摘要：在 SSL 的 eSigner 云签名服务和硬件令牌之间进行选择，影响的远不止密钥存储。它会影响整个签名工作流程的运作方式。本指南将从功能、定价和 CI/CD 兼容性等方面对这两种方法进行比较，帮助您找到最合适的方案。无论您是偶尔签名还是大规模运行自动化流水线，都能在这里找到答案。
当您从 SSL 订购代码签名证书时，在生成私钥之前，您需要做出一个根本性的决定：密钥将存储在哪里，以及如何使用它进行签名？主要有两种途径：一种是将物理硬件令牌寄送到您家，另一种是使用 SSL 的 eSigner 云签名服务。两者都满足 CA/浏览器论坛于 2023 年 6 月生效的密钥存储要求，但它们适用于截然不同的工作流程、团队规模和自动化需求。
本指南将两种选择并列展示，以便您无需从多个来源拼凑信息即可做出明智的选择。
每种方法的工作原理
硬件令牌 YubiKey FIPS 和 Thales SafeNet 是物理 USB 设备，用于将您的私钥存储在防篡改硬件中。SSL 出厂时已预装了您的证书。签名操作需要令牌实际存在、连接到计算机，并使用 PIN 码解锁。私钥始终保存在设备中。
电子签名者 eSigner 是 SSL 的云签名服务。您的私钥由 SSL 管理的符合 FIPS 140-2 标准的硬件安全模块 (HSM) 生成并存储。由于密钥位于云端，您无需携带任何硬件即可从任何联网设备进行签名。签名可通过 eSigner Express Web 应用程序、CodeSignTool 命令行实用程序、符合 CSC 标准的 API 或适用于 Windows 工具链的 eSigner CKA（云密钥适配器）完成。
两种方法都将私钥存储在符合 FIPS 140-2 标准的硬件上。核心区别在于硬件的持有者以及它在工作流程中的位置。
功能比较
|
能力 |
硬件令牌 |
电子签名者 |
|
OV / IV代码签名 |
是 |
是 |
|
EV代码签名 |
是 |
是 |
|
文件签署 |
是 |
是 |
|
无需实体硬件即可签名 |
没有 |
是 |
|
团队/凭证共享 |
没有 |
是 |
|
通过 Web 应用程序登录（无需本地工具） |
没有 |
是的（eSigner Express） |
|
CLI/脚本化签名 |
是的（通过 SignTool + 驱动程序） |
是的（代码签名工具） |
|
CSC API 访问 |
没有 |
是 |
|
Windows CNG/KSP 集成 |
是（原生） |
是的（通过电子签名 CKA） |
|
远程认证支持 |
仅限 YubiKey |
不适用 |
|
内核模式驱动程序签名 |
是的（Thales SafeNet，RSA 最高可达 3072 位） |
是的（EV） |
|
沙箱/测试环境 |
没有 |
是 |
功能比较
|
特性 |
硬件令牌 |
电子签名者 |
|
钥匙存放位置 |
设备端（物理端） |
云 HSM（SSL 管理） |
|
FIPS 140-2 合规性 |
是 |
是 |
|
需要物理设备 |
是 |
没有 |
|
丢失/被盗风险 |
是 |
没有 |
|
更换过程 |
新代币订单 + 重新注册（150 美元费用） |
不适用 |
|
同时在线用户数 |
每个代币一个 |
每个订阅可拥有多个凭证 |
|
从 CI/CD 流水线签名 |
需要物理 USB 接口 |
本地人 |
|
多操作系统支持 |
Windows 系统是主要用途；其他用途有限。 |
任何能上网的操作系统 |
|
审计/使用情况跟踪 |
没有内置的 |
账户门户网站每月跟踪签约情况 |
|
微软 SmartScreen 声誉 (EV) |
是 |
是 |
|
30-day免费试用 |
没有 |
是的（签约人数不限） |
|
凭证之间共享证书 |
没有 |
是 |
定价比较
证书订单中包含硬件令牌，每个设备只需一次性支付硬件费用。没有签名费用，但每个实体令牌都绑定到一个用户和位置。团队成员的额外令牌需要单独订购。
eSigner采用订阅模式，在您的证书之上叠加一层服务。订阅方式分为月度订阅和年度订阅；年度订阅可享受25%的折扣。只要订阅保持有效，未使用的签名次数将结转到下一个计费周期。
电子签名：IV、OV 和 IV+OV 代码签名和文档签名
|
级别 |
签名凭证 |
每月签约人数 |
每月费用 |
年度签约 |
年度成本 |
超额（每人） |
|
1 |
1 |
20 |
$20.00 |
240 |
$180.00 |
$1.00 |
|
2 |
5 |
100 |
$85.00 |
1,200 |
$765.00 |
$0.85 |
|
3 |
9 |
300 |
$175.00 |
3,600 |
$1,575.00 |
$0.58 |
|
4 |
13 |
1,000 |
$250.00 |
12,000 |
$2,250.00 |
$0.25 |
所有级别均可按每月每张凭证 20.00 美元的价格购买额外的 IV/OV 签名凭证。
电子签名器：电动汽车代码签名
