Tutorial sui Certificati di Code Signing

Un certificato di firma del codice non si installa come un certificato SSL. Non c’è alcun file da caricare su un server. La chiave privata deve essere creata all’interno di un dispositivo hardware certificato e restare lì per tutta la vita del certificato, il che cambia l’ordine di ogni passaggio successivo: cosa scegli al momento dell’acquisto, cosa devi inviare alla Certificate Authority, cosa arriva al termine della validazione e cosa digiti quando finalmente firmi qualcosa.

Questi tutorial trattano ciascuna di queste fasi per i certificati venduti da SSL Dragon. Usa questa pagina per capire a che fase ti trovi e per verificare le poche regole che si applicano indipendentemente dalla Certificate Authority o dal dispositivo utilizzato.

Navigazione rapida

• Quale metodo di consegna scegliere per il certificato di firma del codice?
• Generazione della CSR e attestazione con YubiKey 5 FIPS
• Luna Network HSM 7: guida alla CSR e all’attestazione
• Come validare i certificati di firma del codice Sectigo e Comodo
• Come validare i certificati di firma del codice DigiCert e GoGetSSL
• Come configurare un certificato di firma del codice EV su un token spedito
• Installazione del certificato di firma del codice su YubiKey 5 FIPS
• Come firmare un file EXE usando un certificato di firma del codice

Cosa regola oggi ogni certificato di firma del codice

Tre cambiamenti del settore stanno alla base delle otto guide riportate di seguito. Leggerli prima spiega perché il processo si presenta in questo modo e ti evita di seguire istruzioni più vecchie che sono ancora ampiamente in circolazione.

La chiave privata deve essere generata e conservata in hardware certificato

Dal 1° giugno 2023, i Baseline Requirements per la firma del codice del CA/Browser Forum richiedono che la chiave privata sia protetta da un modulo crittografico certificato almeno FIPS 140-2 Level 2 o Common Criteria EAL 4+. Le Certificate Authority non possono più permetterti di generare una chiave in un browser o su un laptop e scaricare successivamente un file PFX.

Tutto il resto deriva da questa unica regola. È il motivo per cui il modulo d’ordine ti chiede di scegliere un metodo di consegna, per cui esiste un file di attestazione (è il modo in cui dimostri alla CA che una chiave, la cui creazione non ha visto, è stata effettivamente creata all’interno di un hardware conforme) e per cui installare il certificato significa inserirlo in uno slot di un dispositivo piuttosto che importarlo in un server.

I certificati ora sono validi per mesi, non anni

La ballot CSC-31 del CA/Browser Forum, adottata il 17 novembre 2025 come Code Signing Baseline Requirements versione 3.10.0, ha ridotto la validità massima di un certificato di firma del codice pubblicamente attendibile da 39 mesi a 460 giorni per i certificati emessi a partire dal 1° marzo 2026. Si applica sia ai certificati standard che a quelli Extended Validation.

Entrambe le CA si sono mosse in anticipo e hanno entrambe stabilito 459 giorni, circa quindici mesi: Sectigo dal 23 febbraio 2026 e DigiCert dal 24 febbraio 2026. DigiCert ha contemporaneamente eliminato le opzioni biennale e triennale. Qualsiasi guida, incluse le versioni precedenti di queste pagine, che ti offra un certificato di firma del codice triennale descrive un prodotto che non esiste più. Gli acquisti pluriennali ora significano copertura pluriennale con ri-emissione, non un unico certificato di lunga durata. La durata più breve è anche il motivo per cui applicare il timestamp a ogni firma non è più opzionale, poiché è il timestamp che mantiene valido il software già distribuito dopo la scadenza del certificato.

Extended Validation non elude più SmartScreen

I certificati di firma del codice EV in passato consentivano di saltare l’avviso di Microsoft Defender SmartScreen su un’applicazione nuova. Questo comportamento è stato eliminato nell’agosto 2024, quando gli identificatori di oggetto EV per la firma del codice sono stati rimossi dalle root nel Microsoft Trusted Root Program. Windows ora tratta ogni certificato di firma del codice nello stesso modo, e un file firmato con EV costruisce la reputazione esattamente come farebbe uno firmato con OV.

