Escolher um fornecedor de certificado de assinatura de código é mais difícil do que deveria ser. Quatro Autoridades de Certificação publicamente confiáveis cobrem quase todos os cenários de compra legítimos: Sectigo, Comodo, DigiCert e GoGetSSL. À primeira vista, todas parecem semelhantes. Emitem os mesmos certificados X.509, seguem as mesmas regras do CA/Browser Forum e fornecem tokens de hardware que cumprem os mesmos padrões FIPS. Então por que o nível de entrada de uma CA custa aproximadamente metade do preço de outra?
As diferenças são reais, mas nem sempre são o que o material de marketing afirma. Este artigo classifica as quatro CAs que a SSL Dragon comercializa com base no que realmente importa no momento da compra: preço inicial, flexibilidade de hardware, abrangência de validação, velocidade de emissão e confiança no ecossistema. Diremos qual escolher para cada situação e onde as diferenças de preço valem a pena.
Já sabe o que quer? Veja a linha completa de certificados de assinatura de código da SSL Dragon com preços atuais →
Economize 10% em certificados SSL ao fazer seu pedido na SSL Dragon hoje mesmo!
Emissão rápida, criptografia forte, 99,99% de confiança no navegador, suporte dedicado e garantia de reembolso de 25 dias. Código do cupom: SAVE10
Como Classificamos os Fornecedores
Uma lista de “melhores fornecedores” só é tão boa quanto os seus critérios. Ponderamos cinco fatores:
- Preço inicial (20%). Quanto custa o SKU publicamente confiável mais barato em cada CA? OV e EV são pontuados separadamente porque são produtos diferentes com compradores diferentes.
- Flexibilidade de hardware (20%). Os compradores podem receber o produto de três formas: um token USB enviado pela CA, o seu próprio HSM compatível com FIPS, ou um serviço de assinatura em nuvem gerido pela CA. Nem todas as CAs oferecem as três opções. Equipas com uso intensivo de CI/CD valorizam muito a assinatura em nuvem; os programadores individuais geralmente não.
- Abrangência de validação (15%). Algumas CAs emitem certificados equivalentes a OV para indivíduos verificados (por vezes designados como Validação Individual, ou IV), o que é relevante para programadores independentes sem empresa registada. Outras emitem apenas para organizações.
- Velocidade de emissão (15%). A maioria dos certificados de assinatura de código é emitida entre 1 e 7 dias úteis. EV é consistentemente mais lento do que OV porque a verificação é mais rigorosa. Prazos de produção transformam este fator de algo desejável numa questão decisiva.
- Confiança no ecossistema (30%). Este é o fator mais difícil de quantificar e o mais importante para compradores orientados por processos de aquisição. Alguns contratos empresariais e frameworks de conformidade nomeiam especificamente a DigiCert. O portal WHQL da Microsoft, o fluxo de notarização da Apple e a maioria das ferramentas de CI aceitam as quatro CAs de forma equivalente, mas contratos e auditorias nem sempre concordam.
Não estamos a classificar com base no valor da garantia, “qualidade do suporte” ou funcionalidades de “selo de confiança”. Os valores de garantia nos certificados de assinatura de código são em grande parte cosméticos, o suporte é amplamente comparável e já não existe nenhuma funcionalidade de barra verde para acionar. Os cinco fatores acima são o que realmente influencia uma decisão de compra.
Comparação Rápida: Os Quatro Fornecedores em Resumo
| Fornecedor | OV Inicial | EV Inicial | Opções de hardware | Ideal para |
|---|---|---|---|---|
| Sectigo / Comodo | a partir de $219/ano | a partir de $287/ano | Token USB, HSM próprio, nuvem | A maioria dos compradores, especialmente OV com foco no preço |
| GoGetSSL | a partir de $289/ano | a partir de $369/ano | Token USB, HSM próprio | EV de nível intermédio |
| DigiCert | a partir de $400/ano | a partir de $685/ano | Token USB, HSM próprio, nuvem KeyLocker | Empresas, aquisição obrigatória, CI/CD |
Sectigo / Comodo empatam no nível de entrada. GoGetSSL situa-se no meio. DigiCert é a opção premium.
