Resumo: Os certificados de assinatura de código OV e EV da SSL exigem verificação independente da identidade, endereço e número de telefone da sua organização antes da emissão. Essa verificação depende da presença da sua empresa em uma fonte de dados de terceiros reconhecida, conhecida como Fonte de Informação Independente Qualificada (QIIS). O número DUNS da Dun & Bradstreet é a QIIS preferida da SSL porque seus perfis comerciais abrangentes e continuamente atualizados permitem que os agentes de validação confirmem rapidamente seus dados, muitas vezes reduzindo o tempo de emissão.
Este artigo aborda como funcionam os números DUNS, o que verificar antes de fazer seu pedido, a confiabilidade da conexão entre o requisito de autorização do pedido e o cadastro da sua empresa e quais etapas adicionais se aplicam aos certificados de assinatura de código EV.
Ao se candidatar a um Assinatura de código OV or Assinatura do código EV Para obter um certificado SSL, o processo de validação exige mais do que uma compra e alguns cliques. Ao contrário do certificado SSL com Validação de Domínio (DV), o processo de validação requer mais do que apenas a compra de um certificado SSL.TLS Os certificados, que apenas confirmam o controle de um nome de domínio, exigem SSL para verificar a identidade e a legitimidade da organização ou indivíduo por trás da chave de assinatura. É isso que confere valor ao software assinado: os usuários finais e os sistemas operacionais podem confiar que o código provém de uma entidade real e responsável.
Uma parte fundamental desse processo de verificação depende de um conceito: se sua empresa pode ser encontrada e confirmada por meio de uma fonte de dados reconhecida e de acesso público. Este guia explica como o número DUNS e outros cadastros comerciais qualificados influenciam esse processo e o que você deve fazer antes de enviar seu pedido de certificado.
Por que a verificação comercial é necessária para a assinatura de código?
Os certificados de assinatura de código não se limitam a criptografar uma conexão. Eles vinculam uma assinatura criptográfica à identidade da sua organização, que é exibida aos usuários finais quando instalam ou executam o seu software. Se uma terceira parte confiável não puder confirmar essa identidade de forma independente, o certificado não poderá ser emitido.
A SSL, enquanto Autoridade Certificadora (AC) publicamente confiável, é exigida pelos padrões da indústria para verificar a identidade, o endereço físico e um método de comunicação confiável para qualquer organização que receba um certificado OV ou EV. Especificamente para assinatura de código, essa etapa de verificação é obrigatória antes da emissão de qualquer certificado, sem exceção. Não há emissão de um certificado "provisório" enquanto a validação da assinatura de código OV ou EV estiver em andamento, por isso é importante ter as informações da sua empresa em ordem antes de começar.
O que é um QIIS?
O termo Fonte de Informação Independente Qualificada (QIIS) Refere-se a um banco de dados de acesso público, atualizado regularmente e considerado confiável para fins de verificação de identidade. As Autoridades Certificadoras (ACs) utilizam os registros do QIIS para confirmar, de forma independente, se os dados enviados por um solicitante de certificado, como nome da organização, endereço e número de telefone, correspondem às informações registradas em uma terceira parte confiável.
A palavra-chave aqui é “independente”. O SSL não pode simplesmente aceitar sua palavra, nem pode se basear exclusivamente em documentos fornecidos por você. Uma QIIS deve ser uma fonte sobre a qual o SSL não tenha controle, que atualize seus registros regularmente e que seja reconhecida como confiável pelo CA/Browser Forum para fins de validação.
Número DUNS: o caminho de verificação preferencial do SSL
Dentre todas as fontes de dados qualificadas que o SSL aceita, a Número DUNS da Dun & Bradstreet é a opção preferencial tanto para validação OV quanto EV. DUNS significa Data Universal Numbering System (Sistema Universal de Numeração de Dados) e é um identificador de nove dígitos atribuído a locais comerciais individuais pela Dun & Bradstreet (D&B). Mais de 500 milhões de empresas em todo o mundo estão listadas no banco de dados da D&B, e as principais instituições, agências governamentais e autoridades certificadoras reconhecem consistentemente os registros da D&B como confiáveis.
Para a equipe de validação da SSL, um número DUNS tem duas funções. Primeiro, fornece uma linha direta para um perfil comercial abrangente e com referências cruzadas, que inclui o nome legal, endereço físico, número de telefone/endereço de e-mail e situação operacional. Segundo, como o banco de dados da D&B é atualizado continuamente e possui um peso reputacional significativo no mundo dos negócios, ele reduz a necessidade de trocas de informações que às vezes ocorrem quando os agentes de validação precisam buscar documentação secundária.
Na prática, fornecer um número DUNS válido ao solicitar seu certificado pode acelerar significativamente o processo de emissão. Você pode inserir seu número DUNS diretamente na seção "Detalhes da Empresa" do portal da sua conta SSL durante o processo de pedido.
Como obter ou reivindicar seu número DUNS
Se a sua organização ainda não possui um número DUNS, você pode solicitar um gratuitamente através do site da Dun & Bradstreet em dnb.comO processamento padrão geralmente leva alguns dias úteis. Opções expressas estão disponíveis mediante o pagamento de uma taxa, caso você precise de um número com mais rapidez.
Se sua empresa já possui um número DUNS, mas nunca reivindicou o cadastro, você pode descobrir que as informações registradas estão incompletas ou desatualizadas, especialmente se o registro foi gerado automaticamente a partir de uma fonte de dados de terceiros, em vez de ser enviado diretamente pela sua organização. Antes de usar seu número DUNS para validação de certificado, acesse o portal de autoatendimento da D&B e confirme se os seguintes campos estão corretos:
- Nome legal da empresa (exatamente como consta nos registros governamentais)
- Endereço físico (Não aceitamos caixas postais; é necessário um endereço residencial ou comercial verificável)
- Número de telefone comercial (Este é o número que o SSL usará para verificação de retorno de chamada)
- Situação comercial (ativo e em situação regular)
Uma discrepância entre o seu registro DUNS e as informações que você envia no seu pedido de certificado é uma das causas mais comuns de atrasos na validação. Dedicar 15 minutos para revisar seu perfil na D&B antes de fazer o pedido pode economizar vários dias de acompanhamento.
