Сертификат подписи кода Code Signing — это цифровой SSL сертификат, идентифицирующий автора программного обеспечения и выпущенный доверенным удостоверяющим центром. Разработчик подписывает им свой код, а при установке программы пользователем происходит проверка и подтверждение подписи файла. На основании корректной подписи операционная система может гарантировать источник, доверяет программному коду и не выдаёт предупреждение о небезопасном файле приложения. В результате, больше пользователей устанавливают подписанную программу, чем не подписанную.
Другим преимуществом подписанного кода является гарантия его целостности. В случае, если злоумышленник или вирус внёс изменения в программу, защищённую SSL сертификатом подписи кода, цифровая подпись становится недействительной, о чём пользователя оповещают компоненты защиты операционной системы. Так разработчики могут защитить ПО (программное обеспечение) от внесения нежелательных изменений в код своих файлов.
Проверка подписи кода фильтром SmartScreen
Проверка SSL сертификатов подписи кода поддерживается следующими платформами:
- Microsoft Authenticode — файлы приложений .exe, .dll, .cab, .ocx, .xpi, .xap, .msi 32-х и 64-битной разрядности, а также драйверы kernel-mode;
- Adobe AIR Sign — файлы с расширением .air;
- Apple Code Sign — для программ Mac OS и их обновлений;
- Mozilla — объектные файлы Mozilla;
- Microsoft Office — макросы и скрипты Visual Basic (VBA) и файлы .docx, .pptx и .xlsx;
- Java Code Sign — файлы с расширением .jar и java-апплеты.

Для пользователей Windows присутствие подписи кода автоматически проверяет Microsoft SmartScreen. Это компонент защиты ОС Microsoft Windows 8 и выше, выполняющий блокировку вредоносных приложений. При попытке запуска исполняемого файла без подписи фильтр SmartScreen сообщит пользователю о неопознанном приложении, неизвестном издателе и потенциально небезопасном содержимом. Многие пользователи на этом шаге могут отказаться от дальнейшей установки ПО и драйверов без подписи, опасаясь того, что репутация разработчика не подтверждена.
Использование разработчиком дистрибутива программы с подписью SSL сертификатом EV Code Signing повышает уровень доверия в процессе установки, предупреждающих сообщений в Windows не возникает. Предупреждение о неизвестном издателе при наличии подписи сертификата EV Code Signing заменяется информацией о наименовании разработчика.
Как получить SSL сертификат подписи кода Code Signing
Для получения SSL сертификата Code Signing разработчик, юридическое лицо или индивидуальный предприниматель должен пройти проверку в выпускающем УЦ (удостоверяющем центре). Верификацию проходит информация об организации, адресе, телефонах и Email-адресах. В процессе подтверждения центр сертификации может затребовать различные документы, удостоверяющие существование и деятельность компании.
Облегчит и ускорит прохождение проверки удостоверяющим центром наличие у организации номера DUNS. Это международный идентификатор сродни ИНН или ОГРН, но не ограничивающийся одной юрисдикцией. Попасть в реестр DUNS можно бесплатно в течение месяца или с ускорением оформления за плату.
Длительность процедуры проверки заявителя может занимать до 1-2 недель. После успешного прохождения расширенной проверки (EV — extended validation) на юридический адрес разработчика высылается USB-токен — криптографический носитель, ключ сертификата EV Code Signing. Также может быть выбран выпуск SSL сертификата EV Code Signing в облачное хранилище. Срок действия сертификата от 1 года.
Выпуск SSL сертификатов Code Signing для российских разработчиков
С весны 2022 года многие зарубежные SSL-бренды перестали выпускать DV и OV сертификаты для доменов .RU, .РФ и Code Signing российских компаний. Одним из таких УЦ является британо-американская компания Sectigo (бывшая Comodo), отказавшаяся выпускать новые и продлевать уже выпущенные сертификаты, другими — Thawte и DigiCert. Одним из немногих сертификационных центров, продолжающих выпуск и поддержку SSL сертификатов для клиентов из России остался японо-бельгийский GlobalSign.
Хостинг-провайдер Tendence.ru является одним из нескольких официальных партнёров УЦ GlobalSign в РФ и выпускает все виды SSL сертификатов для российских компаний: от DV и OV сертификатов и S/MIME для подписи электронной почты, до EV-сертификатов с расширенной проверкой и Code Signing для подписи кода. Купить сертификат подписи кода Code Signing.
Частые вопросы
Для подписи кода приложений требуется сертификат CodeSigning. Разработчик подписывает им файлы свой программы, приложения, драйверы устройств. Операционная система компьютера пользователя проверяет есть ли подпись у файла и в случае отсутствия выдаст предупреждение безопасности. Получить сертификат подписи приложений CodeSigning в России можно после идентификации и валидации разработчика у партнёра ведущего мирового удостоверяющего центра хостинг-провайдера Tendence.ru
Этот удостоверяющий центр бесплатно выпускает сертификаты DV (Domain Validated – проверка по домену). Их можно использовать для защиты веб-сайта, блога или сразу нескольких сайтов – wildcard. Сертификаты CodeSigning не являются DV, они заверяют издателя, для этого требуется проверка не домена, а юридического лица. Let’s Encrypt не выпускает CodeSigning сертификаты, так же как и S/MIME.