Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Se si pubblica l'app come pacchetto MSIX tramite il Microsoft Store, la firma del codice è gratuita e gestita automaticamente, Microsoft firma nuovamente il pacchetto dopo la certificazione e non è necessario acquistare o gestire un certificato. Se si pubblica come programma di installazione MSI/EXE tramite lo Store, si è responsabili della firma Authenticode del programma di installazione prima dell'invio. Tutto il resto di questo articolo si applica alle app distribuite fuori dal Microsoft Store.
Confronto a colpo d'occhio
| Opzione | Cost | Disponibilità | Comportamento di SmartScreen | Store idoneo | Ideale per |
|---|---|---|---|---|---|
| Microsoft Store (MSIX): Riautentica il tuo pacchetto | Gratuito | Tutto il mondo | ✅ Nessun avviso | ✅ Sì | Consigliato per la maggior parte delle nuove app |
| Microsoft Store (programma di installazione MSI/EXE) — publisher deve firmare | Incatenamento dei certificati al programma radice attendibile CA richiesto (a seconda della CA) | Tutto il mondo | ✅ Nessuna richiesta di SmartScreen durante l'installazione dallo Store (può ancora apparire UAC) | ✅ Sì | App Win32 esistenti fornite tramite percorso di installazione MSI/EXE |
| Firma di artefatti di Azure (in precedenza firma affidabile) | ~$9,99/mese | Organizzazioni: Stati Uniti, Canada, UE, Regno Unito. Individui: solo Stati Uniti e Canada | ⚠️ La reputazione si costruisce nel tempo; avvisi iniziali previsti | ❌ No | Consigliato per la distribuzione non nello Store |
| Certificato OV (da una CA, ad esempio DigiCert, Sectigo) | $150–300/anno | Tutto il mondo | ❌ No | Sviluppatori che non possono usare la firma degli artefatti Azure o che preferiscono le CA tradizionali | |
| Certificato EV | $400+/anno | Tutto il mondo | ⚠️ Uguale a OV dal 2024 — non più bypass istantaneo | ❌ No | Non più consigliato specificatamente per il bypass SmartScreen |
| Certificato autofirmato | Gratuito | - | ❌ Blocca l'installazione per gli utenti pubblici | ❌ No | Solo sviluppo/test o azienda con gestione della fiducia del certificato |
| Nessuna firma | Gratuito | - | ❌ Blocco di SmartScreen potente; le aziende possono bloccare completamente | ❌ No | Non consigliato per la distribuzione pubblica |
Microsoft Store — invii MSIX: nessuna firma necessaria
La pubblicazione di un pacchetto MSIX tramite il Microsoft Store è il percorso di distribuzione consigliato per la maggior parte delle app Windows. Microsoft firma nuovamente automaticamente il tuo pacchetto, ossia gli utenti non vedono mai un avviso di SmartScreen e non è mai necessario acquistare o rinnovare un certificato.
Annotazioni
Se invii un programma di installazione MSI o EXE Win32 allo Store (anziché un pacchetto MSIX), Microsoft non firma nuovamente il programma di installazione. Il programma di installazione e i relativi file PE devono essere firmati con un certificato concatenato a una CA nel Programma Microsoft Trusted Root: i certificati autofirmati non vengono accettati. Vedere Requisiti del pacchetto dell'app per MSI/EXE.
Creare un account per sviluppatore gratuito in storedeveloper.microsoft.com. Dopo la registrazione, usa il Partner Center per inviare la tua app e gestirne l'elenco.
→ Pubblicare l'app nel Microsoft Store
Firma Artefatti di Azure (in precedenza Firma Attendibile) — consigliata per la distribuzione non destinata allo Store
Azure Firma di Artefatti (in precedenza Firma Attendibile) è il servizio di firma del codice consigliato da Microsoft per gli sviluppatori che distribuiscono app fuori dallo Store.
Dettagli chiave:
- Costo: Circa $ 9,99 al mese - significativamente inferiore a un certificato OV o EV tradizionale
- Validazione dell'identità: Microsoft verifica l'organizzazione o l'identità del singolo prima di rilasciare i certificati; pianificate alcuni giorni lavorativi per la verifica
- Nessun token hardware richiesto: La firma si integra direttamente con le pipeline CI/CD (GitHub Actions, Azure DevOps e altri) — senza bisogno di un token USB fisico.
- Comportamento di SmartScreen: I nuovi file possono visualizzare un avviso SmartScreen fino a quando non accumulano una reputazione sufficiente. La firma degli artefatti di Azure non conferisce immediatamente attendibilità in SmartScreen, ma firmare versioni consecutive con un'identità di pubblicazione/firma coerente consente alla reputazione del publisher di consolidarsi nel tempo, così che le versioni successive possano ereditare tale attendibilità. Vedi Reputazione di SmartScreen.