A autorização do pedido e a importância do seu número de telefone/endereço de e-mail público.
Tanto para certificados de assinatura de código OV quanto EV, o SSL é necessário para concluir a verificação com sua organização. Essa comunicação deve ser enviada para um número de telefone ou endereço de e-mail listado em uma fonte independente e verificável. Isso significa que o número de telefone ou endereço de e-mail em seu registro DUNS (ou outra Fonte de Informação Qualificada) deve ser usado para que o SSL possa entrar em contato com você com sucesso.
Se o número de telefone fornecido direcionar para uma linha desativada, uma caixa postal genérica ou um serviço de atendimento que não consiga confirmar sua identidade, ou se o endereço de e-mail estiver inativo ou não for acessado, o requisito de verificação não poderá ser atendido e o processo de validação será interrompido.
Certifique-se de que o número de telefone e/ou endereço de e-mail listados nos registros da sua empresa sejam acessíveis por alguém autorizado a confirmar solicitações de certificados em nome da sua organização.
Assinatura de código OV: Nota adicional para organizações mais recentes
Para certificados de assinatura de código OV, se sua organização existe há menos de três anos, o SSL também exige uma digitalização de um documento de identidade com foto emitido pelo governo do solicitante do certificado. Esta é uma camada adicional de verificação para entidades mais recentes, cujo histórico comercial é mais limitado, e se aplica independentemente do QIIS usado para validação primária.
Assinatura de código de veículos elétricos: um padrão mais elevado
Os certificados de assinatura de código com Validação Estendida (EV) possuem os requisitos de identidade mais rigorosos de qualquer produto de assinatura de código. Além de verificar o nome legal, endereço e número de telefone da sua organização, o processo de verificação da SSL para certificados EV confirma a existência operacional, verifica nomes comerciais ou fantasia, se aplicável, e confirma a autoridade da pessoa que assina os formulários de solicitação de EV.
Especificamente para o programa EV, os candidatos também devem enviar uma cópia assinada do Contrato de Assinatura EV. O número DUNS ou um registro QIIS alternativo serve como um dos dois documentos obrigatórios. As outras opções para o terceiro item são um perfil comercial de outra fonte qualificada, como ZoomInfo ou OpenCorporates, ou uma carta de atestado de um advogado, contador ou tabelião licenciado.
Outras listagens de empresas aceitas
Se sua organização não possui um número DUNS ou se a Dun & Bradstreet não mantém um registro para sua jurisdição, existem muitas outras fontes QIIS que o SSL aceita para validação OV e EV. Estas incluem registros comerciais governamentais nacionais e regionais, bancos de dados jurídicos e comerciais e outros diretórios mantidos comercialmente. Uma lista parcial inclui portais comerciais governamentais como o Companies House (Reino Unido), a Secretaria de Estado da Califórnia, a Divisão de Corporações da Flórida, a Divisão de Corporações de Delaware, o OpenCorporates e o ZoomInfo, entre muitos outros.
Para organizações que operam fora dos Estados Unidos, os registros específicos de cada jurisdição costumam ser a opção mais segura. A equipe de validação da SSL está familiarizada com registros em dezenas de países e pode ajudá-lo a identificar a melhor fonte para sua região.
Se a sua empresa constar em um diretório comercial legítimo que não esteja na lista pré-aprovada da SSL, você pode enviar um link para o seu anúncio para análise. A equipe de validação da SSL avaliará cada caso individualmente para possível aprovação.
Dicas para uma experiência de validação mais tranquila
Existem algumas etapas simples que você pode seguir para evitar atrasos desnecessários ao solicitar um certificado de assinatura de código:
Analise o cadastro da sua empresa antes de fazer o pedido. Quer você utilize o D&B, um registro governamental ou outra fonte, verifique se seu nome legal, endereço e número de telefone estão atualizados e consistentes em todas as fontes.
Use o nome legal exato. O nome da empresa no seu pedido de certificado deve corresponder ao nome que consta no seu registro QIIS. Nomes comerciais, marcas registradas ou abreviações informais podem causar inconsistências que exigem documentação adicional para serem resolvidas.
Certifique-se de que seu número de telefone/endereço de e-mail esteja acessível. A autorização do pedido por meio de um método de comunicação publicamente listado é uma etapa obrigatória. O número de telefone ou e-mail em seu cadastro comercial deve ser de uma pessoa que possa confirmar a solicitação do certificado.
Planeje o tempo de processamento ao atualizar os registros da D&B. As alterações em um registro da D&B podem levar vários dias úteis para serem refletidas. Se precisar atualizar seu cadastro, faça isso antes de solicitar seu certificado, e não depois.
Próximos Passos
Se você estiver pronto para prosseguir com um certificado de assinatura de código OV ou EV, pode iniciar o processo de pedido diretamente através da sua conta SSL. Caso tenha dúvidas sobre qual caminho de validação se aplica à sua situação ou precise de ajuda para localizar o cadastro da sua empresa, a equipe de suporte da SSL está disponível por e-mail em [endereço de e-mail]. Support@SSL.com ou conversando conosco ao vivo no canto inferior direito desta página.
Para obter uma lista completa de diretórios comerciais aceitos e fontes QIIS, consulte a SSL. Listagens de empresas aceitáveis para validação.
