Komme i gang med kodesigneringssertifikatet ditt: Installasjon, konfigurasjon og din første signeringsoperasjon

Nøkkelfunksjoner 

• Et kodesigneringssertifikat lar deg signere programvare kryptografisk, slik at brukere og operativsystemer kan bekrefte hvem som publiserte den og at den ikke har blitt tuklet med siden utgivelsen. 

• SSL.com utsteder kun private nøkler for kodesignering til FIPS-validert maskinvare (YubiKey- eller Thales SafeNet USB-tokens) eller til den skybaserte eSigner tjeneste – private nøkler kan aldri eksporteres som nedlastbare .pfx filen. 

• Signering utføres med Microsofts SignTooleller et eSigner-verktøy (eSigner CKA, eSigner CodeSignTooleller eSigner CSC API), avhengig av om sertifikatet ditt ligger på et token eller i skyen. 

• Fra og med 1. mars 2026 begrenser CA/Browser Forum Baseline Requirements gyldigheten av offentlig klarerte kodesigneringssertifikater til 458 dager. Den kjøpte perioden påvirkes ikke, men individuelle sertifikater innenfor denne perioden kan trenge periodisk nyutstedelse. 

• Bruk alltid tidsstempler på signaturene dine, slik at de forblir gyldige etter at selve sertifikatet utløper. 

Forutsetninger som er felles for alle signeringsmetoder 

Før du begynner, uansett hvilken sertifikatleveringsmetode du bruker, må du sørge for at du har: 

• Windows SDK installerte, Som omfatter SignTool (SignTool leveres med Windows 10/11 SDK – ingen separat nedlasting kreves) 

• Ocuco filen du har tenkt å signere lagret lokalt og tilgjengelig fra kommandolinjen 

• Administratortilgang på signeringsmaskinen, siden noen konfigurasjonstrinn og SignTool-operasjoner krever utvidede tillatelser 

Herfra deler konfigurasjonsstien seg avhengig av om sertifikatet ditt er på et maskinvaretoken eller registrert i eSigner. 

Alternativ 1: Tokenbasert kodesignering 

SSL.com sender kodesigneringssertifikater på to støttede maskinvaretokener: YubiKey (FIPS-validert) og Thales SafeNet (Gemalto)Denne veiledningen forutsetter at et sertifikat allerede er installert på tokenet ditt. 

A. YubiKey-kodesignering 

Krav til installasjon og konfigurasjon 

1. Installer Windows SDK og SignTool. SignTool følger med Windows 10/11 SDK og installeres vanligvis på en sti som ligner på C: \ Program Files (x86) \ Windows Kits \ 10 \ bin \ \ x64 \ signtool.exe. 
2. Last ned og installer YubiKey Smart Card Minidriver, tilgjengelig fra Yubico. Denne driveren er nødvendig for at Windows skal gjenkjenne FIPS-tokenet. 
3. Finn YubiKey-PIN-koden din. Du vil bli bedt om denne PIN-koden hver gang du signerer. Den er synlig fra din SSL.com-konto. 

Signering av din første fil 

Med tokenet tilkoblet og minidriveren installert, åpne PowerShell eller ledeteksten og kjør: 

.\signtool.exe sign /fd sha256 /a "C:\path\to\MyExecutable.exe" 

Her er hva hver del av kommandoen gjør: 

• .\signtool.exe starter SignTool. Avhengig av SDK-versjonen din og hvordan PATH-en din er konfigurert, kan det hende du i stedet trenger den fullstendige banen til signtool.exe. 

• /fd sha256 Angir digest-algoritmen (hash-algoritmen) som brukes ved signering. Dette flagget er obligatorisk på Windows 10 SDK, HLK, WDK og ADK builds 20236 og nyere, og SHA256 anbefales fremfor SHA1 for sterkere sikkerhet. 

• /a forteller SignTool at det automatisk skal velge et passende kodesigneringssertifikat – nyttig når bare ett sertifikat er tilstede. 

• "C:\path\to\MyExecutable.exe" er den fullstendige banen til filen du signerer. 

Du vil bli bedt om å oppgi YubiKey-PIN-koden din for å autorisere operasjonen. 

Legge til et tidsstempel (anbefales)

Tidsstempling sikrer at signaturen din forblir gyldig selv etter at sertifikatet utløper, siden tidsstempelet beviser at koden ble signert mens sertifikatet fortsatt var gyldig. /tr http://ts.ssl.com /td sha256 til kommandoen din — merk at SSL.coms tidsstempelserver krever /tr flagg spesifikt (ikke den eldre /t flagg), og /td må komme etter /tr eller SignTool vil stille gå tilbake til den svakere SHA-1-tidsstempelalgoritmen. 

