摘要：代码签名证书有效期缩短后，企业需要调整的，除了续期日历，还有软件发布流程。新证书能否被构建环境正确调用，时间戳是否成功写入，签名失败时能否阻止发布，都应在证书切换前验证。
根据 CA/Browser Forum 的代码签名基线要求，自2026年3月1日起签发的公开信任代码签名证书，有效期不得超过460天。这个限制适用于新签发证书，并不意味着此前签发的两年或三年证书会在该日统一到期。
460天是上限 不代表每次购买都能获得460天
企业安排预算和续期计划时，应区分行业允许的最长有效期与产品实际签发期限。GlobalSign 产品页说明，新签发证书采用一年（366天）有效期；续期情况下，按其规则结转原证书剩余有效期，才可能达到最多460天。具体订单、续期安排及销售方案，应向 GlobalSign 中国团队确认。
因此，证书台账应记录实际签发证书的到期时间，不能把采购合同期限或460天上限直接当作使用期限。签名系统、硬件设备和服务订阅的期限，也需要分别管理。
证书到期与已签名软件失效是两回事
代码签名用于支持验证软件发布者身份，以及文件签名后的完整性。证书到期后，企业需要用有效的新证书签署后续版本；已经发布的软件，则要结合时间戳、签名完整性及验证平台策略判断。
可信时间戳能够提供签名时间的证据。在证书有效期内完成签名并取得可验证的可信时间戳，有助于让签名在签名证书自然到期后继续通过验证。GlobalSign 的 SignTool 指南也明确建议对每次代码签名使用时间戳。
这并不是永久有效的保证。文件修改、证书吊销、算法与信任策略变化，都可能影响验证结果。时间戳不能让已到期证书继续用于新版本签名，也不能替代私钥泄露后的处置。
先盘点签名身份 再安排续期
一个企业可能有多条软件发布流水线，分别生成安装包、更新程序或其他交付文件。如果只由采购人员收到续期提醒，研发团队直到发布时才发现无法签名，流程仍然存在断点。
建议建立一份可由采购、安全与发布负责人共同维护的清单，至少记录以下信息：
- 证书实际到期时间、签发者和证书标识。
- 对应产品、构建任务和发布负责人。
- 私钥所在 Token、HSM 或签名服务，以及授权方式。
- 时间戳配置、签名工具和验证方式。
- 续期申请、部署切换及应急联系人的责任。
可以将到期前60天启动续期评估、30天完成测试、7天确认切换作为内部计划示例。它们不是统一行业要求，企业需要根据身份审核、设备准备和发布窗口预留时间。
按 GlobalSign 官方指南完成签名与时间戳验证
GlobalSign 提供了基于硬件 Token、使用 Microsoft SignTool 完成 Windows 代码签名的操作指南。企业可以据此梳理现有签名步骤，并在证书续期后逐项复核。
这一官方操作示例中，签名人员先安装Token 中的 GlobalSign 代码签名证书，再使用 SignTool 签署文件，并配置可信时间戳。签名后，还需要验证实际交付文件的签名结果。企业可以用一份实际安装包完成上述检查，再记录签名身份和验证结果。
签名验证应确认发布者与预期一致、签名完整，并检查时间戳。GlobalSign 指南推荐使用 RFC 3161 时间戳，并区分普通 Authenticode 文件和内核驱动的验证策略。
企业可将签名、时间戳和最终文件验证设为发布检查项。若签名后还要修改资源、替换内容或重新打包，应再次检查实际分发文件，不能只保留中间文件的成功记录。
证书轮换要在真实发布环境里测试
新证书签发完成，只是切换工作的开始。有些脚本按指纹选择证书，有些使用发布者名称或自动选择规则。更换证书后，脚本可能找不到新证书，也可能仍然调用旧证书。
测试时，应检查构建账号能否访问正确密钥、签名工具能否调用新身份、时间戳请求是否正常，以及目标设备能否验证并安装实际交付包。对使用自动更新的产品，还需要检查更新器是否额外固定了旧证书、公钥或其他身份信息。
在新证书验证完成前，避免过早删除仍然有效的旧证书配置。可以安排必要的切换重叠窗口，但已经泄露或被吊销的证书不得作为回退方案。
按实际使用方式选择 Token 或 HSM 配置
GlobalSign 代码签名产品提供标准组织验证（OV）与扩展验证（EV）选项，并列出 Token 和 HSM 实施方式。企业可以围绕软件交付要求和现有密钥环境评估产品，具体配置及国内可提供方案以 GlobalSign 中国团队确认为准。
对于由指定人员操作的Windows 软件签名，可以参考官方 Token 与 SignTool 指南，明确设备保管人、签名人员和证书更新步骤。已有 HSM 环境的企业，应先核对设备兼容性和证书申请要求。HSM 实施选项不代表购买证书就包含 HSM 设备。
OV 与 EV 的选择也应结合实际交付要求。更严格的身份审核不等于更长有效期，也不保证软件在所有平台都免于安全提示。证书选型应同时考虑接收平台要求和签名用途。
无论采用哪种配置，证书到期、密钥状态和硬件设备都需要分别管理。不要把私钥或设备口令写入普通文档、共享配置或操作日志。
常见问题 FAQ
1 以前购买的三年代码签名证书需要马上更换吗
不会仅因460天规则实施而统一提前到期。应检查现有证书实际到期时间和状态，在续期或重新签发前确认适用规则。
2 标准代码签名和 EV 代码签名都受影响吗
该有效期限制覆盖相关公开信任代码签名证书，GlobalSign 也在其证书政策中分别列明代码签名和 EV 代码签名的460天上限。EV 证书并不因此获得更长有效期。
3 证书到期后以前发布的软件必须全部重新签名吗
不必仅凭证书自然到期就批量重签。先检查原签名的可信时间戳及目标平台验证结果。没有时间戳、文件被修改或存在吊销等情况，需要单独评估。
4 加了时间戳是否就不用续期了
仍然需要续期。时间戳支持验证已有签名的时间，不能延长代码签名证书用于新签名的有效期。
5 续期是否一定需要更换 Token 或 HSM
不能仅凭证书有效期变化判断。应结合密钥保护要求、设备支持情况以及签发机构续期流程确认，避免将证书、密钥和设备生命周期混为一谈。
6 代码签名证书续期后需要检查哪些配置
确认签名工具使用的是新证书，核对密钥访问权限，并对实际发布文件完成签名、时间戳和目标平台验证。新证书签发完成，不代表发布环境已经完成切换。
准备续期或首次申请代码签名证书的企业，可以将软件交付类型、现有Token 或 HSM 环境，以及证书到期时间告知 GlobalSign 中国团队，咨询 OV/EV 证书选型、申请与续期安排。无需提供私钥或设备口令。
官方来源
CA/Browser Forum 代码签名基线要求第6.3.2节
GlobalSign 代码签名产品页及有效期 FAQ
GlobalSign Windows SignTool 签名及验证指南
GlobalSign Certificate Policy v7.9 第6.3.2节