La finestra di fiducia per la firma dei codici si riduce a 460 giorni

I certificati di firma avranno presto una durata di vita molto più breve. Una nuova regola del settore approvata il 17 novembre 2025 riduce la loro validità massima da 39 mesi a 460 giorni, a partire dal 1° marzo 2026. La modifica è contenuta nei Code Signing Baseline Requirements v3.10.0 aggiornati .

Tutte le principali CA del gruppo di lavoro hanno appoggiato la modifica: 7 hanno votato “SI”, 2 si sono astenute, nessuna si è opposta. Per quanto riguarda la piattaforma, anche l’unico fornitore partecipante, Microsoft, ha votato “SI”. Questo chiaro consenso indica un ampio allineamento del settore verso una maggiore igiene dei certificati.

Cosa spinge a ridurre la durata dei certificati?

Alla fine del 2024, i ricercatori di HarfangLab hanno scoperto l’ operazione Hijack Loader, una campagna in cui i criminali utilizzavano certificati di firma del codice validi per firmare il malware creato per distribuire il ruba-informazioni Lumma. Poiché i file riportavano firme legittime, il malware superava molti controlli di sicurezza e raggiungeva un numero di vittime molto più elevato di quanto avrebbe mai fatto un payload non firmato.

Si sta verificando anche un cambiamento più ampio nell’ambito della fiducia digitale. I certificati SSL sono già passati da una validità pluriennale a cicli di rotazione brevi. La firma dei codici segue ora lo stesso percorso. Con l’avvicinarsi della crittografia post-quantistica, il settore ha bisogno di una rotazione più rapida, di una gestione delle chiavi più pulita e di verifiche più frequenti. I certificati di lunga durata rallentano questa transizione e lasciano troppo spazio a compromessi silenziosi.

Cosa cambia per gli sviluppatori?

La nuova finestra di validità si inserisce direttamente nei processi di sviluppo, rilascio e vendita. Il cambiamento impone nuove abitudini in tutta la catena:

• I sistemi che si basano su chiavi a lungo termine dovranno essere ristrutturati: I server di build che conservano un certificato per anni non sopravviveranno al ciclo più breve. I team devono ruotare le chiavi in modo programmato, aggiornare le configurazioni di build e prevenire la scadenza inaspettata a metà rilascio.
• Gli ambienti di firma con protezione aerea dovranno fare i conti con una logistica più rigida: Settori come il controllo industriale, la sanità e la pubblica amministrazione spesso portano a mano i certificati nelle reti isolate. Ora hanno bisogno di cicli di importazione prevedibili e di un monitoraggio dei rinnovi per evitare che il software firmato si blocchi in attesa di un nuovo certificato.
• Gli strumenti di firma tradizionali si romperanno se non aggiornati: I vecchi script che codificano i percorsi dei certificati o che si aspettano una singola chiave a lunga durata falliranno una volta che questa sarà scaduta. Le pipeline hanno bisogno di una selezione dinamica dei certificati e di un recupero automatico piuttosto che di cartelle statiche.
• Gli incidenti di key-leak diventano più facili da contenere: Gli aggressori non possono contare su un certificato pluriennale che rimane valido anche dopo una violazione. Le organizzazioni devono ancora revocare rapidamente, ma il raggio d’azione si riduce.
• I team che si occupano di conformità e identità avranno tempi più stretti: I team che gestiscono l’EV o la convalida dell’organizzazione devono adattare i loro calendari interni in modo che i ritardi nel rinnovo non blocchino i rilasci dei prodotti.

Disponibilità del certificato di firma del codice e requisiti HSM

Le opzioni di firma del codice dipendono dall’Autorità di Certificazione e questo influisce direttamente sulla gestione delle chiavi:

• DigiCert e GoGetSSL offrono solo certificati di firma del codice della durata di 1 anno. Puoi scegliere un modulo di sicurezza hardware (HSM) fornito dalla CA o utilizzare il tuo HSM.
• Sectigo (Comodo) ti permette di ordinare certificati per un massimo di 3 anni, ma la configurazione cambia:
  • Per un certificato di 1 anno, puoi utilizzare un HSM fornito dalla CA o un tuo HSM.
  • Per i certificati di 2 o 3 anni, devi utilizzare il tuo HSM. Non viene fornito alcun hardware CA.

Se scegli una durata pluriennale, avrai il pieno controllo della conservazione e della sicurezza delle chiavi.

Cosa significa quando sei tu a spedire gli edifici?

La finestra di 460 giorni cambia soprattutto una cosa: la tempistica. La firma smette di essere un lavoro raro e diventa parte del tuo ritmo di rilascio. Ti accorgi prima quando un cert sta diventando vecchio. E la tua pipeline rimane più pulita perché la rotazione è integrata nel flusso e non è un’emergenza.

Per i clienti di SSL Dragon, questo cambiamento si allinea con il modo in cui la maggior parte dei team già opera. I cicli più brevi sono in linea con i moderni programmi di rilascio, quindi è meno probabile che tu venga colto alla sprovvista da un certificato scaduto proprio prima di una consegna. Se ti stai orientando verso la firma nel cloud o verso chiavi basate su HSM, la transizione è ancora più fluida e la rotazione avviene silenziosamente in background.

La tendenza è chiara: Fiducia più corta, rotazione più veloce

I tempi di vita più brevi non risolveranno tutti i rischi della catena di fornitura, ma spingono il settore verso pratiche più sane. Le chiavi di firma non possono più passare inosservate per anni e i flussi di lavoro di rilascio devono essere allineati al nuovo ritmo. Il marzo 2026 si avvicina rapidamente e le pipeline che si adattano per tempo eviteranno i problemi successivi.

Il parere di SSL Dragon

Dal nostro punto di vista, questo cambiamento è una buona notizia. Crea abitudini più pulite e riduce i danni che una chiave persa o rubata può causare. I team che soffrono maggiormente di problemi legati ai certificati sono raramente quelli con cattive intenzioni. Sono quelli che avevano un singolo certificato di lunga durata sepolto in una vecchia macchina di compilazione e lo hanno scoperto nel momento peggiore. Una finestra di 460 giorni costringe a rendere pubblico questo rischio.

Per i nostri clienti, il cambiamento riguarda soprattutto la consapevolezza piuttosto che il carico di lavoro. La finestra più breve fa sì che la rotazione dei certificati faccia parte del rilascio naturale, invece di essere una rara attività di manutenzione. Il ciclo più rapido mette in luce anche i casi in cui le pipeline più vecchie o le macchine dimenticate dipendono ancora da certificati di lunga durata senza che nessuno se ne accorga, il che è spesso causa di ritardi o di lacune nella sicurezza.

Se ti stai avvicinando al code signing per la prima volta, questo aggiornamento stabilisce le giuste aspettative. La fiducia non è qualcosa che rimane inalterata per anni. Si muove insieme al software che protegge. La nuova finestra è incentrata sulla protezione e sulla prevedibilità e noi siamo qui per aiutare i clienti a scegliere i prodotti e i flussi di lavoro giusti in modo che la transizione avvenga senza intoppi e non con interruzioni.

Fonte: Forum CA/Browser – Ballottaggio CSC-31: Riduzione della durata del certificato di firma del codice