B. Thales SafeNet (Gemalto) USB-token 

Krav til installasjon og konfigurasjon 

1. Installer Windows SDK og SignTool (som ovenfor). 
2. Installer SafeNet-autentiseringsklient, mellomprogramvaren som administrerer Thales SafeNet-maskinvare. For den komplette veiledningen, med detaljerte nedlastings- og installasjonsinstruksjoner, se: SafeNet Authentication Client Nedlasting for kodesigneringssertifikater 
3. Aktiver Thales SafeNet-tokenet ditt. Fordi SSL.com forhåndsinstallerer sertifikatet på tokenet før forsendelse, gjøres aktiveringen gjennom din SSL.com-konto i stedet for lokalt: 
4. Finn serienummeret som er trykt på den fysiske tokenen. 
5. Logg inn på SSL.com-kontoen din og åpne Mine ordre fanen. 
6. Klikk på nedlastings-/detaljer-lenken for sertifikatbestillingen din, og finn deretter Fysiske tokens seksjon. 
7. Skriv inn serienummeret på tokenet for å aktivere det. Dette avslører din Aktiverings-PIN (også kalt tokenpassordet, som oppgis ved signering) og ditt Administrator-PIN (også kalt PUK, brukes kun til å tilbakestille en låst token). 

Signering av din første fil 

1. Koble Thales SafeNet-tokenet til datamaskinen din. 
2. Åpne SafeNet Authentication Client slik at tokenet gjenkjennes. 
3. Kjør signeringskommandoen: 

signtool sign /tr http://ts.ssl.com /td sha256 /fd sha256 /a "PATH_OF_FILE_TO_BE_SIGNED" 

• /fd sha256 — digest-algoritme brukt til signering 

• /tr http://ts.ssl.com — SSL.coms tidsstempelserveradresse 

• /td sha256 — tidsstempelfordøyelsesalgoritme 

• /a — velger automatisk et passende sertifikat 

• Filbanen skal være omsluttet av doble anførselstegn og inkludere selve filnavnet, f.eks. "C:\Users\Admin\Documents\test file.dll". 

Hvis Windows rapporterer at skiltverktøy ikke gjenkjennes som en kommando, erstatt skiltverktøy i kommandoen med den fullstendige siterte stien til signtool.exe (den nøyaktige banen avhenger av den installerte SDK-versjonen og arkitekturen). 

1. Kjør ledetekst som administrator og utfør kommandoen. 
2. Når du blir bedt om det, skriv inn din Token passord (aktiverings-PIN-en fra din SSL.com bestillingsside). 
3. En vellykketmelding bekrefter at filen er signert. 

Hvis tokenet ditt blir låst, eller du må endre passordet, må du ikke forsøke å gjette PIN-koden gjentatte ganger, da dette kan låse tokenet. 

Bekrefte signaturen din (begge tokentyper) 

Etter signering, bekreft at signaturen er gyldig: 

.\signtool.exe verify /pa "C:\path\to\MyExecutable.exe" 

Et vellykket resultat viser algoritmen og tidsstempelet som ble brukt. Du kan også høyreklikke på den signerte filen, åpne Eiendommer, og sjekk Digitale signaturer fanen for å visuelt bekrefte signatarens identitet og signeringsdato. 

Alternativ 2: SSL.com eSigner Cloud-kodesignering 

Hvis det ikke er praktisk for teamet ditt å administrere fysiske tokens – spesielt for distribuerte utviklere eller automatiserte byggepipeliner – eSigner lar deg signere kode eksternt fra en hvilken som helst internettilkoblet enhet, med den private nøkkelen sikret i SSL.coms skybaserte HSM i stedet for på maskinvare du administrerer. eSigner-kodesignering krever et EV-kodesigneringssertifikat og støtter et bredt spekter av filtyper, inkludert Microsoft Authenticode-formater (.exe, . Dll, SYS, .ocxog andre), MSI-installasjonsprogrammer, PowerShell-skript, CAB- og CAT-filer, Java . Jar filer, og – når de signeres via eSigner CKA – også MSIX-, MDB- og ACCDE-filer. Maksimal filstørrelse er 200 MB for kodesignering, uavhengig av om du bruker eSigner Express eller eSigner API. 

