申请Windows代码签名证书之前，这几个关键问题你想清楚了吗
准备申请Windows代码签名证书？别急着提交申请，先想清楚这几个关键问题，避免踩坑。
核心速览
- 普通exe/msi：OV即可，成本更低
- 驱动程序：必须EV代码签名
- 内核驱动：EV + WHQL 双重认证
- EV必须硬件存储，微软预信任，无SmartScreen拦截
- 私钥安全决定证书寿命，团队共用建议HSM
问题1：选OV还是EV
OV代码签名
- 验证企业基本身份
- 颁发时间1-3天
- 私钥可软件存储
- 需要信誉积累期
- 价格适中
EV代码签名
- 扩展验证，审查更严格
- 颁发时间3-7天
- 私钥必须硬件存储（HSM）
- 微软预信任，信誉建立快
- 价格较高
选择建议
- 普通应用程序：OV或EV
- 驱动程序：必须EV
- 内核模式驱动：EV+WHQL认证
问题2：需要签名什么类型的文件
常见文件类型
- .exe、.msi（应用程序）
- .dll（动态链接库）
- .sys（驱动程序）
- .cab（压缩包）
- .ocx（ActiveX控件）
特殊要求——驱动程序签名
- Windows 10/11驱动：必须EV代码签名
- 内核模式驱动：EV代码签名+WHQL认证
- 未经签名的驱动无法加载（64位系统强制要求）
问题3：什么是WHQL认证
WHQL（Windows Hardware Quality Labs）是微软的硬件兼容性认证。
什么时候需要WHQL
- 内核模式驱动程序
- 系统级驱动（显卡、网卡、存储等）
- 需要Windows徽标认证的产品
- 通过Windows Update分发驱动
WHQL认证流程
- 申请EV代码签名证书
- 使用EV代码证书签名驱动
- 提交微软硬件开发中心
- 通过HCK/HLK测试
- 获得微软数字签名
- 驱动可正常加载和分发
EV+WHQL vs 仅EV代码签名
仅EV代码签名：
- 驱动可安装，但会显示警告
- 需要用户手动确认
- 无法通过Windows Update分发
EV+WHQL：
- 驱动完全信任，无警告
- 可通过Windows Update自动更新
- 获得Windows徽标使用权
- 用户安装体验最佳
问题4：证书有效期多长
行业标准
- 代码签名证书：1年
- 私钥保护越好，有效期可越长
- 考虑续期成本和时间
建议
- 首次申请选1年，验证流程
- 驱动开发者注意：WHQL认证周期较长，提前规划
问题5：私钥如何保护
存储方案对比
软件存储（PFX文件）：
- 便利但风险高
- 易泄露，难追溯
- 仅适合个人测试
- 微软已不推荐用于驱动签名
USB令牌：
- 物理隔离，较安全
- 便携但易丢失
- 适合小团队
HSM硬件：
- 最安全，私钥不出硬件
- 支持多人权限管理
- 适合企业级应用
- 微软推荐方案
GlobalSign推荐：EV代码证书+HSM，满足最高安全要求。
问题6：团队如何共用证书
- 单人使用：USB令牌或软件存储
- 多人团队：HSM集中存储+权限管理、云签名服务、签名网关代理
- 驱动开发团队：建立标准化签名流程，保护私钥
申请前准备清单
材料准备
- 企业营业执照
- 企业银行账户对账单
- 法人身份证明
- 授权签字人证明
驱动开发者额外准备
- 驱动程序测试环境
- HCK/HLK测试工具
- 微软硬件开发中心账户
- 驱动 INF 文件和安装包
技术准备
- 确定签名工具（signtool等）
- 准备测试环境
- 了解签名流程
- 驱动开发者：熟悉WHQL流程
GlobalSign申请流程
- 在线提交申请（选择OV或EV）
- 上传验证材料
- CA审核（OV：1-3天，EV：3-7天）
- 接收证书（下载或硬件邮寄）
- 配置签名环境
- 开始签名
- 驱动开发者：提交WHQL认证
GlobalSign优势
- 微软信任的CA，兼容性好
- 支持驱动签名和WHQL认证
- 中文技术支持，响应及时
- HSM解决方案，满足最高安全要求
- 完整的驱动签名指导文档
想清楚这6个问题，申请代码签名证书就不会踩坑。特别是驱动开发者，务必了解EV+WHQL的要求，确保驱动顺利加载。
延伸阅读：驱动签名详细流程？WHQL认证指南？HSM选型建议？访问 globalsign.cn 获取完整指南。