Referência de erros de assinatura de código: mensagens de erro comuns, causas e soluções

Erro / Sintoma 

Interface 

Causa provável 

Resolução 

fonte 

“'Signtool' não é reconhecido como um comando interno ou externo, programa executável ou arquivo em lote” 

CLI 

O comando foi digitado apenas com a palavra “signtool” em vez do caminho completo para signtool.exe. 

Substitua “signtool” no comando pelo caminho completo para signtool.exe (ex: C:\Program Files (x86)\Windows Kits\10\bin\ \x64\signtool.exe). 

Usando seu certificado de assinatura de código 

“O certificado de data e hora não atende ao requisito mínimo de comprimento da chave pública” 

CLI 

O servidor de carimbo de data/hora padrão da SSL.com emite carimbos de data/hora baseados em ECDSA, e o software/fornecedor de assinatura não aceita chaves de carimbo de data/hora ECDSA. 

Solicite ao seu fornecedor de software que permita chaves de carimbo de data/hora ECDSA ou utilize o endpoint de carimbo de data/hora RSA legado. http://ts.ssl.com/legacy. 

Usando seu certificado de assinatura de código 

“O Windows não consegue verificar o editor deste software de driver” 

Sistema Windows 

O software ou driver foi distribuído sem um certificado de assinatura de código válido, portanto o Windows não pode confirmar a identidade do editor. 

Assine o software com um certificado de assinatura de código OV ou EV válido antes da distribuição. 

eSigner: assinatura de código como serviço 

Problemas de configuração após a instalação de um certificado OV/EV 

Sistema Windows 

Os certificados de assinatura de código OV e EV foram instalados manualmente no repositório de certificados do computador, em vez de serem usados ​​a partir do token de hardware/HSM. 

Não instale manualmente os certificados de assinatura de código OV/EV; use-os diretamente do token FIPS do YubiKey, do token SafeNet ou por meio da assinatura em nuvem do eSigner. 

Usando seu certificado de assinatura de código 

Erro / Sintoma 

Interface 

Causa provável 

Resolução 

fonte 

Não sei/não consigo encontrar o PIN ou PUK da YubiKey. 

N/D 

O PIN/PUK nunca foi recuperado do portal da conta, ou o token foi reemitido. 

Faça login no portal do cliente da SSL.com, abra o pedido de certificado e use o link "ativar" em Tokens Físicos / YubiKey FIPS 140-2 para obter o PIN e o PUK. 

Acesse seu YubiKey FIPS PIN e PUK 

YubiKey não detectada pelo computador / certificado não encontrado pelo SignTool 

Sistema Windows 

O Yubico Authenticator ou o mini-driver necessário não está instalado, portanto o sistema operacional não consegue ver o certificado no token. 

Instale o Yubico Authenticator e o mini-driver do YubiKey; confirme se o número de série do token aparece no Yubico Authenticator antes de assinar. 

Usando seu certificado de assinatura de código 

Erro / Sintoma 

Interface 

Causa provável 

Resolução 

fonte 

“Senha incorreta” 

Aplicativo/GUI 

Foi inserida uma senha/PIN de token incorreta ao fazer login com o SignTool. 

Digite novamente a senha correta do token; caso a tenha esquecido, recupere-a nos detalhes do pedido da sua conta SSL.com ou redefina-a usando seu PUK. 

Como alterar sua senha do Thales SafeNet/Gemalto Token 

“O token está bloqueado devido a um número excessivo de tentativas de login falhas.” 

Aplicativo/GUI 

O número máximo permitido de tentativas incorretas de senha/PIN foi excedido. 

Abra o SafeNet Authentication Client, use a visualização Avançada, selecione Definir Senha do Token, insira seu PUK como Senha do Administrador e, em seguida, defina e confirme uma nova senha para o token. 

Como alterar sua senha do Thales SafeNet/Gemalto Token 

“'Signtool' não é reconhecido como um comando interno ou externo, programa executável ou arquivo em lote” 

CLI 

O mesmo problema de caminho do SignTool que na seção geral de tokens — comando inserido sem o caminho completo do executável. 

