ใช้ใบรับรองการลงทะเบียนรหัสของคุณ

หน้าเว็บนี้ให้คำแนะนำในการใช้ SSL.com OV or EV ใบรับรองการเซ็นโค้ดด้วย SignTool ของ Microsoft และ SSL.com's SSL Manager.

คำแนะนำเหล่านี้อนุมานว่าใบรับรองการลงนามรหัสของคุณได้รับการติดตั้งแล้ว หรือคุณมีใบรับรองนั้นในโทเค็นของฮาร์ดแวร์ สำหรับการลงนามรหัสบนคลาวด์โดยใช้แพลตฟอร์ม eSigner โปรดดูที่ หน้าภาพรวม และนี้ คู่มือการลงทะเบียน.

โปรดจำไว้ว่าสำหรับใบรับรองการลงนามรหัส OV และ EV ที่ใช้ฮาร์ดแวร์ คีย์ส่วนตัว มีอยู่ในโทเค็น YubiKey FIPS USB เท่านั้น ที่ถูกส่งไปยังคุณและโทเค็น จะต้องแนบมาด้วย คอมพิวเตอร์ที่ใช้ในการเซ็นชื่อแอปพลิเคชัน ผู้ใช้ Windows ที่มีโทเค็น YubiKey FIPS ควรดาวน์โหลดและติดตั้ง YubiKey สมาร์ทการ์ด Minidriver ก่อนใช้โทเค็นของพวกเขา

การลงนามในปฏิบัติการกับ Yubikey

การติดตั้ง Windows SDK และ SignTool

SignTool มาพร้อมกับ SDK ของ Windows 10. หลังจากการติดตั้ง SignTool จะอยู่ภายใต้:

C: \ Program ไฟล์ (x86) \ Windows Kits \ 10 \ bin \ \ x64 \ signtool.exe

เข้าถึง SignTool ผ่าน Powershell หรือ Command Prompt

การเข้าถึง SignTool เป็นส่วนแรกของคำสั่งทั้งใน การลงนามในไฟล์ของคุณ และ การตรวจสอบ ลายเซ็นดิจิทัล สามารถใช้ทั้ง PowerShell และ Command Prompt เพื่อเข้าถึง SignTool ได้ 

การเข้าถึง SignTool จะแตกต่างกันไปขึ้นอยู่กับเวอร์ชันระบบปฏิบัติการ Windows และเวอร์ชัน Windows SDK ที่คุณใช้ ตัวเลือกต่อไปนี้ตัวเลือกหนึ่งจะถูกรวมไว้เป็นส่วนแรกของคำสั่ง: 

1. .\signtool.exe
2. .\เครื่องมือลงชื่อเข้าใช้
3. เครื่องมือเครื่องหมาย
4. signtool.exe
5. “C:\Program Files (x86)\Windows Kits\10\bin\10.0.26100.0\x86\signtool.exe”

จำไว้ว่ากุญแจส่วนตัวนั้นมีอยู่ในโทเค็น USB ที่ส่งถึงคุณและเท่านั้น ต้องแนบโทเค็น ไปยังเครื่องคอมพิวเตอร์ที่จะใช้ในการลงนามในใบสมัคร 

ลงชื่อ ปฏิบัติการ

คุณสามารถลงนามในไฟล์ปฏิบัติการได้โดยออกคำสั่งต่อไปนี้ในหน้าต่าง PowerShell 

. \ signtool.exe ลงชื่อ / fd sha256 / a "C: \ path \ to \ MyExecutable.exe"

• การขอ /fd ตัวเลือกเลือกอัลกอริทึมการย่อยที่จะใช้เมื่อเซ็นชื่อ Windows 10 SDK, HLK, WDK และ ADK บิลด์ 20236 ขึ้นไป กำหนดให้ต้องตั้งค่าตัวเลือกนี้เมื่อลงชื่อ แนะนำให้ใช้ SHA256 มากกว่า SHA1 เพื่อความปลอดภัย
• การขอ /a ตัวเลือกสั่งให้ SignTool ค้นหาใบรับรองการลงนามรหัสที่เหมาะสมโดยอัตโนมัติสำหรับไฟล์ที่เรียกใช้ของคุณ
• คุณจะได้รับแจ้งให้ใส่ PIN โทเค็น USB ของคุณ หากคุณต้องการความช่วยเหลือในการค้นหา PIN ของคุณ โปรดดูที่ วิธีการนี้.