Importante
Limitazione Geographic: Azure Artifact Signing è disponibile per le organizzazioni negli Stati Uniti, in Canada, nell'Unione europea e nel Regno Unito. I singoli sviluppatori sono attualmente limitati agli Stati Uniti e al Canada. Se si è un singolo sviluppatore all'esterno di tali aree, vedere certificati OV di seguito.
Documentazione sulla firma degli artefatti Azure
→ Firmare un pacchetto MSIX con SignTool
Certificati OV - opzione CA tradizionale
I certificati convalidati dall'organizzazione da un'autorità di certificazione (CA) come DigiCert, Sectigo o GlobalSign sono un'opzione ben stabilita per la firma del codice. Sono la scelta giusta quando:
- L'utente si trova all'esterno degli Stati Uniti, del Canada, dell'UE o del Regno Unito (organizzazioni); o all'esterno degli Stati Uniti o del Canada (singoli sviluppatori) e non possono usare Azure firma artefatto
- L'organizzazione ha già una relazione con una CA specifica
- I clienti aziendali richiedono un certificato da una ca specifica
Dettagli chiave:
- Costo: In genere $ 150-300/anno a seconda del livello CA e certificato
- Convalida dell'identità: La CA convalida l'identità legale dell'organizzazione prima di rilasciare il certificato; consenti diversi giorni lavorativi
- Requisito del modulo di protezione hardware: A partire da giugno 2023, il forum ca/browser richiede che le chiavi private per i certificati OV vengano archiviate in un modulo di protezione hardware (HSM) o in un token hardware. La maggior parte delle ca offre un token USB compatibile o un'opzione HSM cloud.
- Comportamento di SmartScreen: Aspettatevi che SmartScreen richiede nuovi file fino a quando non viene stabilita la reputazione. Come per qualsiasi certificato attendibile, firmare le release con un'identità coerente consente alla reputazione dell'editore di consolidarsi nelle varie versioni, anziché ricominciare ogni volta da zero.
I certificati OV sono un'opzione collaudata e sono funzionalmente equivalenti alla firma di artifact di Azure a scopo SmartScreen. Se ci si trova negli Stati Uniti o in Canada (o in un'organizzazione nell'UE o nel Regno Unito), Azure Firma di artefatti è in genere più conveniente e si integra più facilmente con le pipeline di compilazione automatizzate.
Certificati EV: non più consigliati per SmartScreen
I certificati di convalida estesa (EV) in precedenza ignoravano completamente SmartScreen al primo download, rendendoli la scelta go-to per le nuove app senza reputazione. Questo comportamento è stato rimosso nel 2024. I file con firma EV ora passano attraverso lo stesso processo di creazione della reputazione dei certificati OV.
Ciò significa:
- Se si dispone già di un certificato EV, è ancora valido e funzionale per la firma, continuare a usarlo fino alla scadenza
- I certificati EV richiedono ancora una convalida più rigorosa dell'identità, che può essere importante per l'approvvigionamento aziendale o altri contesti di attendibilità
- Il pagamento del premio EV ($ 400+/anno) esclusivamente per evitare avvisi SmartScreen non è più giustificato . Verranno comunque visualizzati gli stessi avvisi di un certificato OV
→ reputazione di SmartScreen per gli sviluppatori per informazioni dettagliate sul modo in cui la reputazione si basa e su cosa vedono gli utenti
Certificati autofirmato: solo sviluppo e test
Un certificato autofirmato non è considerato attendibile da Windows per impostazione predefinita e attiverà un blocco SmartScreen sicuro per qualsiasi utente che non ha installato manualmente il certificato come radice attendibile. In questo modo, i certificati autofirmato non sono idonei per la distribuzione pubblica.
Usi appropriati:
- Sviluppo e test locali : è possibile controllare il computer e installare manualmente il certificato
- Distribuzione interna aziendale : il reparto IT può distribuire il certificato come radice attendibile tramite Intune o Criteri di gruppo, consentendo ai dispositivi gestiti di installare l'app automaticamente
→ Firmare un pacchetto MSIX con SignTool
Open source: SignPath Foundation
Se il progetto è open source, SignPath Foundation offre la firma del codice gratuito per i progetti open source idonei. Il programma fornisce la firma del certificato a livello di OV tramite una pipeline gestita. Controllare il sito Web SignPath Foundation per i requisiti di idoneità e il processo dell'applicazione.
Contenuti correlati
Collabora con noi su GitHub
L'origine di questo contenuto è disponibile in GitHub, in cui è anche possibile creare ed esaminare i problemi e le richieste pull. Per ulteriori informazioni, vedere la guida per i collaboratori.