Substitua “signtool” pelo caminho completo para signtool.exe no comando. 

Usando seu certificado de assinatura de código 

O cliente de autenticação SafeNet não está detectando o token após a instalação. 

Sistema Windows 

O SAC foi instalado, mas o computador não foi reiniciado, portanto as alterações de driver/serviço não surtiram efeito. 

Reinicie o computador após instalar o SafeNet Authentication Client; o token deverá então ser reconhecido. 

Download do cliente de autenticação SafeNet para certificados de assinatura de código 

Erro / Sintoma 

Interface 

Causa provável 

Resolução 

fonte 

Não foi possível encontrar o ID da credencial do signatário eletrônico. 

Aplicativo/GUI 

O ID da credencial (necessário para o CodeSignTool e a API do CSC) não foi localizado no portal da conta. 

Na sua conta SSL.com, abra o pedido de certificado e role até a seção Credenciais de Assinatura para visualizar o ID da credencial do eSigner, o número de série do certificado e o rótulo do eSigner. 

Guia de credenciais de assinatura do eSigner 

“Erro: OTP inválido” (assinatura manual) 

Aplicativo/GUI 

O código QR lido no aplicativo autenticador não corresponde ao nome de usuário/senha/ID de credencial usado, ou o OTP expirou. 

Confirme se você escaneou o código QR da conta correta (e não o compartilhado com um colega de equipe), gere um novo código OTP e insira-o imediatamente, pois os códigos OTP expiram rapidamente. 

Guia de Comando eSigner CodeSignTool 

“Erro: OTP inválido” (assinatura automática/TOTP) 

CLI 

O segredo TOTP pertence a uma conta/certificado diferente do nome de usuário, senha e ID de credencial especificados; o próprio segredo é inválido; ou a hora do sistema está dessincronizada. 

Verifique se a chave secreta TOTP corresponde à conta e ao ID da credencial em uso, confirme se a chave secreta foi copiada corretamente e sincronize o relógio do sistema com um servidor de horário confiável (o TOTP depende de uma sincronização de horário precisa com o servidor de assinatura). 

Automatize a assinatura de código EV eSigner 

“'C:\Users\Admin\Dropbox\My' não é reconhecido como um comando interno ou externo, programa executável ou arquivo em lotes.” / “O sistema não pode encontrar o caminho especificado.” 

CLI 

Um caminho de arquivo contendo espaços foi passado para o CodeSignTool sem aspas, então o shell o interpretou como vários argumentos separados. 

Inclua o caminho do arquivo de entrada e o caminho do diretório de saída entre aspas e digite ou copie e cole os parâmetros diretamente na linha de comando, em vez de usar outro editor de texto. 

Assinatura de código de pacotes NuGet com eSigner 

“O conteúdo de \Documents\sample era inesperado neste momento.” 

CLI 

Continuação da mesma falha de análise de caminho sem aspas — o shell interrompe o caminho no espaço e trata o restante como um token perdido. 

Coloque o caminho completo do arquivo entre aspas para que o shell o trate como um único argumento. 

Assinatura de código de pacotes NuGet com eSigner 

“AVISO: sun.reflect.Reflection.getCallerClass não é compatível. Isso afetará o desempenho.” 

CLI 

Um aviso benigno do ambiente de execução Java, acionado pela versão da JVM usada para executar o CodeSignTool. 

Este é um aviso de desempenho, não uma falha de assinatura — pode ser ignorado; verifique a saída real para a confirmação de "Código assinado com sucesso". 

Assinatura de código de pacotes NuGet com eSigner 

O comando de assinatura falha silenciosamente ou rejeita as credenciais quando a senha contém caracteres especiais. 

CLI 

O parâmetro -password inclui caracteres especiais (por exemplo, !, @, ^), mas não foi colocado entre aspas, portanto o shell interpreta o valor incorretamente. 

Coloque a senha entre aspas quando ela contiver caracteres especiais, por exemplo: -password=”P!@^^ssword12″. 