การเลือกใบรับรองการลงนาม

ระบุชื่อเรื่อง

หากคุณมีมากกว่าหนึ่งรหัสเซ็นโทเค็น USB หรือติดตั้งใบรับรองคุณสามารถ ระบุใบรับรอง คุณต้องการใช้โดยรวมถึง ชื่อเรื่อง เมื่อ /n ตัวเลือก

คุณสามารถค้นหาชื่อเรื่องของใบรับรองได้โดยใช้เครื่องมือการจัดการใบรับรองของ Microsoft ใบรับรอง- เปิดเครื่องมือจากเมนู Start และค้นหาใบรับรองของคุณในโฟลเดอร์ "ส่วนบุคคล" ใต้ "ใบรับรอง" ดังที่แสดงในภาพด้านล่าง ชื่อเรื่องคือช่อง "ออกให้" ใน certmgr

ในภาพด้านบนชื่อเรื่องของใบรับรองคือ example. คุณสามารถระบุค่านี้ใน SignTool ด้วยคำสั่งดังต่อไปนี้

. \ signtool.exe sign / fd sha256 / n "ตัวอย่าง" "C: \ path \ to \ MyExecutable.exe"

ระบุ SHA1 Hash

หากคุณมีใบรับรองหลายใบที่มีชื่อเรื่องเดียวกัน คุณยังสามารถใช้แฮช SHA1 (หรือ “ลายนิ้วหัวแม่มือ”) ของใบรับรองเพื่อเลือกใบรับรองสำหรับการลงนามได้ คุณสามารถค้นหาค่านี้ได้โดยทำตามคำแนะนำเหล่านี้:

เปิดที่เก็บใบรับรองผู้ใช้โดยการพิมพ์ certmgr.msc ในแถบค้นหาของ Windows เมื่อหน้าต่าง Certificate Manager ปรากฏขึ้น ให้ไปที่ บัญชีส่วนบุคคล โฟลเดอร์บนแผงด้านซ้ายและเลือก ใบรับรอง โฟลเดอร์ย่อยทางด้านขวาเพื่อค้นหาใบรับรองการลงนามรหัสของคุณ

ดับเบิลคลิกที่ใบรับรองไปที่ รายละเอียด แท็บและเลื่อนลงเพื่อค้นหา รหัสประจำตัวคัดลอกลายนิ้วหัวแม่มือและรวมไว้ในคำสั่งของคุณเมื่อลงนามรหัส 

. \ signtool.exe ลงชื่อ / fd sha256 / sha1 THUMBPRINT "C: \ path \ to \ MyExecutable.exe"

หมายเหตุ: อาจมีบางกรณีที่ใบรับรองการลงนามรหัสที่มีชื่อเดียวกันหลายใบปรากฏในร้านค้าเนื่องจากผู้ใช้มีโทเค็น USB หลายรายการ หากคุณไม่แน่ใจว่าจะเลือกอันไหน ให้เลือกอันที่มีหมายเลขซีเรียลที่ตรงกับที่ระบุในหน้ารายละเอียดการสั่งซื้อ SSL.com ของคุณ คุณอาจต้องการเลือกใบรับรองที่มีวันหมดอายุล่าสุด 

 หากต้องการตรวจสอบใบรับรองที่คุณควรใช้ให้ครบถ้วน ให้ทำตามคำแนะนำเหล่านี้:

1. เข้าสู่ระบบบัญชี SSL.com ของคุณแล้วคลิก รายการสั่งซื้อ แท็บ ค้นหาคำสั่งซื้อใบรับรองของคุณและคลิก ดาวน์โหลด ลิงก์สำหรับแสดงรายละเอียดใบรับรองของคุณ 
   
   
2. เลื่อนลงแล้วคลิก ใบรับรองนิติบุคคลสิ้นสุด หมวด ภายใต้ ใบรับรองการลงนามรหัส ในส่วนย่อย คุณจะเห็นหมายเลขซีเรียลของใบรับรองของคุณ
   
   
3. ดำเนินการตรวจสอบแบบไขว้ คลิกสองครั้งที่ใบรับรองในตัวจัดการใบรับรองของคอมพิวเตอร์ของคุณ คลิก รายละเอียด ตรวจสอบว่าหมายเลขซีเรียลตรงกันหรือไม่ 

