Scegliere un provider di certificati di code signing è più difficile di quanto dovrebbe essere. Quattro Certificate Authority pubblicamente attendibili coprono quasi ogni scenario d’acquisto legittimo: Sectigo, Comodo, DigiCert e GoGetSSL. A prima vista sembrano tutte simili. Emettono gli stessi certificati X.509, seguono le stesse regole del CA/Browser Forum e forniscono token hardware che rispettano gli stessi standard FIPS. Allora perché il livello base di una CA costa circa la metà di un’altra?
Le differenze sono reali, ma non sempre corrispondono a ciò che afferma il materiale di marketing. Questo articolo classifica le quattro CA presenti su SSL Dragon in base a ciò che conta davvero al momento dell’acquisto: prezzo di partenza, flessibilità hardware, ampiezza della validazione, velocità di emissione e affidabilità nell’ecosistema. Ti diremo quale scegliere per ogni esigenza e dove i divari di prezzo valgono la spesa.
Sai già cosa vuoi? Consulta la gamma completa di certificati di code signing di SSL Dragon con i prezzi aggiornati →
Save 10% on SSL Certificates when ordering from SSL Dragon today!
Fast issuance, strong encryption, 99.99% browser trust, dedicated support, and 25-day money-back guarantee. Coupon code: SAVE10
Come abbiamo classificato i provider
Una lista dei “migliori” provider vale quanto i criteri su cui si basa. Abbiamo ponderato cinque fattori:
- Prezzo di partenza (20%). Quanto costa lo SKU pubblicamente attendibile più economico di ogni CA? OV ed EV vengono valutati separatamente perché sono prodotti diversi con acquirenti diversi.
- Flessibilità hardware (20%). Gli acquirenti possono ricevere il certificato in tre modi: un token USB spedito dalla CA, un HSM FIPS-conforme di proprietà, oppure un servizio di firma cloud gestito dalla CA. Non tutte le CA offrono tutte e tre le opzioni. I team con pipeline CI/CD intensive tengono molto al cloud signing; i piccoli sviluppatori di solito no.
- Ampiezza della validazione (15%). Alcune CA emettono certificati equivalenti all’OV a persone fisiche verificate (a volte denominati Individual Validation, o IV), il che è importante per gli sviluppatori indipendenti senza un’azienda registrata. Altre emettono solo a organizzazioni.
- Velocità di emissione (15%). La maggior parte dei certificati di code signing viene emessa in 1-7 giorni lavorativi. L’EV è costantemente più lento dell’OV perché la verifica è più approfondita. Le scadenze di produzione trasformano questo fattore da un optional a un elemento decisivo.
- Affidabilità nell’ecosistema (30%). Questo è il fattore più difficile da quantificare e il più importante per gli acquirenti guidati da procedure di approvvigionamento. Alcuni contratti aziendali e framework di conformità citano esplicitamente DigiCert. Il portale WHQL di Microsoft, il flusso di notarizzazione di Apple e la maggior parte degli strumenti CI accettano tutte e quattro le CA in egual misura, ma contratti e audit non sempre concordano.
Non classifichiamo in base all’importo della garanzia, alla “qualità del supporto” o alle funzionalità del “trust seal”. Gli importi delle garanzie sui certificati di code signing sono in gran parte simbolici, il supporto è generalmente comparabile e non esiste più una barra verde da attivare. I cinque fattori sopra indicati sono quelli che influenzano davvero una decisione d’acquisto.
Confronto rapido: tutti e quattro i provider a colpo d’occhio
| Provider | OV di partenza | EV di partenza | Opzioni hardware | Ideale per |
|---|---|---|---|---|
| Sectigo / Comodo | da $219/anno | da $287/anno | Token USB, HSM BYOD, cloud | La maggior parte degli acquirenti, in particolare chi è attento al prezzo per l’OV |
| GoGetSSL | da $289/anno | da $369/anno | Token USB, HSM BYOD | EV a prezzo conveniente |
| DigiCert | da $400/anno | da $685/anno | Token USB, HSM BYOD, cloud KeyLocker | Aziende, approvvigionamento obbligato, CI/CD |
Sectigo / Comodo sono alla pari al livello base. GoGetSSL si posiziona nel mezzo. DigiCert è la scelta premium.