Guia de Comando eSigner CodeSignTool 

Parâmetro credential_id ausente (contas com múltiplos certificados) 

CLI 

A conta possui mais de um certificado de assinatura de código eSigner, portanto, o CodeSignTool não pode usar uma única credencial por padrão. 

Passe explicitamente -credential_id= No comando, use get_credential_ids para listar todos os IDs de credenciais da conta. 

Guia de Comando eSigner CodeSignTool 

{"error_description":"code: QuotaExceededError – message: Quota excedida","error":"server_error"} 

CLI / CI-CD 

O complemento de verificação de malware vinculado à credencial de assinatura atingiu um limite de uso interno, mesmo que o painel da conta mostre assinaturas restantes. 

Este não é um problema que você deva solucionar por conta própria. Entre em contato com o suporte da SSL.com para que a equipe possa ajustar o limite de verificação de malware na sua conta; aguarde de 1 a 2 horas após a correção ser aplicada antes de tentar novamente. 

Suporte SSL.com (interno/específico da conta) 

“com.ssl.code.signing.tool.exception.CscApiException: erro_do_servidor 500 em com.ssl.code.signing.tool.csc.CscApi.sendOtp(…)” 

Arquivo de log 

O login é bem-sucedido, mas a solicitação para enviar a senha de uso único por SMS falha devido a um problema de configuração relacionado às credenciais de assinatura no SSL.com. 

Entre em contato com o suporte da SSL.com para redefinir a configuração OTP das credenciais. 

Suporte SSL.com (interno/específico da conta) 

O CodeSignTool reporta sucesso (código de saída 0) mesmo quando a assinatura falhou na realidade. 

Pipeline CI/CD 

Versões antigas do CodeSignTool tinham um bug que fazia com que reportassem sucesso independentemente do resultado real, dificultando a detecção de falhas no pipeline. 

Atualize para a versão mais recente do CodeSignTool, que reporta as falhas corretamente. 

Guia de Comando eSigner CodeSignTool 

O limite de taxa de autenticação foi atingido ao assinar muitos arquivos em sequência. 

Pipeline CI/CD 

Está sendo solicitada uma nova autenticação/login para cada arquivo, em vez de reutilizar um token de sessão para várias assinaturas. 

Reutilize o mesmo token de autenticação durante toda a sessão de assinatura, em vez de autenticar antes de cada arquivo. Clientes corporativos/de alto volume que ainda atingem os limites devem entrar em contato com o Suporte da SSL.com para discutir as permissões para sua conta. 

Guia de Comando eSigner CodeSignTool 

“Erro: OTP inválido” (assinatura manual) 

Aplicativo/GUI 

O código QR lido no aplicativo autenticador não corresponde ao nome de usuário/senha/ID de credencial usado, ou o OTP expirou. 

Confirme se você escaneou o código QR da conta correta (e não o compartilhado com um colega de equipe), gere um novo código OTP e insira-o imediatamente, pois os códigos OTP expiram rapidamente. 

Guia de Comando eSigner CodeSignTool 

Assinatura inválida em instaladores MSI criados com o Visual Studio. 

Aplicativo/GUI 

Existe um problema de compatibilidade conhecido entre o eSigner e os instaladores MSI produzidos pelas ferramentas de empacotamento do Visual Studio. 

Como solução alternativa, crie instaladores MSI usando o WiX Toolset em vez do Visual Studio. 

Guia de Comando eSigner CodeSignTool 

Erro / Sintoma 

Interface 

Causa provável 

Resolução 

fonte 

“O certificado de data e hora não atende ao requisito mínimo de comprimento da chave pública” 

CLI 

O mesmo problema de compatibilidade de timestamp ECDSA observado na assinatura baseada em token foi encontrado ao usar o eSigner CKA com o SignTool. 

Contate o fornecedor do seu software para habilitar chaves de carimbo de data/hora ECDSA ou use o endpoint legado. http://ts.ssl.com/legacy para um carimbo de data/hora RSA. 

Automatize a assinatura de código de veículos elétricos com SignTool/Certutil usando o eSigner CKA. 

