Certificados de Firma de Código de Validación Extendida (EV)

EV es el único nivel viable en tres escenarios de compra:

• Firma de controladores en modo kernel de Windows. El portal Windows Hardware Dev Center y el flujo de envío WHQL rechazan cualquier nivel inferior a EV.
• Contratos de adquisición o marcos de auditoría que mencionan explícitamente Extended Validation. Una vez que la especificación indica EV, OV no satisfará la lista de requisitos del comprador.
• Editores de software empresarial que necesitan la máxima garantía de identidad. Útil cuando los instaladores llegan a clientes en sectores regulados.

Para todo lo demás, OV es la opción correcta. El cifrado es idéntico en ambos niveles; la diferencia radica en la garantía de identidad y en lo que la infraestructura Authenticode de Microsoft acepta para la firma en modo kernel. Los desarrolladores individuales, las aplicaciones en modo usuario, los scripts, las macros y los programas de firma con presupuesto reducido están todos cubiertos por OV a un precio menor y con una verificación más ligera.

Si tu escenario no requiere EV, nuestra página de certificado OV de firma de código cubre la alternativa más económica.

Todos los certificados EV de esta página se emiten bajo los mismos requisitos EV del CA/Browser Forum, por lo que la elección generalmente depende del requisito de marca, el presupuesto y si necesitas una ruta de firma en la nube.

Si no tienes ningún requisito de marca y quieres el precio más bajo, Comodo EV Code Signing a $287/año es el punto de entrada. Elige DigiCert cuando la firma en la nube con KeyLocker forme parte de tu pipeline de compilación o cuando un marco de adquisición nombre a DigiCert directamente. GoGetSSL se sitúa en el medio, con mayor alcance de verificación internacional.

Cada clave EV de firma de código reside ahora en hardware certificado bajo el mandato del CA/Browser Forum de junio de 2023. Hay tres rutas de entrega específicas para EV disponibles en los certificados de esta página:

• Token USB enviado por la CA. Ideal para firma manual ocasional. La CA precarga la clave privada en un dispositivo FIPS 140-2 Level 2, normalmente un YubiKey FIPS, y lo envía a tu organización registrada.
• Tu propio HSM o dispositivo compatible. Si ya operas un módulo de seguridad de hardware con certificación FIPS 140-2 Level 2 o Common Criteria EAL 4+, la CA emite el certificado contra un archivo de atestación de tu dispositivo.
• Servicio de firma con HSM en la nube. DigiCert KeyLocker es la opción de HSM en la nube disponible en esta página. La firma se realiza a través de una API, lo que se adapta a los pipelines CI/CD y elimina el token físico del flujo de trabajo.

Para compilaciones automatizadas, o para firmar en Linux o macOS donde un token USB vinculado a Windows resulta incómodo, la firma en la nube es la opción que debes evaluar primero.

Hasta principios de 2024, una firma EV en un binario de Windows era tratada por Microsoft SmartScreen como un impulso instantáneo de reputación, y las páginas de marketing de la mayoría de las CA aún lo insinúan. La actualización del Programa de Raíz de Confianza de Microsoft de marzo de 2024 cambió la forma en que se calcula la reputación.

SmartScreen ahora puntúa la confianza por hash de archivo y volumen de descargas, independientemente de si el binario fue firmado con EV o OV; ambos niveles acumulan reputación de la misma manera una vez que una compilación está en circulación. Adquiere EV por las razones relacionadas con los controladores en modo kernel y la adquisición, no por un atajo de SmartScreen que ya no existe.

A partir del 1 de marzo de 2026, la Votación CSC-31 del CA/Browser Forum (aprobada en noviembre de 2025) limita la validez máxima de cada certificado de firma de código a 460 días. Los pedidos plurianuales siguen vendiéndose; los certificados se reemiten durante el plazo. Los pedidos instalados en HSM pueden cubrir el plazo completo adquirido, pero requieren reemisión anual.

El código firmado con una marca de tiempo válida de una TSA, como el servicio de marca de tiempo de DigiCert o Sectigo, sigue siendo de confianza más allá de la expiración del certificado, por lo que las versiones antiguas continúan funcionando.