Sertifikat Penandatanganan Kode

Terdapat dua tingkat validasi, dan pilihan pembeli di antara keduanya bergantung pada siapa yang menandatangani dan apa yang mereka tandatangani.

• OV (Organization Validation) adalah tingkat standar. CA memverifikasi keberadaan hukum suatu bisnis yang terdaftar dan menerbitkan sertifikat kepada organisasi tersebut. Comodo dan Sectigo juga menerbitkan sertifikat setara OV kepada individu yang telah diverifikasi, yang kadang disebut Individual Validation (IV), untuk pengembang solo tanpa perusahaan terdaftar. Pilihan OV SSL Dragon mulai dari $219/tahun.
• EV (Extended Validation) memerlukan verifikasi bisnis yang lebih mendalam sesuai panduan EV dari CA/Browser Forum. Hanya organisasi terdaftar yang memenuhi syarat; individu tidak. EV adalah satu-satunya tingkat yang diterima untuk menandatangani driver kernel-mode Windows, dan banyak kebijakan pengadaan serta audit perusahaan yang mewajibkannya. Pilihan EV SSL Dragon mulai dari $287/tahun.

Catatan tentang SmartScreen: pembaruan tahun 2024 pada Microsoft Trusted Root Program mengubah cara reputasi terakumulasi. Reputasi SmartScreen kini dibangun berdasarkan hash file dan volume unduhan, terlepas dari jenis sertifikat. EV tidak lagi memberikan kepercayaan SmartScreen secara instan. Biner yang ditandatangani dengan OV maupun EV membangun reputasi dengan cara yang sama setelah beredar.

Pilih OV jika Anda menandatangani aplikasi user-mode dan menginginkan harga yang lebih terjangkau. Pilih EV jika Anda menandatangani driver kernel-mode Windows, membutuhkan jaminan identitas maksimal, atau memiliki pengadaan yang secara eksplisit menyebutkan EV.

Sejak 1 Juni 2023, CA/Browser Forum mewajibkan setiap private key sertifikat yang dipercaya publik untuk dibuat dan disimpan pada hardware yang memenuhi standar FIPS 140-2 Level 2 atau Common Criteria EAL 4+. File .pfx yang dapat diunduh tidak lagi diterbitkan. Pembeli memilih salah satu dari tiga jalur pengiriman berikut:

1. USB token yang dikirim oleh CA. CA mengirimkan USB token FIPS 140-2 Level 2 yang sudah terisi (biasanya YubiKey) ke alamat terverifikasi pada pesanan.
2. Perangkat milik sendiri yang memenuhi syarat. Jika tim Anda sudah mengoperasikan HSM atau token yang memenuhi standar FIPS 140-2 Level 2 atau Common Criteria EAL 4+, CA menerbitkan sertifikat berdasarkan attestation dari perangkat tersebut.
3. Layanan penandatanganan cloud HSM. Private key dibuat dan disimpan di cloud HSM yang dikelola CA seperti DigiCert KeyLocker, cloud signing Sectigo, atau SSL.com eSigner. Tidak ada token fisik yang perlu dikirim, dan penandatanganan dapat diintegrasikan dengan mudah ke dalam pipeline CI/CD.

USB token paling sederhana untuk penandatanganan manual yang jarang dilakukan; cloud signing lebih cocok untuk build otomatis. Ketiga jalur ini menggunakan Public Key Infrastructure (PKI) yang sama: sertifikat mengikat identitas terverifikasi Anda ke public key, hardware melindungi private key, dan tanda tangan digital yang dihasilkan itulah yang diverifikasi oleh Windows.

Langkah-langkah pengaturan tersedia di tutorial code signing kami.

Mulai 1 Maret 2026, sertifikat yang dipercaya publik memiliki masa berlaku maksimum 460 hari (sekitar 15 bulan), turun dari maksimum 39 bulan sebelumnya. Perubahan ini berasal dari CA/Browser Forum Ballot CSC-31. Pesanan multi-tahun masih tersedia, tetapi sertifikat itu sendiri diterbitkan ulang dalam jangka waktu yang dibeli, bukan mencakup seluruh jangka waktu tersebut.