ใช้ไฟล์ PKCS # 12 / PFX

หากคุณมีใบรับรองการเซ็นชื่อรหัสและคีย์ส่วนตัวในไฟล์ PKCS # 12 (หรือที่เรียกว่าไฟล์ PFX หรือ P12) คุณสามารถระบุไฟล์และรหัสผ่านในบรรทัดคำสั่ง:

. \ signtool.exe sign / fd sha256 / f "C: \ path \ to \ MyCertificate.pfx" / p รหัสผ่าน "C: \ path \ to \ MyExecutable.exe"

การประทับเวลา

การประทับเวลารหัสของคุณจะช่วยให้เชื่อถือได้หลังจากใบรับรองการเซ็นชื่อรหัสของคุณหมดอายุ หากคุณต้องการเพิ่มไฟล์ การประทับเวลา ในไฟล์ไบนารีที่ลงนามคุณสามารถทำได้โดยใช้ SignTool's /tr ซึ่งควรตามด้วยการตั้งค่าอัลกอริธึมการย่อยเวลาด้วย /td. คำสั่งในตัวอย่างด้านล่างมีการประทับเวลาจาก SSL.comบริการประทับเวลาของขณะลงนามปฏิบัติการ

. \ signtool.exe sign / fd sha256 / tr http://ts.ssl.com / td sha256 / a "C: \ path \ to \ MyExecutable.exe"

ตัวเลือกอื่น

ตัวเลือก SignTool ที่สำคัญอื่น ๆ ได้แก่ :

• /d: เพิ่มคำอธิบายของรหัสที่เซ็นชื่อ ตัวอย่างเช่น, /d "test code".
• /du: เพิ่ม URL พร้อมคำอธิบายเพิ่มเติมของรหัสที่เซ็นชื่อ ตัวอย่างเช่น, /du https://your_website.tld/project/description.

ใช้ตัวเลือกทั้งหมดข้างต้น (แต่ไม่ใช้งาน /a, /sha1หรือ /f เนื่องจากเรากำลังระบุ Subject Name ของใบรับรองด้วย /nบรรทัดคำสั่งของเราดูเหมือนว่า:

เครื่องหมาย signtool.exe / n "ตัวอย่าง" / fd sha256 / tr http://ts.ssl.com / td sha256 / d "รหัสทดสอบ" / du https: //your_website.tld/project/description "C: \ path \ ถึง \ MyExecutable.exe "

ตรวจสอบลายเซ็น

ใช้คำสั่งนี้เพื่อตรวจสอบรหัสที่ลงนามของคุณ (โปรดทราบว่าไฟล์ /pa ต้องมีตัวเลือกในคำสั่ง):

. \ signtool.exe ตรวจสอบ / pa "C: \ path \ to \ MyExecutable.exe"

หากไฟล์ของคุณได้รับการลงนามสำเร็จคุณจะเห็นผลลัพธ์ดังนี้:

ไฟล์: C: \ path \ to \ MyExecutable.exe Index Algorithm Timestamp =================================== ===== 0 sha256 RFC3161 ตรวจสอบเรียบร้อยแล้ว: C: \ path \ to \ MyExecutable.exe

คุณยังสามารถตรวจสอบว่าไฟล์ได้รับการเซ็นชื่อแล้วโดยคลิกขวาที่ไอคอนและเลือก อสังหาริมทรัพย์ จากเมนูจากนั้นเลือกไฟล์ ลายเซ็นดิจิทัล แท็บ ดูรายละเอียดเกี่ยวกับลายเซ็นโดยเลือกและคลิก รายละเอียด ปุ่ม

ที่นี่เราจะเห็นว่าไฟล์มีลายเซ็นดิจิทัลที่ถูกต้องซึ่งสร้างโดย SSL Corp เมื่อวันที่ 28 มิถุนายน 2020

การลงนามในการดำเนินการด้วย SSL Manager

หากคุณต้องการแนวทางกราฟิกเพิ่มเติมคุณสามารถใช้ SSL.comซอฟต์แวร์ภายในองค์กร SSL Managerเพื่อลงนามไฟล์ของคุณ ลูกค้าหลายคนชอบที่จะใช้ SSL Manager เนื่องจากมีประโยชน์เพิ่มเติมในการเข้าถึงใบรับรองทั้งหมดของคุณได้อย่างง่ายดายในอินเทอร์เฟซเดียว สำหรับคำแนะนำในการดาวน์โหลดและติดตั้ง SSL Managerโปรดดูที่ของเรา คู่มือการติดตั้ง.