Sectigo (Comodo) – La scelta migliore per la maggior parte degli acquirenti
Sectigo è la scelta sicura per eccellenza. È alla pari come il certificato di code signing pubblicamente attendibile più economico sia al livello OV che EV, emette certificati sia a organizzazioni che a privati e supporta il cloud signing per i team che desiderano flussi di lavoro senza HSM. Non esiste quasi nessuno scenario d’acquisto in cui Sectigo sia la scelta sbagliata, ed è per questo che rappresenta la raccomandazione per la maggior parte dei lettori che arrivano su questo articolo.
Comodo è lo stesso prodotto. Il business dei certificati di Comodo è stato rinominato Sectigo nel 2018, e i due condividono la stessa infrastruttura CA sottostante. SSL Dragon li propone entrambi perché alcuni acquirenti riconoscono il nome Comodo dopo anni di esposizione al brand e preferiscono continuare ad acquistarlo. Un programma di installazione Windows firmato con un certificato Comodo viene verificato esattamente come uno firmato con un certificato Sectigo. La reputazione SmartScreen si costruisce allo stesso modo per entrambi. I token hardware provengono dallo stesso pool FIPS-conforme. Se stai acquistando per la prima volta, scegli Sectigo per il nome più attuale; se il tuo team ha registrazioni storiche di approvvigionamento, elenchi di fornitori o documenti interni che fanno riferimento a Comodo, continuare con il nome familiare va benissimo.
In ogni caso, il livello OV è quello che fa guadagnare a questa CA la sua posizione nella classifica generale. Al prezzo base, ottieni lo stesso token hardware FIPS 140-2 Level 2 che spediscono tutti gli altri, la stessa finestra di emissione da 1 a 7 giorni e la stessa compatibilità con Microsoft Authenticode. Non c’è motivo tecnico per pagare di più se il tuo unico requisito è “firmare un programma di installazione Windows affinché gli utenti non vedano l’avviso Editore sconosciuto”.
Anche il livello EV è alla pari come il più economico EV pubblicamente attendibile. Se firmi driver in modalità kernel di Windows – l’unico caso in cui l’EV è obbligatorio – e non hai un contratto di approvvigionamento che ti vincola a DigiCert, Sectigo o Comodo EV è la scelta più sensata.
Pro
- Alla pari come OV ed EV pubblicamente attendibili più economici sul mercato
- Emette certificati sia a organizzazioni che a privati verificati
- Servizio di cloud signing Sectigo disponibile per pipeline CI/CD senza HSM
- CA consolidata con una root riconosciuta in ogni sistema operativo e browser moderno
Contro
- Riconoscimento del brand inferiore a DigiCert nell’approvvigionamento enterprise
- I certificati pluriennali richiedono un HSM proprio (i token spediti dalla CA sono solo annuali)
- Comodo in particolare non dispone di un servizio di cloud signing proprietario (Sectigo sì)
Verdetto: Scegli questa CA se vuoi il certificato pubblicamente attendibile più economico a qualsiasi livello e non hai requisiti di approvvigionamento che nominano un brand specifico. Opta per Sectigo Code Signing (o Sectigo EV Code Signing) per il brand più attuale, oppure per Comodo Code Signing (o Comodo EV Code Signing) se i tuoi acquirenti si aspettano il nome storico.
DigiCert – La scelta premium per gli acquirenti guidati dall’approvvigionamento
L’OV di DigiCert costa circa 1,8 volte il prezzo dell’OV di Sectigo. Il divario sull’EV è ancora maggiore: l’EV di DigiCert costa circa 2,4 volte il prezzo dell’EV di Sectigo. Sono differenze reali e meritano una spiegazione concreta.
