Tutoriels sur les certificats de signature de code

Un certificat de signature de code ne s’installe pas de la même façon qu’un certificat SSL. Il n’y a pas de fichier à déposer sur un serveur. La clé privée doit être créée à l’intérieur d’un équipement matériel certifié et y rester pendant toute la durée de vie du certificat, ce qui modifie l’ordre de chacune des étapes qui suivent : ce que vous choisissez lors de la commande, ce que vous devez envoyer à l’autorité de certification, ce qui arrive une fois la validation terminée, et ce que vous tapez lorsque vous signez enfin quelque chose.

Ces tutoriels couvrent chacune de ces étapes pour les certificats vendus par SSL Dragon. Utilisez cette page pour déterminer à quelle étape vous vous trouvez, et pour vérifier les quelques règles qui s’appliquent quelle que soit l’autorité de certification ou l’appareil utilisé.

Navigation rapide

• Quelle méthode de livraison choisir pour un certificat de signature de code ?
• Génération de CSR et attestation sur YubiKey 5 FIPS
• Luna Network HSM 7 : guide de CSR et d’attestation
• Comment valider les certificats de signature de code Sectigo et Comodo
• Comment valider les certificats de signature de code DigiCert et GoGetSSL
• Comment configurer un certificat de signature de code EV sur un jeton expédié
• Installation du certificat de signature de code sur YubiKey 5 FIPS
• Comment signer un fichier EXE avec un certificat de signature de code

Ce qui régit désormais chaque commande de certificat de signature de code

Trois évolutions du secteur sous-tendent les huit guides ci-dessous. Les lire en premier explique pourquoi le processus se présente ainsi, et vous évite de suivre des instructions plus anciennes qui circulent encore largement.

La clé privée doit être générée et conservée dans un équipement matériel certifié

Depuis le 1er juin 2023, les Baseline Requirements pour la signature de code du CA/Browser Forum exigent que la clé privée soit protégée par un module cryptographique certifié au minimum FIPS 140-2 niveau 2 ou Critères Communs EAL 4+. Les autorités de certification ne peuvent plus vous laisser générer une clé dans un navigateur ou sur un ordinateur portable puis télécharger un fichier PFX par la suite.

Tout le reste découle de cette seule règle. C’est la raison pour laquelle le formulaire de commande vous demande de choisir une méthode de livraison, pourquoi un fichier d’attestation existe (c’est ainsi que vous prouvez à l’autorité de certification qu’une clé qu’elle n’a jamais vu créer a bien été générée dans un équipement conforme), et pourquoi installer le certificat consiste à l’insérer dans un emplacement d’un appareil plutôt qu’à l’importer sur un serveur.

Les certificats sont désormais valides quelques mois, et non plusieurs années

Le vote CSC-31 du CA/Browser Forum, adopté le 17 novembre 2025 sous la forme de la version 3.10.0 des Baseline Requirements pour la signature de code, réduit la durée de validité maximale d’un certificat de signature de code de confiance publique de 39 mois à 460 jours pour les certificats émis à partir du 1er mars 2026. Cela s’applique aussi bien aux certificats standard qu’aux certificats à validation étendue (EV).

Les deux autorités de certification ont anticipé et ont toutes deux retenu 459 jours, soit environ quinze mois : Sectigo à partir du 23 février 2026 et DigiCert à partir du 24 février 2026. DigiCert a supprimé en même temps ses options de deux et trois ans. Tout guide, y compris les versions plus anciennes de ces pages, qui vous propose un certificat de signature de code de trois ans décrit un produit qui n’existe plus. Les achats pluriannuels signifient désormais une couverture sur plusieurs années avec réémission, et non un seul certificat de longue durée. Cette durée de vie plus courte explique aussi pourquoi l’horodatage de chaque signature n’est plus facultatif, puisqu’un horodatage est ce qui permet à un logiciel déjà distribué de rester valide une fois le certificat expiré.