“Este formato de arquivo não pode ser assinado porque não é reconhecido.” (assinatura de arquivos .app) 

CLI 

Ao tentar assinar um arquivo .app do Microsoft Dynamics 365 Business Central com o eSigner CKA antes da instalação do próprio aplicativo Dynamics 365 Business Central, o SignTool não consegue analisar o formato do arquivo. 

Primeiro, instale o Microsoft Dynamics 365 Business Central (opção de instalação do servidor) e, em seguida, assine o arquivo .app resultante com o SignTool por meio do eSigner CKA. 

Como assinar digitalmente arquivos .app usando o eSigner CKA 

A assinatura de macro VBA falha silenciosamente / assinatura rejeitada 

Aplicativo/GUI 

O VBA envia ao signatário eletrônico um hash SHA1 do código, mas o signatário eletrônico exige SHA256 ou superior. 

Adicione o valor DWORD V1HashEnhanced no registro HKCU\SOFTWARE\Microsoft\VBA\Security e defina-o como 2 (SHA256), 3 (SHA384) ou 4 (SHA512), conforme as orientações da Microsoft, e então assine novamente. 

Como assinar digitalmente macros VBA usando eSigner CKA 

O certificado não aparece/não pode ser usado pelo SignTool. 

Aplicativo/GUI 

O eSigner CKA não está instalado ou o modo de assinatura (manual/automatizado) e o tipo de certificado (produção/teste) não foram configurados. 

Instale o eSigner CKA e configure explicitamente o modo de assinatura e o tipo de certificado antes de tentar assinar; confirme primeiro a inscrição no eSigner. 

Automatize a assinatura de código de veículos elétricos com SignTool/Certutil usando o eSigner CKA. 

“Credenciais de assinatura não configuradas. Certifique-se de que o certificado foi emitido antes de assinar” + “Falha ao recuperar o ID do certificado. Erro: Referência de objeto não definida para uma instância de um objeto.” / (CLI) “Exceção não tratada: System.NullReferenceException: Referência de objeto não definida para uma instância de um objeto. em eSignerCKATool.eSignerCKATool.Config(CommandLineInfo commandLineInfo)” 

Aplicativo/GUI + CLI 

Pode ser uma credencial de assinatura inválida ou remanescente na conta (como uma credencial antiga e não utilizada) que esta versão do eSigner CKA não ignora corretamente, ou um certificado que aparece como "Emitido" na conta, mas ainda não concluiu a vinculação com o servidor de assinatura na nuvem. 

Primeiro, tente excluir as pastas de configuração locais %APPDATA%\eSignerCKA e %LOCALAPPDATA%\eSignerCKA e, em seguida, execute o comando de configuração novamente, certificando-se de usar o parâmetro -mode product e o nome de usuário da sua conta (não o seu endereço de e-mail). Se isso não resolver o problema, entre em contato com o Suporte da SSL.com — a remoção de uma credencial inválida ou a conclusão da configuração do certificado exigem ação no servidor. O CodeSignTool pode ser usado como alternativa enquanto isso. 

Suporte SSL.com 

O eSigner CKA trava imediatamente após o login (Visualizador de Eventos do Windows): “Evento de tempo de execução do .NET 1026 — System.AccessViolationException em eSignerCSP.UI.Utils.CspWrapper.C_UnloadAllCertificate durante DisplayData”; o problema persiste mesmo após reinicialização/reinstalação. 

Arquivo de registro / Falha do aplicativo 

Um defeito conhecido em versões antigas do eSigner CKA pode causar sua falha na inicialização, mesmo quando o repositório de certificados está vazio; às vezes, isso está relacionado ao problema de credenciais residuais. 

Isso requer uma versão atualizada do eSigner CKA. Entre em contato com o suporte da SSL.com para que o problema seja encaminhado à equipe de engenharia. Enquanto isso, use o CodeSignTool para assinar. 