EV continua a comportare una verifica più rigorosa della tua organizzazione, e alcune regole di approvvigionamento aziendale lo richiedono ancora, quindi non ha smesso di essere utile. Semplicemente non garantisce più la fiducia immediata di Windows, e nessuna procedura di firma descritta in queste pagine può cambiare questo aspetto.

Fase 1: scegli o confirma il tuo metodo di consegna

Questa è la prima decisione e la sola che non puoi rivedere in seguito. Determina se la CA ti invia l’hardware o si aspetta che tu fornisca il tuo, e quindi decide quali delle guide riportate di seguito si applicano a te.

Quale metodo di consegna scegliere per il certificato di firma del codice?

Confronta le due opzioni presenti nel modulo d’ordine, un token pre-caricato e spedito dalla CA rispetto a un hardware già di tua proprietà, con i costi di spedizione attuali per ciascuna CA, i dispositivi che Sectigo e DigiCert accettano oggi effettivamente, cosa fanno diversamente i servizi di firma su cloud gestiti dalla CA e perché la scelta è bloccata al momento dell’acquisto. Leggila prima di ordinare: elenca anche le domande da chiarire in anticipo, come se il tuo dispositivo sia nell’elenco supportato dalla tua CA e se sia effettivamente in grado di produrre un’attestazione. Se l’ordine esiste già, indica cosa può e cosa non può essere modificato a quel punto.

Fase 2: genera la chiave e la CSR all’interno del tuo hardware

Salta questa fase se la CA ti sta spedendo un token pre-caricato, perché la chiave viene generata per te prima che il dispositivo venga spedito. Si applica solo se hai scelto di usare un hardware già di tua proprietà, nel qual caso la CA non può emettere nulla finché non le invii una CSR generata su quel dispositivo più un pacchetto di attestazione che dimostri che la chiave è stata creata lì e non può essere esportata.

Un avvertimento prima di iniziare su una YubiKey: l’interfaccia grafica YubiKey Manager su cui si basano le istruzioni più vecchie ha raggiunto il fine vita il 19 febbraio 2026. Lo strumento a riga di comando ykman e Yubico Authenticator non sono interessati e sono quelli usati dalle guide riportate di seguito.

Generazione della CSR e attestazione con YubiKey 5 FIPS

Il percorso completo con ykman su una YubiKey 5 FIPS: portare prima il token in modalità approvata FIPS (altrimenti si rifiuta di generare una chiave), scegliere lo slot e l’algoritmo della chiave, produrre la coppia di chiavi e la CSR, esportare il certificato di attestazione e l’intermedio Yubico, e unirli nel singolo file PEM richiesto dalla CA. Copre anche l’insidia della codifica in PowerShell che fa rifiutare un file di attestazione altrimenti corretto.

Luna Network HSM 7: guida alla CSR e all’attestazione

La stessa operazione su un Thales Luna Network HSM, usando l’utility standalone cmu del Luna HSM Client: generare la coppia di chiavi RSA con gli attributi da cui dipende l’attestazione, leggere gli handle degli oggetti, costruire la CSR con l’algoritmo di firma corretto e produrre la conferma della chiave pubblica che la CA verifica. Vale la pena leggerla anche se hai già eseguito questi comandi in passato, perché la versione diffusa in tutto il settore produce una CSR firmata con SHA-1 a meno che tu non aggiunga un’opzione.

Fase 3: supera la validazione

La validazione riguarda chi sei, non il tuo hardware, quindi si svolge in parallelo alle fasi 1 e 2 piuttosto che dopo di esse. La CA verifica che l’entità indicata nel certificato esista legalmente, che sia raggiungibile a un indirizzo e a un numero di telefono o indirizzo email che può verificare da una fonte diversa dal tuo modulo d’ordine, e che chiunque abbia approvato la richiesta fosse autorizzato a farlo. È qui che si bloccano quasi tutti gli ordini in ritardo, ed è l’unica fase che non puoi accelerare lavorando più velocemente tu stesso.