|
级别 |
签名凭证 |
每月签约人数 |
每月费用 |
年度签约 |
年度成本 |
超额（每人） |
|
1 |
1 |
10 |
$100.00 |
120 |
$900.00 |
$10.00 |
|
2 |
3 |
100 |
$300.00 |
1,200 |
$2,700.00 |
$3.00 |
|
3 |
7 |
1,000 |
$700.00 |
12,000 |
$6,300.00 |
$0.70 |
|
4 |
15 |
10,000 |
$1,500.00 |
120,000 |
$13,500.00 |
$0.15 |
所有套餐均提供额外的 EV 签名凭证，每个凭证每月收费 29.00 美元。如需使用超过套餐上限的凭证量，请联系 SSL 的企业销售团队，邮箱地址为 sales@ssl.com。
注意： 如果订阅失效，所有电子签名额度将被作废。取消订阅后，重新注册需支付 150 美元费用。
CI/CD 兼容性矩阵
硬件令牌需要物理 USB 连接，因此与大多数云端 CI/CD 运行器不兼容。eSigner 专为流水线集成而设计。
|
CI/CD平台 |
硬件令牌 |
电子签名器（代码签名工具） |
电子签名者（CKA） |
电子签名器（CSC API） |
|
GitHub动作 |
不支持 |
是 |
是的（自托管运行器） |
是 |
|
亚搏体育app CI |
不支持 |
是 |
是的（自托管运行器） |
是 |
|
CircleCI |
不支持 |
是 |
是的（自托管运行器） |
是 |
|
詹金斯 |
不支持 |
是 |
是 |
是 |
|
Azure开发运营 |
不支持 |
是 |
是 |
是 |
|
特拉维斯CI |
不支持 |
是 |
没有 |
是 |
|
位桶管道 |
不支持 |
是 |
没有 |
是 |
|
自托管运行程序（任何平台） |
可通过直接 USB 连接实现 |
是 |
是 |
是 |
eSigner CKA 可与 SignTool 和 certutil 等 Windows 原生工具链集成。对于 Linux 和 macOS CI 环境，建议使用 CodeSignTool 和 CSC API。
您应该选择哪种方法？
两种方案各有优劣，没有绝对的优劣之分。最佳方案取决于您的团队结构、发布节奏和基础设施。
如果符合以下条件，请选择硬件令牌：
- 你很少登录。 如果您的发布频率不高（每月几次或更少），eSigner 的每次签名订阅费用可能超过您的交易量价值。
- 你在与外界物理隔离或互联网受限的环境中工作。 硬件令牌在初始设置完成后即可完全离线使用。
- 您的签名工作流程已经围绕 Windows 原生工具构建。 例如 SignTool，而且您不需要自动化功能。
- 合规要求明确规定了实体钥匙的保管方式。 某些受监管行业规定，私钥必须存储在受组织直接控制的物理硬件上。
如果符合以下条件，请选择电子签名：
- 你使用 CI/CD 流水线。 eSigner 是唯一能够与 GitHub Actions、GitLab CI、CircleCI、Azure DevOps 等云托管运行器原生集成的选项。硬件令牌无法参与自动化云构建。
- 你们团队是分布式或远程办公的。 电子签名凭证可以在团队成员之间共享，无需运送硬件或跨地点管理实物资产。
- 你签名量很大。 在第四级，EV 签名费用降至每次签名 0.15 美元，IV/OV 签名费用降至每次签名 0.25 美元。对于每月有数百或数千笔签名交易的机构而言，eSigner 的批量级别在经济效益上更具优势。
- 除了代码签名之外，还需要文档签名。 eSigner 是目前唯一支持文档签名证书的方法。SSL 颁发的硬件令牌则专用于代码签名。
- 你想消除硬件物流环节。 电子签名可以完全消除令牌丢失、PIN 码锁定和实物运输延误等运营风险。
- 你才刚刚起步。 免费试用 30 天，签名次数不限，让团队有时间在决定订阅级别之前充分评估 eSigner。
关于混合环境的说明
在组织层面，这两种方法并非互斥。一些团队会向在本地签署构建版本的开发人员发放硬件令牌，同时采用 eSigner 来实现发布流程和自动化批处理作业。同一个 SSL 代码签名证书可以独立于订单关联的任何硬件令牌注册到 eSigner 中。
新会员入门指南
- 申请代码签名证书： ssl.com/code-signing-certificates
- 注册电子签名服务： ssl.com/esigner
- 查阅 CI/CD 集成指南： 可在 ssl.com 上获取，支持 GitHub Actions、GitLab CI、CircleCI、Jenkins、Azure DevOps、Travis CI 和 Bitbucket。
- 请联系SSL企业销售部门了解批量采购价格： sales@ssl.com
如果您对哪种方案更适合您的具体环境有任何疑问，可以通过以下方式联系 SSL 的支持团队： 在线聊天 或通过 ssl.com 上的票务门户网站。