La validation étendue ne contourne plus SmartScreen

Les certificats de signature de code EV permettaient auparavant d’éviter l’avertissement de Microsoft Defender SmartScreen sur une toute nouvelle application. Ce comportement a été supprimé en août 2024, lorsque les identifiants d’objet de signature de code EV ont été retirés des racines du programme Microsoft Trusted Root Program. Windows traite désormais tous les certificats de signature de code de la même manière, et un fichier signé avec un certificat EV construit sa réputation exactement comme un fichier signé avec un certificat OV.

L’EV implique toujours une vérification plus stricte de votre organisation, et certaines règles d’achat en entreprise l’exigent encore, il n’a donc pas cessé d’être utile. Simplement, il ne procure plus une confiance instantanée sous Windows, et aucune procédure de signature décrite dans ces pages ne changera cela.

Étape 1 : Choisir ou confirmer votre méthode de livraison

C’est la première décision, et la seule que vous ne pouvez pas revenir en arrière. Elle déterminera si l’autorité de certification vous envoie du matériel ou attend que vous fournissiez le vôtre, et elle détermine donc lesquels des guides ci-dessous s’appliquent à vous.

Quelle méthode de livraison choisir pour un certificat de signature de code ?

Compare les deux options proposées sur le formulaire de commande, un jeton préchargé et expédié par l’autorité de certification par rapport à un matériel que vous possédez déjà, avec les frais d’expédition actuels pour chaque autorité de certification, les appareils que Sectigo et DigiCert acceptent réellement aujourd’hui, ce que font différemment les services de signature en cloud gérés par les autorités de certification, et pourquoi ce choix est verrouillé lors de la commande. À lire avant de commander : le guide liste également les questions à régler à l’avance, comme savoir si votre appareil figure sur la liste prise en charge par votre autorité de certification et s’il peut réellement produire une attestation. Si la commande existe déjà, il précise ce qui peut ou ne peut pas être modifié à ce stade.

Étape 2 : Générer la clé et la CSR dans votre propre matériel

Passez cette étape si l’autorité de certification vous envoie un jeton préchargé, car la clé est générée pour vous avant l’expédition de l’appareil. Elle ne s’applique que si vous avez choisi d’utiliser un matériel que vous possédez déjà, auquel cas l’autorité de certification ne peut rien émettre avant de recevoir de votre part une CSR générée sur cet appareil ainsi qu’un dossier d’attestation prouvant que la clé y a été créée et ne peut pas être exportée.

Un avertissement avant de commencer sur une YubiKey : l’interface graphique YubiKey Manager, sur laquelle s’appuient les anciennes instructions, a atteint sa fin de vie le 19 février 2026. L’outil en ligne de commande ykman et Yubico Authenticator ne sont pas concernés et sont ceux utilisés dans les guides ci-dessous.

Génération de CSR et attestation sur YubiKey 5 FIPS

La procédure complète avec ykman sur une YubiKey 5 FIPS : mettre d’abord le jeton en mode approuvé FIPS (sans quoi il refuse de générer une clé), choisir l’emplacement et l’algorithme de clé, produire la paire de clés et la CSR, exporter le certificat d’attestation et l’intermédiaire Yubico, puis les assembler dans le fichier PEM unique attendu par l’autorité de certification. Le guide traite également du piège d’encodage PowerShell qui fait rejeter un fichier d’attestation par ailleurs correct.

Luna Network HSM 7 : guide de CSR et d’attestation

La même opération sur un Thales Luna Network HSM, à l’aide de l’utilitaire autonome cmu fourni par le Luna HSM Client : génération de la paire de clés RSA avec les attributs dont dépend l’attestation, lecture des identifiants d’objet, construction de la CSR avec l’algorithme de signature correct, et production de la confirmation de clé publique vérifiée par l’autorité de certification. À lire même si vous avez déjà exécuté ces commandes, car la version diffusée dans l’ensemble du secteur produit une CSR signée en SHA-1 à moins d’ajouter une option.

Étape 3 : Réussir la validation

La validation concerne votre identité, pas votre matériel, elle se déroule donc en parallèle des étapes 1 et 2 plutôt qu’après elles. L’autorité de certification confirme que l’entité nommée dans le certificat existe légalement, qu’elle est joignable à une adresse et à un numéro de téléphone ou une adresse e-mail qu’elle peut vérifier auprès d’une source autre que votre formulaire de commande, et que la personne ayant approuvé la demande y était autorisée. C’est à cette étape que se bloque la quasi-totalité des commandes retardées, et c’est la seule étape que vous ne pouvez pas accélérer par vous-même.

