Certificats de signature de code

Il existe deux niveaux de validation, et le choix de l’acheteur entre les deux dépend de qui signe et de ce qu’il signe.

• OV (Organization Validation) est le niveau standard. La CA vérifie l’existence légale d’une entreprise enregistrée et émet le certificat à cette organisation. Comodo et Sectigo émettent également des certificats équivalents OV à des particuliers vérifiés, parfois appelés Individual Validation (IV), pour les développeurs indépendants sans entreprise enregistrée. Les options OV de SSL Dragon démarrent à 219 $/an.
• EV (Extended Validation) exige une vérification plus approfondie de l’entreprise conformément aux directives EV du CA/Browser Forum. Seules les organisations enregistrées sont éligibles ; les particuliers ne le sont pas. EV est le seul niveau accepté pour la signature des pilotes en mode noyau Windows, et de nombreuses politiques d’approvisionnement et d’audit en entreprise l’imposent. Les options EV de SSL Dragon démarrent à 287 $/an.

Note sur SmartScreen : une mise à jour de 2024 du Microsoft Trusted Root Program a modifié la façon dont la réputation s’accumule. La réputation SmartScreen se construit désormais par hash de fichier et volume de téléchargements, quel que soit le type de certificat. EV n’accorde plus une confiance SmartScreen instantanée. Les binaires signés OV et EV accumulent la réputation de la même manière une fois diffusés.

Choisissez OV si vous signez des applications en mode utilisateur et souhaitez un tarif plus bas. Choisissez EV si vous signez des pilotes en mode noyau Windows, avez besoin d’une assurance d’identité maximale, ou si vos procédures d’approvisionnement mentionnent explicitement EV.

Depuis le 1er juin 2023, le CA/Browser Forum exige que la clé privée de chaque certificat de confiance publique soit générée et stockée sur un matériel conforme à FIPS 140-2 Level 2 ou Common Criteria EAL 4+. Les fichiers .pfx téléchargeables ne sont plus émis. Les acheteurs choisissent l’une des trois méthodes de livraison suivantes :

1. Token USB expédié par la CA. La CA envoie par courrier un token USB FIPS 140-2 Level 2 préchargé (généralement un YubiKey) à l’adresse vérifiée de la commande.
2. Apportez votre propre appareil conforme. Si votre équipe dispose déjà d’un HSM ou d’un token conforme FIPS 140-2 Level 2 ou Common Criteria EAL 4+, la CA émet le certificat sur la base d’une attestation de cet appareil.
3. Service de signature via HSM cloud. La clé privée est générée et conservée dans un HSM cloud géré par la CA, tel que DigiCert KeyLocker, la signature cloud Sectigo, ou SSL.com eSigner. Aucun token physique à expédier, et la signature s’intègre facilement dans les pipelines CI/CD.

Un token USB est la solution la plus simple pour une signature manuelle occasionnelle ; la signature cloud convient mieux aux builds automatisés. Les trois méthodes partagent la même infrastructure à clé publique (PKI) : le certificat lie votre identité vérifiée à une clé publique, le matériel protège la clé privée, et la signature numérique résultante est ce que Windows vérifie.

Les étapes de configuration sont disponibles dans nos tutoriels de signature de code.

À compter du 1er mars 2026, les certificats de confiance publique ont une validité maximale de 460 jours (environ 15 mois), contre un maximum précédent de 39 mois. Ce changement découle du vote CSC-31 du CA/Browser Forum. Les commandes pluriannuelles sont toujours disponibles, mais le certificat lui-même est réémis au cours de la période achetée plutôt que de la couvrir entièrement.

Ce que cela signifie au niveau de la commande :

• Un nouveau certificat individuel est limité à environ 15 mois de validité
• Les commandes sur 2 et 3 ans restent disponibles, avec réémission pendant la période
• Les commandes installées sur HSM peuvent couvrir toute la période achetée mais nécessitent une réémission annuelle
• Les certificats émis avant le 1er mars 2026 restent valides jusqu’à leur date d’expiration initiale

Le code correctement horodaté reste fiable au-delà de l’expiration du certificat, de sorte que les logiciels déjà signés et distribués ne sont pas affectés. Seule la fréquence de renouvellement change.

SSL Dragon propose des options de quatre autorités de certification. Voici comment les options OV et EV se comparent en termes de prix de départ, de livraison matérielle et de délai d’émission.

Comodo et Sectigo OV démarrent tous deux à 219 $/an et sont les options de confiance publique les moins chères de cette page. DigiCert se positionne en haut de gamme, à 400 $ pour OV et 685 $ pour EV, et est généralement choisi par les acheteurs dont les contrats ou les cadres de conformité mentionnent spécifiquement DigiCert. GoGetSSL est le choix économique au niveau EV à 369 $/an. Les quatre CA expédient des tokens matériels, DigiCert proposant également la signature cloud KeyLocker pour les workflows sans HSM.

Aucune autorité de certification de confiance publique ne propose de signature de code gratuite en 2026.

Deux coûts réels rendent cela impossible :

1. La CA doit vérifier l’identité de l’éditeur (organisation ou particulier)
2. Depuis juin 2023, la clé privée doit être stockée sur un matériel conforme FIPS, dont quelqu’un doit assumer le coût

Les certificats auto-signés peuvent être générés avec OpenSSL et ne coûtent rien, mais Windows, macOS et les navigateurs ne leur font pas confiance, ce qui laisse l’avertissement « Éditeur inconnu » en place. Si le prix est le facteur déterminant, Comodo Code Signing et Sectigo Code Signing OV (ou Individual Validation pour les développeurs indépendants) sont les offres d’entrée de gamme à 219 $/an.

Un certificat de n’importe quelle CA proposée par SSL Dragon peut signer :

• Binaires et installateurs Windows : fichiers .exe, .dll, .cab, .ocx, .msi et .xap signés via Microsoft Authenticode
• Pilotes Windows : pilotes en mode utilisateur (OV ou EV) et pilotes en mode noyau (EV uniquement)
• Applications Java : fichiers .jar signés avec jarsigner
• Scripts et macros : scripts PowerShell, VBScript et macros VBA Microsoft Office
• Autres formats : packages Adobe AIR, fichiers objets Mozilla et Microsoft Silverlight (héritage mais toujours valide)
• Firmware et logiciels IoT
• Conteneurs et packages logiciels

Le même certificat couvre la plupart des éléments de la liste ci-dessus ; le cas des pilotes en mode noyau est celui qui impose le niveau EV.

Un certificat SSL/TLS chiffre la connexion entre un navigateur et un site web. Un certificat de signature de code signe numériquement un logiciel afin que le système d’exploitation puisse vérifier qui l’a publié et que le fichier n’a pas été modifié.

Les deux ne sont pas interchangeables : l’un sécurise un domaine, l’autre prouve l’origine d’un exécutable. Ce sont tous deux des certificats X.509 émis par une autorité de certification, ce qui explique la confusion fréquente entre eux.