Trinn 1: Registrer sertifikatet ditt i eSigner 

Før du kan signere noe, må sertifikatbestillingen din registreres i eSigner og kobles til tofaktorautentisering (2FA), som kreves ved hver signeringsoperasjon. Du har to registreringsveier: 

QR-kodemetode (autentiseringsapp) 

1. Logg inn på din SSL.com-konto, klikk Mine ordre, og åpne detaljsiden for sertifikatbestillingen din. 
2. Finn det eSigner Cloud Signing-registrering delen og velg OTP-APP som din andrefaktormetode. 
3. Opprett en firesifret PIN-kode og lagre den sikkert – ideelt sett i en passordbehandler, siden du trenger den igjen for å legge til, fjerne eller erstatte signeringsenheter senere. 
4. Klikk opprette OTP og utstede sertifikatEn QR-kode vises. 
5. Skann QR-koden med en autentiseringsapp som Google Authenticator eller Authy. Appen vil nå generere 30-sekunders engangspassord som brukes for hver fremtidig signeringsoperasjon. Merk at QR-koden bare vises én gang – den vil ikke lastes inn igjen hvis du laster inn siden på nytt. 

OTP SMS-metode 

1. Logg inn på din SSL.com-konto (velg riktig team hvis du tilhører mer enn ett), klikk Mine ordre, og åpne detaljsiden for sertifikatet ditt. 
2. Under Andre faktor autentisering, plukke ut OTP SMS. 
3. på Bekreftelse av mobilnummer seksjonen, velg landskode, skriv inn mobilnummeret ditt og klikk på send engangskode-SMS. 
4. Sjekk telefonen din for en 6-sifret kode fra «AuthMSG» (SSL.coms verifiseringstjeneste), skriv den inn på bestillingssiden og klikk på bekrefte telefonen. 
5. Når du er bekreftet, klikker du på opprette OTP og utstede sertifikat for å fullføre registreringen. Kontosiden din vil deretter vise de fire siste sifrene i det bekreftede telefonnummeret. 

Trinn 2: Velg et signeringsverktøy 

Når du er registrert, velg signeringsmetoden som passer din arbeidsflyt: 

eSigner Cloud Key Adapter (CKA) 

 Et Windows-program som oppfører seg som et virtuelt USB-token, og laster inn det skybaserte sertifikatet ditt i Windows-sertifikatlageret slik at kjente verktøy som signtool.exe og certutil.exe kan bruke den direkte. Dette er det beste alternativet for team som ønsker å fortsette å bruke eksisterende SignTool-baserte arbeidsflyter uten fysisk maskinvare. 

Krav: sertifikat registrert i eSigner; eSigner CKA installert og konfigurert for manuell eller automatisk signering; Windows SDK/SignTool installert; filen som skal signeres lagret lokalt; og, for manuell signering, er 2FA-metoden din klar. 

En typisk CKA-signeringskommando ser slik ut: 

"C:\Program Files (x86)\Windows Kits\10\bin\10.0.22000.0\x86\signtool.exe" sign /fd sha256 /tr http://ts.ssl.com /td sha256 /sha1 CERTIFICATE_THUMBPRINT "SIGNABLE_FILE_PATH" 

• /fd sha256 — hash-algoritme 

• /tr http://ts.ssl.com og /td sha256 — tidsstempelserver og digest-algoritme 

• /sha1 CERTIFICATE_THUMBPRINT — identifiserer hvilket sertifikat som skal brukes fra sertifikatlageret med tommelavtrykk 

• Den signerbare filbanen skal være angitt 

Noen filtyper trenger ekstra konfigurasjon før eSigner CKA kan signere dem. SSL.com har dedikerte veiledninger for hver: 

• Signering av HLK-filer (Hardware Lab Kit) — bruker eSigner CKA med HLKSigntool for å klargjøre kjernemodusdrivere for innsending til Microsoft 

• Signering av VBA-makroer — signering av Microsoft Visual Basic for Applications-makroer som brukes til å automatisere Office-oppgaver 

• Signering av .app-filer — sikker definering og referanse til identiteten til en komplett Microsoft-applikasjonsløsning 

• Signering av .vsix-filer — signering av Visual Studio-utvidelses- og tilleggspakker 

eSigner CKA integreres også med CI/CD-plattformer, inkludert CircleCI, GitHub Actions, GitLab CI, Travis CI og Azure Pipelines for helautomatisert signering. 

eSigner CodeSignTool 

Et Java-basert kommandolinjeverktøy på tvers av plattformer, bygget for automatisert signering av store mengder, inkludert CI/CD-pipelines. I stedet for å overføre den faktiske filen, sender CodeSignTool bare en kryptografisk hash av filen til SSL.com for signering, noe som er en betydelig fordel hvis filene dine inneholder sensitiv kode som ikke skal forlate nettverket ditt. 

