代码签名证书采购指南
企业常见问题解答
当用户下载或安装一款软件时，如果系统弹出"未知发布者"的警告信息，大量用户会直接选择放弃安装——这不仅意味着潜在用户的流失，更直接影响软件的可信形象。对于软件开发商而言，如何向用户证明"这个软件是我们开发的，并且没有被篡改"，是一个必须认真对待的问题。
代码签名证书正是解决这一问题的专业工具。本文为企业采购负责人详细解答代码签名证书的核心问题，帮助您在选型过程中做出正确决策。
代码签名证书是一种数字证书，由权威证书颁发机构（CA）签发，用于对软件代码、可执行文件、脚本、驱动程序等进行数字签名。
代码签名的核心作用有两个：
✓ 身份验证：向用户证明软件的真实来源——"这个软件确实是我们公司发布的"，而非恶意第三方冒名顶替。
✓ 完整性保护：确认软件从签名发布到用户下载安装的整个过程中，内容没有被篡改或植入恶意代码。
安装了代码签名证书的软件，在用户下载时，操作系统会显示发布者的企业名称（如 Globalsign Corporation），而不是令人不安的"未知发布者"警告。用户因此更愿意信任并完成安装，软件的市场接受度随之提升。
虽然两者都属于数字证书，但保护对象和应用场景完全不同：
| 对比维度 | SSL/TLS 证书 | 代码签名证书 |
|---|---|---|
| 保护对象 | 网站与用户浏览器之间的数据传输 | 软件代码和可执行文件本身 |
| 安装位置 | Web 服务器（如 Nginx、Apache） | 开发/构建环境或签名服务器 |
| 验证对象 | 网站身份真实性 | 软件发布者身份真实性 |
| 作用时机 | 用户访问网站时触发 | 用户下载或安装软件时触发 |
| 显示位置 | 浏览器地址栏 | 操作系统安装提示、文件属性 |
💡 简单来说：SSL/TLS 证书保护"网站"，代码签名证书保护"软件"。如果企业同时有官网 HTTPS 加密和软件发行需求，两类证书通常都需要配备。
理论上，任何发布软件的企业都需要代码签名证书。以下场景尤为必要：
▸ 软件开发商：发行面向终端用户的桌面软件、客户端工具
▸ SaaS 企业：提供需要本地安装或运行的插件、扩展组件
▸ 硬件设备厂商：发布驱动程序、固件更新
▸ 企业内部软件团队：发布内部工具、自动化脚本，需通过企业安全审查
此外，如果您的软件面向 macOS 或 Windows 操作系统，代码签名几乎是发布的必要条件——苹果和微软对未签名软件的限制越来越严格，很多场景下无签名软件根本无法正常运行或安装。
当用户下载或安装经代码签名证书签名的软件时，操作系统会在安装提示窗口中显示证书中包含的企业信息，通常包括：
▸ 企业名称：经过 CA 机构验证的法定公司全称
▸ 企业类型（部分证书级别）：显示组织形式，如" corporation "（公司）
▸ 企业地址（EV 级别证书）：经过验证的实际办公地址
企业名称的显示是区分正规软件和恶意软件的关键标识。用户在看到熟悉的企业名称后，对软件的信任度会显著提升。
代码签名证书的一般有效期为 1 年，具体期限取决于购买时的配置。
需要特别注意的是：证书过期后，理论上不能用于对新软件进行签名。但在此之前使用该证书签名的软件不受影响——这是因为 GlobalSign 代码签名证书可以内置时间戳服务，签名时附带可信时间戳后，签名有效期可延伸至证书到期后的很长时间（取决于具体算法和策略）。
⚠️ 为了保障安全，建议在证书到期前完成续期，避免在新软件发布时遇到证书状态异常的情况。
私钥是代码签名证书最核心、最敏感的安全资产。一旦私钥泄露，他人可以冒用您的企业身份对恶意软件进行签名，后果极为严重。
根据证书安全等级不同，私钥保管方式也有所区别：
标准代码签名证书
私钥通常以软件文件形式存储在签名服务器或开发工作站上。需要严格控制访问权限，建议配合数字堡垒（HSM）设备使用，防止被恶意拷贝。
EV 代码签名证书（见下一章节详解）
私钥必须存储在符合 FIPS 140-2 标准的硬件 USB Token 中，无法被导出或复制，安全性更高。
💡 无论哪种类型，都强烈建议对私钥实行最小权限原则——只有真正需要使用证书进行签名的服务器或人员才能访问私钥，并配合操作审计日志记录所有签名行为。
通常来说，一张代码签名证书可以对不限数量的软件、脚本、驱动程序或应用程序进行签名，没有数量限制。
企业在采购代码签名证书时，不需要按照软件数量来估算采购量。一张证书通常可供整个企业使用，或根据团队架构分配给不同的开发/产品线使用。
不过从安全管理角度，建议企业建立统一的代码签名规范，明确哪些团队在什么场景下可以使用证书，避免私钥共用导致的安全风险。
一张代码签名证书通常支持多种平台和代码格式的签名，具体覆盖范围视 CA 机构的技术支持情况而定。GlobalSign 代码签名证书支持的常见平台包括：
Microsoft Authenticode：Windows 可执行文件（.exe、.dll、.cab、.msi、.ps1 等）
Office VBA：Microsoft Office 宏和插件
Java：JAR 和 WAR 文件（供 Java 应用程序使用）
Adobe AIR：Adobe AIR 应用程序
Mac OS / Apple：macOS 应用程序（.app、.pkg 等）
Mozilla：Firefox 浏览器插件（.xpi）
Adobe PDF：如配合文档签名证书使用
建议在采购前确认您当前使用的软件平台和格式，确保所选证书全面覆盖。
是的，这是代码签名证书的重要附加价值之一。
未签名的软件容易被操作系统和杀毒软件识别为"来源不明"，触发安全警告甚至被自动拦截。而经过可信 CA 机构签名的软件，由于身份已通过验证，更容易通过各类安全系统的白名单审查。
特别是在企业内网环境中，IT 管理员通常会限制员工安装未经审批的软件。如果软件携带有效的代码签名，企业内部的安全审批流程会更加顺畅。
此外，部分安全沙箱和企业管理软件会优先信任已签名的代码，这对于需要在内网部署的软件尤为重要。
GlobalSign 代码签名证书申请流程如下：
确定证书类型
根据软件发布场景，确定需要标准代码签名证书还是 EV 代码签名证书（详见下一篇文章）
准备企业资质
需提供企业营业执照、联系人信息等基础材料，CA 机构会进行企业真实性审核
生成密钥对
在安全的服务器或专用设备上生成公私钥对，将 CSR（证书签名请求）文件提交给 GlobalSign
完成企业身份审核
GlobalSign 会对企业注册信息进行核实（标准证书通常 1~3 个工作日）
获取并开始使用
审核通过后获取证书文件，按指引配置到签名环境中
启用时间戳
配置时间戳服务，确保签名的持久性和可靠性
如需了解具体报价或获取采购指南，欢迎通过 GlobalSign 中国官方网站获取咨询支持。
代码签名证书是软件发行过程中不可或缺的安全工具，它同时解决了"身份信任"和"代码完整性"两个核心问题。无论您的企业是软件开发商、设备厂商还是 SaaS 服务提供商，只要发布软件，代码签名证书都是提升用户信任、保障软件安全分发的必要投入。
如需了解更高安全级别的 EV 代码签名证书，请参阅我们下一篇采购指南。