DigiCert è la scelta giusta in due situazioni e quella sbagliata nella maggior parte delle altre.
Prima situazione: acquisto obbligato da procedure di approvvigionamento. Una parte significativa dei contratti software enterprise, dei requisiti per i fornitori governativi e dei framework di conformità nomina esplicitamente DigiCert come Certificate Authority approvata. Se il tuo team acquisti o quello dei tuoi clienti ha un elenco e DigiCert vi compare, il divario di prezzo non è negoziabile. Non stai acquistando un certificato, stai soddisfacendo un requisito contrattuale.
Seconda situazione: flussi di lavoro CI/CD intensivi. DigiCert KeyLocker è un servizio di firma cloud HSM che consente alla tua pipeline di build di firmare i binari senza un token USB fisico collegato. Anche Sectigo offre il cloud signing, ma gli strumenti e la documentazione di DigiCert per l’integrazione CI/CD sono più maturi. Se il tuo processo di rilascio firma centinaia di binari a settimana su un team distribuito, KeyLocker rappresenta un reale guadagno di produttività rispetto al passaggio di un token USB tra sviluppatori.
Al di fuori di questi due scenari, DigiCert è sopravvalutato rispetto a ciò che si riceve effettivamente. Il certificato in sé non è più sicuro, la crittografia non è più robusta e il comportamento di SmartScreen è identico a quello di Sectigo. Stai pagando per il brand e gli strumenti cloud.
Pro
- Maggiore riconoscimento del brand nell’approvvigionamento enterprise e governativo
- Il servizio di firma cloud HSM KeyLocker è maturo e adatto al CI/CD
- La timestamping authority di DigiCert (tsa.digicert.com) è ampiamente utilizzata e ben supportata
Contro
- Circa 1,8 volte il prezzo OV e 2,4 volte il prezzo EV di Sectigo e Comodo
- Nessun vantaggio di prezzo per gli acquirenti senza specifici requisiti di approvvigionamento
- Eccessivo per sviluppatori indipendenti e piccole software house
Verdetto: Scegli DigiCert Code Signing se un contratto nomina la CA, o se la tua pipeline CI/CD trae un reale beneficio da KeyLocker. Altrimenti, le CA più economiche svolgono lo stesso lavoro. L’opzione EV si trova nella pagina DigiCert EV Code Signing.
GoGetSSL – La scelta conveniente per l’EV
GoGetSSL è l’opzione intermedia, ed è il livello EV a guadagnarle un posto in questa lista. Al livello OV, GoGetSSL ha un prezzo superiore a Sectigo e Comodo, quindi non c’è un motivo evidente per sceglierlo per una firma economica. Ma al livello EV, GoGetSSL è significativamente più economico di DigiCert pur restando al di sopra del livello base di Sectigo/Comodo, collocandosi in una fascia intermedia utile.
Per gli acquirenti EV che desiderano una CA diversa da DigiCert ma ritengono che Sectigo e Comodo siano troppo entry-level per il loro posizionamento interno, GoGetSSL è la risposta. Il processo di validazione è lo stesso delle altre tre CA, il certificato firma gli stessi tipi di file e le opzioni di consegna hardware sono equivalenti.
Il livello OV esiste e funziona, ma al suo prezzo di partenza puoi acquistare Sectigo o Comodo OV e ottenere lo stesso prodotto a meno. Non raccomandiamo GoGetSSL OV a meno che non ci sia un motivo specifico per preferire il brand.