หากต้องการลงชื่อในโปรแกรมเรียกทำงานให้เริ่มโดยการเลือก การลงนามรหัส> แพ็คเกจรหัสการลงชื่อและการประทับเวลา จาก SSL Managerเมนูของ.

ในแบบฟอร์มการเซ็นชื่อโค้ดคุณสามารถเลือกใบรับรองที่สามารถเรียกใช้งานได้และใบรับรองการเซ็นชื่อโค้ด (จากไฟล์หรือที่เก็บใบรับรอง) และหนึ่งในเซิร์ฟเวอร์การประทับเวลาที่มีอยู่ เมื่อเสร็จแล้วให้คลิก ลงชื่อ ปุ่มเพื่อลงนามรหัสของคุณ คุณจะได้รับแจ้งให้ใส่ PIN ของโทเค็น USB

นอกจากการลงรหัสแล้ว SSL Manager มีคุณสมบัติที่ทรงพลังมากมาย สำหรับรายละเอียดเพิ่มเติมโปรดดูที่ SSL Managerเอกสารประกอบโดยเฉพาะ เมนูการเซ็นชื่อรหัส.

การลงนามโค้ดด้วยโทเค็น USB ของ Thales SafeNet (Gemalto)

ส่วนนี้สาธิตวิธีการลงนามโค้ดโดยใช้ใบรับรองการลงนามโค้ดของ SSL.com, โทเค็น USB ของ Thales SafeNet (Gemalto) และไคลเอ็นต์การตรวจสอบความถูกต้องของ Safenet 

โทเค็น Thales SafeNet สามารถจัดเก็บใบรับรองการลงนามโค้ด SSL.com และคีย์ส่วนตัวได้ทุกประเภท ซึ่งรวมถึงใบรับรองการลงนามรหัสประจำตัวส่วนบุคคล ใบรับรองการลงนามรหัสการตรวจสอบองค์กร และใบรับรองการลงนามรหัสการตรวจสอบเพิ่มเติม

SafeNet Authentication Client เป็นโซลูชันมิดเดิลแวร์ที่จัดการกลุ่มผลิตภัณฑ์ SafeNet ที่ครอบคลุมของโปรแกรมตรวจสอบความถูกต้องตามใบรับรอง ซึ่งรวมถึง eTokens, สมาร์ทการ์ด SafeNet IDPrime, SafeNet IDPrime Virtual และรวมกัน PKI/อุปกรณ์ FIDO

สำหรับคำแนะนำเกี่ยวกับวิธีการเปลี่ยนรหัสผ่านการลงนามรหัสสำหรับโทเค็น Thales SafeNet (Gemalto) หรือรับสิทธิ์การเข้าถึงโทเค็นที่ถูกล็อคอีกครั้ง โปรดดูบทความ SSL.com นี้: วิธีเปลี่ยนรหัสผ่าน Thales SafeNet/Gemalto Token ของคุณ

ข้อกำหนด

1. ชุดพัฒนาวินโดวส์ ติดตั้งบนคอมพิวเตอร์ของคุณ
2. ติดตั้ง SafeNet Authentication Client บนคอมพิวเตอร์ของคุณแล้ว สำหรับคำแนะนำ โปรดดูคู่มือ SSL.com นี้: ดาวน์โหลดไคลเอนต์การตรวจสอบสิทธิ์ SafeNet สำหรับใบรับรองการลงนามรหัส
3. โทเค็น Thales SafeNet ที่มีใบรับรองการลงนามรหัสที่ติดตั้งไว้ล่วงหน้าของ SSL.com ต้องเปิดใช้งานโทเค็น Thales SafeNet โดยทำตามขั้นตอนเหล่านี้: 
   1. ค้นหาหมายเลขซีเรียลของโทเค็น Thales ของคุณ นี่คือชุดตัวอักษรและตัวเลขที่พิมพ์บนพื้นผิวโทเค็นของคุณ 
   2. ลงชื่อเข้าใช้บัญชี SSL.com ของคุณ
   3. คลิก รายการสั่งซื้อ ตามด้วยแท็บ ดาวน์โหลด ลิงก์คำสั่งซื้อใบรับรองของคุณเพื่อแสดงรายละเอียด บน โทเค็นทางกายภาพ เปิดใช้งานโทเค็น Thales ของคุณโดยวางหมายเลขซีเรียลลงในช่องที่กำหนด เมื่อเปิดใช้งานโทเค็น Thales ของคุณ โทเค็นทางกายภาพ ส่วนจะแสดงของคุณ รหัสการเปิดใช้งาน และ PIN ผู้ดูแลระบบส่วน รหัสการเปิดใช้งาน ยังเป็นที่รู้จักกันในนาม รหัสผ่านโทเค็น และคุณจะได้รับแจ้งให้ป้อนข้อมูลนี้เมื่อลงนามในไฟล์ของคุณ PIN ผู้ดูแลระบบ ยังเป็นที่รู้จักกันในนาม ปุก – สิ่งนี้จำเป็นเมื่อตั้งค่ารหัสผ่านโทเค็นใหม่ในโทเค็นที่ถูกล็อค 
      