Suporte SSL.com (interno/específico da conta) 

“[Erro] Não foi possível encontrar o arquivo 'C:\Program Files (x86)\SSL Corp eSigner CKA\eSignerKSP64.dll'.” / “[Erro] Não foi possível encontrar o arquivo 'C:\Program Files (x86)\SSL Corp eSigner CKA\eSignerKSP32.dll'.” 

Arquivo de log 

Algumas versões do instalador eSigner CKA não possuem esses arquivos de suporte após uma renomeação de componente interno — isso não é causado por nenhum problema no seu computador. 

Reinstale completamente o eSigner CKA: remova as pastas Program Files e AppData, reinicie o computador e reinstale-o. A assinatura pode funcionar mesmo com esta mensagem presente. Se os arquivos ainda estiverem faltando após a reinstalação, entre em contato com o Suporte da SSL.com para obter um instalador corrigido. 

Suporte SSL.com 

"OTP inválido" apenas no modo de assinatura automática (o modo manual funciona). 

Aplicativo/GUI 

Geralmente, o problema é causado por uma chave TOTP incorreta, uma chave TOTP que não corresponde ao ID da credencial em uso ou o relógio do computador dessincronizado. Ocasionalmente, também pode ser causado por um arquivo de configuração remanescente de uma instalação anterior que entra em conflito com o arquivo atual. 

Confirme se você está usando a chave TOTP correta para a credencial em questão e se o relógio do seu sistema está correto. Se o problema persistir, exclua as pastas %APPDATA%\eSignerCKA e %LOCALAPPDATA%\eSignerCKA e reinstale o eSigner CKA. 

Suporte SSL.com 

“SignerSign() falhou. (-2146893821/0x80090003 NTE_BAD_KEY)” / “signtool.exe: Erro do SignTool: Ocorreu um erro interno inesperado.” — durante a assinatura em lote de alto volume (normalmente após ~100 arquivos) 

CLI / CI-CD 

O recurso de verificação de malware da conta atinge um limite de uso interno durante a assinatura em lote de alto volume, interrompendo a sessão de assinatura. 

Entre em contato com o suporte da SSL.com para ajustar o limite de verificação de malware para acessos frequentes na conta. Como solução alternativa, faça login em lotes menores e atualize as credenciais (config -r) entre os lotes. 

Suporte SSL.com (interno/específico da conta) 

A mensagem “Status da chave desativado” aparece em todas as ações do eSigner (assinatura, redefinição de PIN, redefinição de QR Code). 

Aplicativo/GUI/CLI 

As credenciais de assinatura foram desativadas no servidor da SSL.com. 

Contate o suporte da SSL.com — somente a SSL.com pode reativar uma credencial de assinatura desativada; isso não pode ser resolvido pelo cliente. 

Suporte SSL.com (interno/específico da conta) 

Erro / Sintoma 

Interface 

Causa provável 

Resolução 

fonte 

“Erro: o hash que precisa ser assinado é um hash de objeto de malware” 

CLI 

A verificação de malware detectou uma correspondência positiva no arquivo enviado e interrompeu automaticamente o processo de assinatura, conforme programado. 

Este é o comportamento esperado quando um malware é detectado — revise e corrija o arquivo sinalizado antes de reenviá-lo; não se trata de um erro de configuração, a menos que a verificação não devesse estar ativada. 

Como usar a verificação de malware pré-assinatura com SSL.com eSigner 

A verificação de malware não está sendo aplicada às solicitações de assinatura. 

Aplicativo/GUI 

A opção “bloqueador de malware ativado” não estava habilitada juntamente com a opção “credenciais de assinatura ativadas” na seção Credenciais de Assinatura da conta. 

Na página de pedido de certificado da SSL.com, em Credenciais de Assinatura, certifique-se de que as opções “credenciais de assinatura ativadas” e “bloqueador de malware ativado” estejam selecionadas antes de assinar. 

Como usar a verificação de malware pré-assinatura com SSL.com eSigner 

Erro / Sintoma 

Interface 

Causa provável 

Resolução 

fonte 

A etapa de assinatura falha durante o processo, sem causa aparente. 

