides 

Mõned failitüübid vajavad enne eSigner CKA allkirjastamist täiendavat konfigureerimist. SSL.com haldab iga tüübi jaoks spetsiaalseid juhendeid: 

• Riistvaralabori komplekti (HLK) failide allkirjastamine — eSigner CKA kasutamine koos HLKSigntooliga kerneli režiimi draiverite ettevalmistamiseks Microsoftile esitamiseks 

• VBA makrode allkirjastamine — Office'i ülesannete automatiseerimiseks kasutatavate Microsoft Visual Basic for Applicationsi makrode allkirjastamine 

• .app-failide allkirjastamine — Microsofti täieliku rakenduslahenduse identiteedi turvaline määratlemine ja sellele viitamine 

• .vsix-failide allkirjastamine — Visual Studio laienduste ja lisandmoodulite pakettide allkirjastamine 

eSigner CKA integreerub ka CI/CD platvormidega, sealhulgas CircleCI, GitHub Actions, GitLab CI, Travis CI ja Azure Pipelines, et võimaldada täisautomaatset allkirjastamist. 

eSigner CodeSignTool 

Platvormideülene Java-põhine käsurea utiliit, mis on loodud automatiseeritud ja suuremahuliseks allkirjastamiseks, sealhulgas CI/CD torujuhtmed. Teie tegeliku faili edastamise asemel saadab CodeSignTool allkirjastamiseks SSL.com-ile ainult faili krüptograafilise räsi, mis on oluline eelis, kui teie failid sisaldavad tundlikku koodi, mis ei tohiks teie võrgust lahkuda. 

CI/CD automatiseerimiseks tugineb CodeSignTool järgmistele keskkonnamuutujatele: 

Ja need sisendid: 

• sisendfaili_tee (nõutav) — allkirjastatava faili tee 

• väljundi_kataloogi_tee — allkirjastatud faili sihtkataloog; kui see puudub, kirjutatakse algne fail allkirjastatud versiooniga üle 

Platvormipõhised integratsioonijuhendid on saadaval ka järgmiste pealkirjade all: 

• Pilvekoodi allkirjastamise integreerimine CircleCI-ga 

• Pilvekoodi allkirjastamise integreerimine GitHubi toimingutega 

• Pilvekoodi allkirjastamise integreerimine GitLab CI-ga 

• Pilvekoodi allkirjastamise integreerimine Travis CI-ga 

• Pilvekoodi allkirjastamise integreerimine Jenkins CI-ga 

• Pilvekoodi allkirjastamise integreerimine Azure DevOpsiga 

• Pilvekoodi allkirjastamise integreerimine BitBucketiga 

Korduma kippuvad küsimused 

Kas ma saan oma koodiallkirjastamise privaatvõtme eksportida, et seda teises masinas kasutada? Ei. CA/brauserifoorumi baasnõuete kohaselt ei saa SSL.com-i koodiallkirjastamise privaatvõtmeid eksportida ja neid ei väljastata kunagi allalaaditavana. .pfx faile. Võtmed asuvad ainult FIPS-valideeritud YubiKey-l, Thales SafeNet tokenil või SSL.com-i eSigneri pilve HSM-is. 

Miks mu sertifikaadi kehtivusaeg lühenes? Alates 1. märtsist 2026 piiravad CA/Browser Forumi baasnõuded avalikult usaldusväärsete koodiallkirjastamissertifikaatide maksimaalse kehtivusaja 458 päevaga. See ei vähenda ostetud toote väärtust – SSL.com hakkas uute sertifikaatide väljastamise ülempiiri jõustama alates 27. veebruarist 2026 ja kliendid saavad endiselt kogu ostetud kehtivusaja, kuigi selle tähtaja jooksul võib üksikuid sertifikaate olla vaja sagedamini uuesti välja anda. 

Kas ma pean oma allkirjastatud koodi ajatempli panema? Jah. Ilma usaldusväärse ajatemplita muutub teie allkiri kehtetuks hetkel, mil sertifikaat aegub. Ajatempliga jääb allkiri usaldusväärseks tähtajatult, kuna see tõestab, et kood allkirjastati ajal, mil sertifikaat oli kehtiv. 

Mis vahe on token-põhisel allkirjastamisel ja e-allkirjastamisel? Tokenipõhine allkirjastamine (YubiKey või Thales SafeNet) hoiab teie privaatvõtit füüsilisel riistvaral, mis peab olema ühendatud allkirjastamismasinaga. eSigner hoiab võtit SSL.com pilvepõhises HSM-is ja võimaldab teil allkirjastada mis tahes internetiühendusega seadmest, kasutades 2FA-d – see sobib paremini hajutatud meeskondadele või CI/CD automatiseerimisele. 

Milliseid failitüüpe saan eSigneriga allkirjastada? eSigner toetab Microsoft Authenticode'i vorminguid (EXE, DLL, SYS, OCX ja seotud tüübid), MSI installeerijaid, PowerShelli skripte, CAB/CAT-faile ja Java JAR-faile, lisaks MSIX-i, MDB-d ja ACCDE-d, kui need on allkirjastatud eSigner CKA kaudu. Dokumentide allkirjastamist (PDF, DOCX, PPTX, XLSX) käsitletakse eraldi eSigneri dokumentide allkirjastamise tööriistade abil. 

Järeldus 

Olenemata sellest, kas allkirjastate aeg-ajalt installifaili ühest arendaja masinast või automatiseerite tuhandeid allkirjastamistoiminguid CI/CD torujuhtme kaudu, on peamine eesmärk sama: tõestada oma klientidele, partneritele ja operatsioonisüsteemidele, et teie tarkvara on täpselt see, mida te väidate, ja et seda pole pärast selle väljaandmist muudetud. Tokenipõhine allkirjastamine YubiKey või Thales SafeNeti abil annab teile otsese, riistvaralise kontrolli, mis sobib hästi väiksematele meeskondadele või harvaesinevatele allkirjastamisvajadustele, samas kui eSigneri pilvepõhine mudel kõrvaldab füüsiliste tokenite hõõrdumise täielikult – võimaldades hajutatud meeskondadel ja automatiseeritud ehitussüsteemidel koodi turvaliselt kõikjalt allkirjastada. 

Kui teie allkirjastamiskeskkond on õigesti konfigureeritud, muutub igapäevane protsess rutiinseks: räsi, allkirjastamine, ajatempel, kontrollimine. Esimesel korral õigesti tehes tähendab see vähem brauseri ja operatsioonisüsteemi turvahoiatusi, tugevamat brändi usaldust ja sujuvamat teed CA/Browser Forumi nõuete järgimisele, kuna need arenevad pidevalt. Kui teil tekib oma seadistusega seotud küsimusi, siis SSL.com-i tugimeeskond on saadaval e-posti teel aadressil Support@SSL.com, telefoni teel aadressil 1-877-SSL-SECUREvõi reaalajas vestluse kaudu.