ขั้นตอนในการลงนามโค้ดด้วย Thales SafeNet Token

1. เชื่อมต่อของคุณ โทเค็น Thales SafeNet ไปยังคอมพิวเตอร์ของคุณ 
2. จุดเปิด ไคลเอ็นต์การตรวจสอบสิทธิ์ Safenet
3. กำหนดค่าคำสั่งสำหรับการลงนามรหัสของคุณ:

   signtool ลงชื่อ /tr http://ts.ssl.com /td sha256 /fd sha256 /a "PATH_OF_FILE_TO_BE_SIGNED"

   คำอธิบาย:
   /fd sha256 เลือกอัลกอริธึมการแยกย่อยที่จะใช้เมื่อลงนาม
   /ตร http://ts.ssl.com ระบุที่อยู่เซิร์ฟเวอร์การประทับเวลา
   /td sha256 ระบุอัลกอริธึมการแยกย่อยการประทับเวลา
   /a สั่งให้ SignTool ค้นหาใบรับรองการลงนามโค้ดที่เหมาะสมสำหรับไฟล์ของคุณโดยอัตโนมัติ
   เส้นทางไฟล์ที่สามารถลงนามได้: เส้นทางของไฟล์ของคุณควรอยู่ในเครื่องหมายคำพูดคู่ จดบันทึกเพื่อรวมชื่อไฟล์ที่สามารถลงนามของคุณได้ในเส้นทาง ตัวอย่าง: /ทดสอบ file.dll
   
   หมายเหตุ: ผู้ใช้บางรายอาจพบข้อผิดพลาดนี้ด้วยคำสั่ง sign: 'Signtool' ไม่ได้รับการยอมรับว่าเป็นคำสั่งภายในหรือภายนอก โปรแกรมที่ใช้งานได้ หรือไฟล์แบตช์- วิธีแก้ไขข้อผิดพลาดนี้คือการลบข้อความออก เครื่องมือเครื่องหมาย จากคำสั่งและแทนที่ด้วยพาธสำหรับ signtool.exe เส้นทางควรอยู่ในเครื่องหมายคำพูดคู่
   

   “C:\Program Files (x86)\Windows Kits\10\folder\folder\x86\signtool.exe” ลงชื่อ /tr http://ts.ssl.com/ /td sha256 /fd sha256 /a "C:\ Users\Admin\Documents\test files\test file.dll"

4. วิ่ง พร้อมรับคำสั่ง เป็นผู้ดูแลระบบและออกคำสั่งลงนาม หลังจากนั้นให้กด เข้าสู่.
   
   
5. คุณจะเห็นข้อความ เสร็จสิ้นการเพิ่มร้านค้าเพิ่มเติม ไม่นานหลังจากที่, คุณจะได้รับแจ้งให้วางของคุณ รหัสผ่านโทเค็น- ตามที่ระบุไว้ใน ข้อกำหนด ส่วนด้านบน รหัสผ่านโทเค็นจะเหมือนกับ รหัส PIN การเปิดใช้งาน และสามารถดูได้ผ่านหน้าการสั่งซื้อใบรับรอง SSL.com ของคุณ คลิก OK ปุ่มเพื่อสิ้นสุดการลงนามโค้ด
   
   
6. ที่ประสบความสำเร็จ! ไฟล์ของคุณได้รับการลงนามแล้ว Command Prompt จะแจ้งให้คุณทราบถึงการลงนามที่สำเร็จ 
   
   