Pipeline CI/CD 

Erros tipográficos ou quebras de linha incorretas foram introduzidos no script do pipeline (YAML/Groovy/etc.) durante a etapa de assinatura. 

Analise cuidadosamente o script do pipeline em busca de erros ortográficos e quebras de linha indesejadas; compare-o com os pipelines de exemplo publicados pela SSL.com (por exemplo, github.com/SSLcom/codesigner-github-sample) antes de prosseguir com a solução de problemas. 

Integração do Cloud Code Signing com ações do GitHub 

Erro de digitação no parâmetro de configuração, por exemplo, -topt usado em vez de -totp. 

Pipeline CI/CD 

Um nome de parâmetro com erro ortográfico no arquivo de configuração do pipeline. 

Corrija o nome do parâmetro para -totp (e não -topt) no script do pipeline. 

Guia de Comando eSigner CodeSignTool 

Erro do SignTool ao usar a versão x64 dentro do executor de pipeline. 

Pipeline CI/CD 

O ambiente do executor de pipeline é incompatível com a versão x64 do signtool.exe quando usado com o eSigner CKA. 

Altere a etapa do pipeline para invocar a versão x86 do signtool.exe. 

Como integrar o eSigner CKA com ferramentas de CI/CD 

“A autorização concedida é inválida, expirou, foi revogada, não corresponde ao URI de redirecionamento usado na solicitação de autorização ou foi emitida para outro cliente.” / “Erro: invalid_grant” 

Pipeline CI/CD 

Diversas causas possíveis: a senha da conta foi redefinida, mas o pipeline ainda tem a senha antiga salva; o pipeline está usando o endereço de e-mail em vez do nome de usuário da conta; caracteres especiais na senha (por exemplo, $, !, crases) não estão devidamente entre aspas no script; as mesmas credenciais funcionam localmente, mas falham especificamente nos servidores do provedor de CI/CD; ou o login via API com senha não está habilitado para a conta. 

Use o nome de usuário da conta (e não o endereço de e-mail) para autenticação. Se a senha foi redefinida recentemente, atualize as credenciais salvas no pipeline. Coloque as variáveis ​​de credenciais entre aspas no script do pipeline, principalmente se a senha contiver caracteres especiais. Teste as credenciais localmente primeiro com o comando `get_credential_ids` do CodeSignTool. Se o problema persistir — especialmente se ocorrer apenas no provedor de CI/CD e não localmente — entre em contato com o suporte da SSL.com, pois pode ser necessário habilitar o login da API ou atualizar a autorização da conta no backend. 

Suporte SSL.com 

“Não foi possível recuperar o ID da credencial. Erro: Caractere inesperado encontrado ao analisar o valor: <. Caminho ”, linha 0, posição 0.” 

Pipeline CI/CD 

Uma breve falha nos servidores da SSL.com exibiu uma página da web em vez dos dados esperados. Isso geralmente é temporário. 

Aguarde um momento e execute o comando novamente. Se o problema persistir, entre em contato com o suporte da SSL.com.  

Suporte SSL.com 

Erro / Sintoma 

Interface 

Causa provável 

Resolução 

fonte 

O certificado expirou ou deixou de ser confiável após a assinatura. 

N/D 

Um certificado de assinatura de código expirou e, como o código assinado anteriormente não tinha um registro de data e hora, a validade da assinatura agora está vinculada à expiração do certificado. 

Obtenha um novo certificado e assine novamente o código afetado daqui para frente; sempre registre a data e hora das assinaturas no momento da assinatura para que a validade se estenda além do vencimento do certificado. 

O que é um certificado de assinatura de código? 

Certificado emitido com um período de validade inesperadamente curto. 

N/D 

Os requisitos do CA/Browser Forum agora limitam a validade de certificados de assinatura de código publicamente confiáveis ​​recém-emitidos a 458 dias, com vigência a partir de 27 de fevereiro de 2026. 

Este é um requisito padrão do setor, não um erro — os certificados podem precisar ser reemitidos com mais frequência dentro do mesmo prazo de compra, sem custo adicional. 

O que é um certificado de assinatura de código?