Pro
- Prezzo conveniente sull’EV (significativamente più economico di DigiCert)
- Integrazione fluida con i flussi di firma di Microsoft, Apple e Android
- CA consolidata con sede in Lettonia e root riconosciute
Contro
- Il livello OV è più costoso di Sectigo e Comodo senza differenze funzionali
- Nessun servizio di cloud signing proprietario (solo token USB o HSM BYOD)
- Presenza del brand più limitata nell’approvvigionamento enterprise statunitense
Verdetto: Scegli GoGetSSL Code Signing EV SSL se hai bisogno dell’EV ma DigiCert è troppo costoso e Sectigo/Comodo non si adattano alle tue preferenze d’acquisto. L’opzione OV si trova nella pagina GoGetSSL Code Signing SSL.
Le scelte migliori per caso d’uso
Il “miglior provider” dipende interamente da cosa stai firmando e da chi acquista. Ecco come orientarsi:
Sviluppatore indipendente o privato
Scelta: Sectigo OV (Individual Validation) o Comodo OV. Entrambe le CA emettono certificati equivalenti all’OV a privati verificati senza un’azienda registrata, al livello più economico. Sectigo è leggermente più attuale come brand; Comodo se preferisci il nome storico. Entrambi ti garantiscono una firma pubblicamente attendibile al costo minore.
Piccola o media software house
Scelta: Sectigo OV o Comodo OV. Stessa raccomandazione degli sviluppatori indipendenti, ma passerai attraverso la validazione dell’organizzazione invece di quella individuale. Non pagare per l’EV a meno che tu non firmi driver o non abbia un motivo specifico. L’OV firma programmi di installazione Windows, script, applicazioni Java e la maggior parte degli altri tipi di file senza problemi.
Firma di driver in modalità kernel di Windows
Scelta: Sectigo EV o Comodo EV. Qualsiasi certificato EV è idoneo per la firma di driver in modalità kernel, quindi la scelta più sensata è l’EV pubblicamente attendibile più economico. Consulta le opzioni EV nella pagina della categoria se vuoi confrontare. Anche DigiCert EV è idoneo, ma a 2,4 volte il prezzo per la stessa idoneità.
Team con pipeline CI/CD intensive o flusso di firma distribuito
Scelta: DigiCert OV o EV con KeyLocker. Questo è l’unico scenario in cui il prezzo premium di DigiCert è davvero giustificato. KeyLocker elimina la necessità di passare fisicamente i token USB tra gli sviluppatori e si integra in modo pulito con le pipeline di build. Il cloud signing di Sectigo è un’alternativa se il budget è limitato.
DigiCert obbligato da contratto di approvvigionamento
Scelta: DigiCert. Se il tuo contratto nomina la CA, non hai scelta. Acquista il livello specificato nel contratto e vai avanti.
Verdetto finale e dove acquistare
La maggior parte degli acquirenti dovrebbe scegliere Sectigo o Comodo al livello base. Sono funzionalmente lo stesso certificato dalla stessa infrastruttura CA, alla pari come OV ed EV pubblicamente attendibili più economici, ed emettono sia a organizzazioni che a privati. Sectigo è il brand più attuale; Comodo è il nome storico che alcuni acquirenti preferiscono ancora. DigiCert vale il suo prezzo premium solo quando l’approvvigionamento lo richiede o quando KeyLocker aiuta concretamente il tuo processo di build. GoGetSSL è la risposta quando vuoi l’EV da una CA che non sia DigiCert ma che sembri un passo avanti rispetto al livello base.
La gamma di code signing di SSL Dragon include tutte e quattro le CA, e la pagina della categoria code signing riporta prezzi aggiornati, dettagli sulla consegna hardware, il confronto OV vs EV, la nuova regola di validità di 460 giorni e le FAQ. Inizia da lì per l’acquisto effettivo. Torna qui quando qualcuno ti chiede quale scegliere.
Risparmia il 10% sui certificati SSL ordinando oggi stesso da SSL Dragon!
Emissione rapida, crittografia avanzata, affidabilità del browser al 99,99%, assistenza dedicata e garanzia di rimborso entro 25 giorni. Codice coupon: SAVE10