ตัวเลือกสำหรับการลงนามรหัส

1. ระบุชื่อเรื่องของใบรับรอง

หากคุณมีโทเค็น USB หรือใบรับรองการลงนามรหัสหลายรายการ คุณสามารถเลือกใบรับรองเฉพาะที่จะใช้ได้โดยการรวมชื่อเรื่องผ่านตัวเลือก /n

คุณสามารถดูชื่อเรื่องของใบรับรองของคุณได้โดยการคลิกไอคอนรูปเฟืองใน SafeNet Authentication Client เพื่ออนุญาตมุมมองขั้นสูง จากนั้นคลิกลูกศรเพื่อ ใบรับรองผู้ใช้ เพื่อแสดงใบรับรองทั้งหมดที่ติดตั้งในโทเค็น- คัดลอกชื่อของใบรับรองที่คุณต้องการใช้

คำสั่งเซ็นโดยใช้ /n ตัวเลือกมีลักษณะดังนี้ ชื่อเรื่องของใบรับรองของคุณควรอยู่ในเครื่องหมายคำพูดคู่ 

“เส้นทางของ SIGNTOOL.EXE” ลงชื่อ /tr http://ts.ssl.com/ /td sha256 /fd sha256 /n "ชื่อหัวข้อของใบรับรอง" “PATH_OF_FILE_TO_BE_SIGNED”

2. ระบุรหัสประจำตัวของใบรับรอง

หากคุณมีใบรับรองหลายใบที่มีชื่อเรื่องเหมือนกัน คุณสามารถแยกแยะและเลือกใบรับรองหนึ่งใบสำหรับการลงนามได้โดยใช้แฮช SHA1 หรือที่เรียกกันทั่วไปว่า “ลายนิ้วมือ” เมื่อต้องการทำเช่นนี้ ให้ทดแทน ลายนิ้วมือ ในคำสั่งต่อไปนี้พร้อมกับแฮช SHA1 จริงของใบรับรองของคุณ

คุณสามารถดูค่ารหัสประจำตัวของใบรับรองของคุณได้โดยคลิกไอคอนรูปเฟืองใน SafeNet Authentication Client เพื่ออนุญาตมุมมองขั้นสูง จากนั้นคลิกลูกศรเพื่อ ใบรับรองผู้ใช้- คลิกสองครั้งที่ใบรับรองที่คุณต้องการใช้ คลิก รายละเอียด แท็บ สุดท้ายเลื่อนลงไปที่ รหัสประจำตัว สนาม 


ในคำสั่งเครื่องหมาย ให้แทนที่ข้อความ ลายนิ้วมือ ด้วยมูลค่าที่แท้จริงของรหัสประจำตัวใบรับรองของคุณ 

“เส้นทางของ SIGNTOOL.EXE” ลงชื่อ /tr http://ts.ssl.com/ /td sha256 /fd sha256 /SHA1 THUMBPRINT “PATH_OF_FILE_TO_BE_SIGNED”

ตรวจสอบลายเซ็น

คุณสามารถตรวจสอบลายเซ็นดิจิทัลที่ใช้ได้โดยคลิกขวาที่ไฟล์ที่เซ็นชื่อเพื่อดูคุณสมบัติ 

1. คลิก ลายเซ็นดิจิทัล แท็บ เลื่อนเมาส์ไปที่ รายการลายเซ็น แล้วคลิกชื่อที่แสดงของใบรับรองของคุณเพื่อไฮไลต์ คลิก รายละเอียด กล่องเพื่อดำเนินการต่อ 
   
   
2. คุณจะสามารถดูชื่อของใบรับรองที่ใช้ในการลงนามไฟล์ รวมถึงวันที่และเวลาที่ลงนามและประทับเวลา
   
   

หมายเหตุ: คีย์ส่วนตัวสำหรับใบรับรองการลงนามรหัส SSL ไม่สามารถส่งออกได้ และใบรับรอง ไม่สามารถออกเป็นไฟล์ .pfx ที่ดาวน์โหลดได้ใบรับรองจะต้องถูกสร้างและจัดเก็บโดยใช้ตัวเลือกที่ปลอดภัยที่ได้รับการอนุมัติ เช่น . โทเค็น USB YubiKey ที่ผ่านการตรวจสอบตามมาตรฐาน FIPS 140-2ของ SSL eSigner บริการเซ็นชื่อบนคลาวด์หรือโอกาสสำคัญ รองรับ Cloud HSM.