For CI/CD-automatisering er CodeSignTool avhengig av følgende miljøvariabler: 

Og disse inngangene: 

• input_file_path (obligatorisk) – banen til filen som skal signeres 

• output_dir_path — målkatalog for den signerte filen; hvis utelatt, overskrives den originale filen med den signerte versjonen 

Plattformspesifikke integrasjonsveiledninger er også tilgjengelige under følgende titler: 

• Cloud Code Signing-integrasjon med CircleCI 

• Cloud Code Signing-integrasjon med GitHub Actions 

• Cloud Code Signing-integrasjon med GitLab CI 

• Cloud Code Signing-integrasjon med Travis CI 

• Cloud Code Signing-integrasjon med Jenkins CI 

• Cloud Code Signing-integrasjon med Azure DevOps 

• Cloud Code Signing-integrasjon med BitBucket 

Ofte Stilte Spørsmål 

Kan jeg eksportere den private nøkkelen for kodesignering for bruk på en annen maskin? Nei. I henhold til CA/Browser Forum Baseline-kravene, SSL.com-kodesignerings private nøkler kan ikke eksporteres og utstedes aldri som nedlastbare. .pfx filer. Nøkler ligger bare på en FIPS-validert YubiKey, et Thales SafeNet-token eller i SSL.coms eSigner Cloud HSM. 

Hvorfor ble gyldighetsperioden for sertifikatet mitt kortere? Fra og med 1. mars 2026 setter CA/Browser Forum Baseline Requirements en grense for den maksimale gyldigheten av offentlig klarerte kodesigneringssertifikater til 458 dager. Dette reduserer ikke verdien av det du kjøpte – SSL.com begynte å håndheve grensen for utstedelse av nye sertifikater fra 27. februar 2026, og kunder mottar fortsatt hele perioden de kjøpte, selv om individuelle sertifikater innenfor den perioden kanskje må utstedes på nytt oftere. 

Må jeg tidsstemple den signerte koden min? Ja. Uten et klarert tidsstempel blir signaturen din ugyldig i det øyeblikket sertifikatet utløper. Med et tidsstempel forblir signaturen klarert på ubestemt tid, siden det beviser at koden ble signert mens sertifikatet var gyldig. 

Hva er forskjellen mellom tokenbasert signering og eSigner? Tokenbasert signering (YubiKey eller Thales SafeNet) oppbevarer din private nøkkel på fysisk maskinvare som må kobles til signeringsmaskinen. eSigner oppbevarer nøkkelen i SSL.coms skybaserte HSM og lar deg signere fra enhver internettilkoblet enhet ved hjelp av 2FA – bedre egnet for distribuerte team eller CI/CD-automatisering. 

Hvilke filtyper kan jeg signere med eSigner? eSigner støtter Microsoft Authenticode-formater (EXE, DLL, SYS, OCX og relaterte typer), MSI-installasjonsprogrammer, PowerShell-skript, CAB/CAT-filer og Java JAR-filer, pluss MSIX, MDB og ACCDE når de signeres gjennom eSigner CKA. Dokumentsignering (PDF, DOCX, PPTX, XLSX) håndteres separat gjennom eSigners dokumentsigneringsverktøy. 

Konklusjon  

Enten du signerer et sporadisk installasjonsprogram fra en enkelt utviklermaskin eller automatiserer tusenvis av signeringsoperasjoner på tvers av en CI/CD-pipeline, er det underliggende målet det samme: å bevise for kundene, partnerne og operativsystemene dine at programvaren din er akkurat det du sier den er, og at den ikke har blitt endret siden du lanserte den. Tokenbasert signering med YubiKey eller Thales SafeNet gir deg direkte, maskinvarestøttet kontroll som er godt egnet for mindre team eller sjeldne signeringsbehov, mens eSigners skybaserte modell fjerner friksjonen med fysiske tokener fullstendig – slik at distribuerte team og automatiserte byggesystemer signeres kode sikkert fra hvor som helst. 

Når signeringsmiljøet ditt er riktig konfigurert, blir den daglige prosessen rutine: hash, signering, tidsstempel, verifisering. Å gjøre det riktig første gang betyr færre sikkerhetsadvarsler for nettlesere og operativsystemer, sterkere merkevaretillit og en smidigere vei til samsvar med CA/Browser Forum-kravene etter hvert som de fortsetter å utvikle seg. Hvis du støter på spørsmål som er spesifikke for oppsettet ditt, er SSL.coms supportteam tilgjengelig via e-post på Support@SSL.com, på telefon kl 1-877-SSL-SECURE, eller via live chat.