Dampaknya pada tingkat pesanan:

• Satu sertifikat baru dibatasi masa berlakunya hingga ~15 bulan
• Pesanan 2 tahun dan 3 tahun tetap tersedia, dengan penerbitan ulang selama masa berlaku
• Pesanan yang dipasang di HSM dapat mencakup seluruh jangka waktu yang dibeli tetapi memerlukan penerbitan ulang tahunan
• Sertifikat yang diterbitkan sebelum 1 Maret 2026 tetap berlaku hingga tanggal kedaluwarsa aslinya

Kode yang diberi timestamp dengan benar tetap dipercaya melewati tanggal kedaluwarsa sertifikat, sehingga perangkat lunak yang sudah Anda tandatangani dan distribusikan tidak terpengaruh. Hanya jadwal pembaruan yang berubah.

SSL Dragon menyediakan pilihan dari empat Certificate Authority. Berikut perbandingan pilihan OV dan EV berdasarkan harga awal, pengiriman hardware, dan waktu penerbitan.

Comodo dan Sectigo OV keduanya mulai dari $219/tahun dan merupakan pilihan yang dipercaya publik dengan harga termurah di halaman ini. DigiCert berada di segmen premium, $400 untuk OV dan $685 untuk EV, dan biasanya dipilih oleh pembeli yang kontrak atau kerangka kepatuhannya secara khusus menyebutkan DigiCert. GoGetSSL adalah pilihan terbaik dari segi nilai di tingkat EV dengan harga $369/tahun. Keempat CA mengirimkan hardware token, dengan DigiCert juga menawarkan cloud signing KeyLocker untuk alur kerja tanpa HSM fisik.

Tidak ada Certificate Authority yang dipercaya publik yang menawarkan code signing gratis per tahun 2026.

Dua biaya nyata membuat hal ini tidak memungkinkan:

1. CA harus memverifikasi identitas penerbit (organisasi atau individu)
2. Sejak Juni 2023, private key harus disimpan pada hardware yang memenuhi standar FIPS, yang memerlukan biaya dari pihak tertentu

Sertifikat self-signed dapat dibuat dengan OpenSSL dan tidak memerlukan biaya, tetapi Windows, macOS, dan browser tidak mempercayainya, sehingga peringatan “Unknown Publisher” tetap muncul. Jika harga adalah faktor penentu, Comodo Code Signing dan Sectigo Code Signing OV (atau Individual Validation untuk pengembang solo) adalah SKU tingkat awal dengan harga $219/tahun.

Sertifikat dari CA mana pun yang tersedia di SSL Dragon dapat menandatangani:

• Biner dan installer Windows: file .exe, .dll, .cab, .ocx, .msi, dan .xap yang ditandatangani melalui Microsoft Authenticode
• Driver Windows: driver user-mode (OV atau EV) dan driver kernel-mode (hanya EV)
• Aplikasi Java: file .jar yang ditandatangani dengan jarsigner
• Skrip dan makro: skrip PowerShell, VBScript, dan makro VBA Microsoft Office
• Format lainnya: paket Adobe AIR, file objek Mozilla, dan Microsoft Silverlight (warisan tetapi masih valid)
• Firmware dan perangkat lunak IoT
• Container dan paket perangkat lunak

Sertifikat yang sama mencakup sebagian besar daftar di atas; kasus driver kernel-mode adalah satu-satunya yang mengharuskan penggunaan tingkat EV.

Sertifikat SSL/TLS mengenkripsi koneksi antara browser dan situs web. Sertifikat code signing menandatangani perangkat lunak secara digital sehingga sistem operasi dapat memverifikasi siapa yang menerbitkannya dan bahwa file tersebut tidak berubah.

Keduanya tidak dapat dipertukarkan: satu mengamankan domain, yang lain membuktikan asal usul file yang dapat dieksekusi. Keduanya adalah sertifikat X.509 yang diterbitkan oleh Certificate Authority, itulah mengapa keduanya sering tertukar.