Le due CA seguono processi diversi, quindi scegli la guida corrispondente al tuo certificato.

Come validare i certificati di firma del codice Sectigo e Comodo

Cosa verifica Sectigo e in quale ordine, per l’Organization Validation, per gli sviluppatori individuali senza azienda e per l’Extended Validation: il controllo del registro sulla tua denominazione legale, la sessione automatizzata di Video ID, la verifica dell’indirizzo e del contatto, il Subscriber Agreement, la chiamata di richiamo che chiude l’ordine, e i passaggi aggiuntivi di verifica dell’esistenza operativa e di secondo controllo che l’EV aggiunge. Spiega anche perché su un ordine Sectigo compare documentazione a marchio Comodo, e cosa fare quando il registro governativo da solo non è sufficiente.

Come validare i certificati di firma del codice DigiCert e GoGetSSL

Il processo di DigiCert per CS ed EV CS, incluso il punto che inceppa la maggior parte degli ordini: due cose separate devono essere completate, l’organizzazione deve essere validata per la firma del codice e un contatto verificato contrassegnato per quel tipo di certificato deve approvare la richiesta, e l’ordine resta in sospeso finché entrambe non sono completate. Tratta la verifica dell’organizzazione, dell’indirizzo e del telefono, la chiamata di conferma, il percorso individuale per sviluppatori senza azienda registrata, e cosa fare quando un ordine si blocca.

Fase 4: trasferisci il certificato sul tuo hardware

Una volta superata la validazione, il certificato viene emesso. Ciò che accade dopo dipende dal metodo di consegna scelto nella fase 1. Oppure arriva per posta un token con la chiave e il certificato già presenti su di esso, oppure ricevi un file di certificato da importare nel dispositivo che ha generato la tua CSR.

Come configurare un certificato di firma del codice EV su un token spedito

Il percorso per un token che la CA ti spedisce, che è la modalità con cui gli ordini EV vengono normalmente consegnati. Tratta l’installazione del SafeNet Authentication Client, l’ordine in cui il client e il token devono essere collegati, la sostituzione della password iniziale del token che la CA ti ha inviato per email, la verifica che il certificato sia visibile a Windows, e la ricerca del thumbprint di cui avrà bisogno il tuo strumento di firma. Leggi la sezione sul blocco prima di digitare la password: il token si blocca dopo un piccolo numero di tentativi errati, e la password amministrativa che lo sbloccherebbe resta in possesso della CA.

Installazione del certificato di firma del codice su YubiKey 5 FIPS

Importazione del certificato emesso nello slot YubiKey la cui coppia di chiavi ha prodotto la tua CSR, tramite ykman o Yubico Authenticator, oltre a come verificare il risultato e cosa fare quando la CA invia un file PKCS#7 che lo strumento non riesce a leggere. Chiarisce anche due punti su cui le guide più vecchie sbagliano: quale credenziale richiede effettivamente l’importazione, e dove deve realmente trovarsi l’intermedio Sectigo perché le tue firme si concatenino correttamente.

Fase 5: firma il tuo codice e verificalo

L’ultima fase è quella che ripeterai per ogni rilascio, quindi vale la pena impostare il comando correttamente una volta e automatizzarlo tramite script.

Come firmare un file EXE usando un certificato di firma del codice

Trovare SignTool nel Windows SDK senza indovinare un numero di versione, il comando di firma con un digest SHA-256 e un timestamp RFC 3161, selezionare il certificato corretto su una macchina che ne contiene diversi, il controllo di verifica canonico e perché fallisce senza lo switch corretto, e come firmare da una chiave cloud o da una pipeline CI/CD. Tratta anche l’opzione senza token che Microsoft ora consiglia per la distribuzione fuori dallo Store, e cosa fa e cosa non fa la firma riguardo a SmartScreen.