Certificats de signature de code à validation étendue (EV)

EV est le seul niveau viable dans trois scénarios d’achat :

• Signature des pilotes en mode noyau Windows. Le portail Windows Hardware Dev Center et le flux de soumission WHQL rejettent tout ce qui est en dessous du niveau EV.
• Contrats d’approvisionnement ou cadres d’audit mentionnant explicitement Extended Validation. Dès que la spécification exige EV, OV ne satisfera pas la liste de contrôle de l’acheteur.
• Éditeurs de logiciels d’entreprise ayant besoin d’une assurance d’identité maximale. Utile lorsque les installateurs atteignent des clients dans des secteurs réglementés.

Pour tout le reste, OV est le bon choix. Le chiffrement est identique dans les deux niveaux ; la différence réside dans l’assurance d’identité et ce que l’infrastructure Authenticode de Microsoft accepte pour la signature en mode noyau. Les développeurs individuels, les applications en mode utilisateur, les scripts, les macros et les programmes de signature à budget réduit sont tous servis par OV à un prix inférieur avec une vérification allégée.

Si votre scénario ne nécessite pas EV, notre page certificat de signature de code OV présente l’alternative moins coûteuse.

Tous les certificats EV de cette page sont émis selon les mêmes exigences EV du CA/Browser Forum, donc le choix se résume généralement à une obligation de marque, au budget et à la nécessité d’un chemin de signature cloud.

Si vous n’avez aucune exigence de marque et souhaitez le prix le plus bas, Comodo EV Code Signing à 287 $/an est le point d’entrée. Choisissez DigiCert lorsque la signature cloud KeyLocker fait partie de votre pipeline de build ou qu’un cadre d’approvisionnement nomme DigiCert directement. GoGetSSL se situe entre les deux, avec une portée de vérification internationale plus large.

Chaque clé de signature de code EV réside désormais sur un matériel certifié conformément au mandat du CA/Browser Forum de juin 2023. Trois modes de livraison spécifiques à EV sont disponibles pour les certificats de cette page :

• Token USB expédié par la CA. Idéal pour la signature manuelle occasionnelle. La CA précharge la clé privée sur un dispositif FIPS 140-2 Level 2, généralement un YubiKey FIPS, et l’expédie à votre organisation enregistrée.
• Votre propre HSM ou dispositif conforme. Si vous exploitez déjà un module de sécurité matérielle certifié FIPS 140-2 Level 2 ou Common Criteria EAL 4+, la CA émet le certificat à partir d’un fichier d’attestation de votre dispositif.
• Service de signature HSM cloud. DigiCert KeyLocker est l’option HSM cloud disponible sur cette page. La signature s’effectue via une API, ce qui convient aux pipelines CI/CD et supprime le token physique du flux de travail.

Pour les builds automatisés, ou la signature sous Linux ou macOS où un token USB lié à Windows est peu pratique, la signature cloud est la solution à évaluer en premier.

Jusqu’au début de 2024, une signature EV sur un binaire Windows était traitée par Microsoft SmartScreen comme un accélérateur de réputation instantané, et les pages marketing de la plupart des CA laissent encore entendre cela. La mise à jour du programme Microsoft Trusted Root de mars 2024 a modifié le calcul de la réputation.

SmartScreen évalue désormais la confiance par hachage de fichier et volume de téléchargement, que le binaire ait été signé sous EV ou OV ; les deux niveaux accumulent la réputation de la même manière une fois qu’un build est diffusé. Achetez EV pour les raisons liées aux pilotes en mode noyau et aux exigences d’approvisionnement, et non pour un raccourci SmartScreen qui n’existe plus.

A compter du 1er mars 2026, le Ballot CSC-31 du CA/Browser Forum (adopté en novembre 2025) plafonne la validité maximale de tout certificat de signature de code à 460 jours. Les commandes pluriannuelles sont toujours proposées ; les certificats sont réémis pendant la durée du contrat. Les commandes installées sur HSM peuvent couvrir la durée totale achetée, mais nécessitent une réémission annuelle.

Le code signé avec un horodatage valide d’un TSA, tel que le service d’horodatage de DigiCert ou de Sectigo, reste fiable au-delà de l’expiration du certificat, de sorte que les anciennes versions continuent de fonctionner.