Les deux autorités de certification suivent des processus différents, choisissez donc le guide correspondant à votre certificat.

Comment valider les certificats de signature de code Sectigo et Comodo

Ce que Sectigo vérifie et dans quel ordre, pour la validation d’organisation, pour les développeurs individuels sans société, et pour la validation étendue : la vérification au registre de votre nom légal, la session automatisée de Video ID, la vérification d’adresse et de contact, le Subscriber Agreement, l’appel qui clôture la commande, et les étapes supplémentaires de vérification d’existence opérationnelle et de second examen ajoutées par l’EV. Le guide explique également pourquoi des documents à l’en-tête Comodo apparaissent sur une commande Sectigo, et que faire lorsque le registre gouvernemental seul ne suffit pas.

Comment valider les certificats de signature de code DigiCert et GoGetSSL

Le processus de DigiCert pour les certificats CS et EV CS, y compris le point qui bloque la plupart des commandes : deux éléments distincts doivent être finalisés, l’organisation doit être validée pour la signature de code et un contact vérifié désigné pour ce type de certificat doit approuver la demande, la commande reste en attente jusqu’à ce que les deux soient réalisés. Le guide couvre la vérification de l’organisation, de l’adresse et du téléphone, l’appel de confirmation, la procédure individuelle pour les développeurs sans société déclarée, et que faire lorsqu’une commande stagne.

Étape 4 : Installer le certificat sur votre matériel

Une fois la validation réussie, le certificat est émis. Ce qui se passe ensuite dépend de la méthode de livraison choisie à l’étape 1. Soit un jeton arrive par courrier avec la clé et le certificat déjà présents, soit vous recevez un fichier de certificat à importer dans l’appareil qui a généré votre CSR.

Comment configurer un certificat de signature de code EV sur un jeton expédié

La procédure pour un jeton expédié par l’autorité de certification, ce qui correspond au mode de livraison habituel des commandes EV. Le guide couvre l’installation du SafeNet Authentication Client, l’ordre dans lequel le logiciel client et le jeton doivent être connectés, le remplacement du mot de passe initial du jeton envoyé par e-mail par l’autorité de certification, la vérification de la visibilité du certificat sous Windows, et la recherche de l’empreinte numérique (thumbprint) dont votre outil de signature aura besoin. Lisez la section sur le blocage avant de saisir le mot de passe : le jeton se bloque après un petit nombre de tentatives erronées, et le mot de passe administrateur qui permettrait de le débloquer reste détenu par l’autorité de certification.

Installation du certificat de signature de code sur YubiKey 5 FIPS

Importer le certificat émis dans l’emplacement de la YubiKey dont la paire de clés a produit votre CSR, via ykman ou Yubico Authenticator, ainsi que la façon de vérifier le résultat et que faire lorsque l’autorité de certification envoie un fichier PKCS#7 que l’outil ne peut pas lire. Le guide clarifie également deux points souvent erronés dans les anciens guides : quel identifiant l’importation demande réellement, et où l’intermédiaire Sectigo doit véritablement se trouver pour que vos signatures forment une chaîne correcte.

Étape 5 : Signer votre code et le vérifier

La dernière étape est celle que vous répéterez à chaque version, il vaut donc la peine de bien maîtriser la commande une fois pour toutes et de l’automatiser.

Comment signer un fichier EXE avec un certificat de signature de code

Trouver SignTool dans le Windows SDK sans avoir à deviner un numéro de version, la commande de signature avec une empreinte SHA-256 et un horodatage RFC 3161, sélectionner le bon certificat sur une machine qui en contient plusieurs, la vérification canonique et pourquoi elle échoue sans le bon paramètre, et comment signer depuis une clé cloud ou un pipeline CI/CD. Le guide couvre également l’option sans jeton désormais recommandée par Microsoft pour la distribution hors Store, ainsi que ce que la signature fait et ne fait pas concernant SmartScreen.