Sectigo (Comodo) — Melhor Opção Geral para a Maioria dos Compradores
Sectigo é a escolha segura por defeito. Está empatada como o certificado de assinatura de código publicamente confiável mais barato nos níveis OV e EV, emite para organizações e indivíduos, e suporta assinatura em nuvem para equipas que pretendem fluxos de trabalho sem HSM. Não existe quase nenhum cenário de compra em que Sectigo seja a escolha errada, razão pela qual é a recomendação para a maioria dos leitores que chegam a este artigo.
Comodo é o mesmo produto. O negócio de certificados da Comodo foi renomeado para Sectigo em 2018, e ambos partilham a infraestrutura de CA subjacente. A SSL Dragon comercializa ambos porque alguns compradores reconhecem o nome Comodo de anos de exposição à marca e preferem continuar a comprá-lo. Um instalador Windows assinado com um certificado Comodo é verificado da mesma forma que um assinado com um certificado Sectigo. A reputação no SmartScreen é construída da mesma forma para ambos. Os tokens de hardware provêm do mesmo conjunto compatível com FIPS. Se está a comprar pela primeira vez, escolha Sectigo pelo nome mais atual; se a sua equipa tem registos históricos de aquisição, listas de fornecedores ou documentos internos que referenciam Comodo, manter o nome familiar é perfeitamente válido.
De qualquer forma, o nível OV é onde esta CA justifica a sua classificação geral. Ao preço de entrada, obtém o mesmo token de hardware FIPS 140-2 Level 2 que todos os outros fornecem, a mesma janela de emissão de 1 a 7 dias, e a mesma compatibilidade com Microsoft Authenticode. Não há razão técnica para pagar mais se o único requisito é “assinar um instalador Windows para que os utilizadores não vejam o aviso de Editor Desconhecido”.
O nível EV também está empatado como o EV publicamente confiável mais barato. Se assina drivers de modo kernel do Windows – a única tarefa de assinatura em que EV é obrigatório – e não tem um contrato de aquisição que o vincule à DigiCert, Sectigo ou Comodo EV é a escolha sensata.
Vantagens
- Empatada como a OV e EV publicamente confiável mais barata do mercado
- Emite para organizações e indivíduos verificados
- Serviço de assinatura em nuvem Sectigo disponível para pipelines CI/CD sem HSM
- CA estabelecida com uma raiz reconhecida em todos os sistemas operativos e browsers modernos
Desvantagens
- Reconhecimento de marca inferior ao da DigiCert em aquisições empresariais
- Certificados plurianuais requerem HSM próprio (os tokens enviados pela CA são apenas para 1 ano)
- Comodo especificamente não tem serviço de assinatura em nuvem proprietário (Sectigo tem)
Veredicto: Escolha esta CA se pretende o certificado publicamente confiável mais barato em qualquer nível e não tem requisitos de aquisição que especifiquem uma marca. Opte por Sectigo Code Signing (ou Sectigo EV Code Signing) pela marca mais atual, ou por Comodo Code Signing (ou Comodo EV Code Signing) se os seus compradores esperam o nome histórico.
DigiCert — Opção Premium para Compradores com Requisitos de Aquisição
A OV da DigiCert custa aproximadamente 1,8 vezes o preço da OV da Sectigo. A diferença no EV é maior: o EV da DigiCert custa cerca de 2,4 vezes o preço do EV da Sectigo. São diferenças reais e merecem uma explicação real.
DigiCert é a escolha certa em duas situações e a escolha errada na maioria das outras.
Primeiro, compra por obrigação contratual. Uma parte significativa dos contratos de software empresarial, requisitos de fornecedores governamentais e frameworks de conformidade nomeia especificamente a DigiCert como a Autoridade de Certificação aprovada. Se a sua equipa de compras ou as equipas de compras dos seus clientes têm uma lista e a DigiCert consta dela, a diferença de preço não é negociável. Não está a comprar um certificado, está a cumprir um requisito contratual.
Segundo, fluxos de trabalho com uso intensivo de CI/CD. DigiCert KeyLocker é um serviço de assinatura com HSM em nuvem que permite ao seu pipeline de build assinar binários sem um token USB físico ligado. Sectigo também oferece assinatura em nuvem, mas as ferramentas e a documentação da DigiCert em torno da integração com CI/CD são mais maduras. Se o seu processo de lançamento assina centenas de binários por semana numa equipa distribuída, KeyLocker representa um ganho real de produtividade em comparação com a passagem de um token USB entre programadores.
Fora desses dois cenários, DigiCert tem um preço excessivo para o que realmente recebe. O certificado em si não é mais seguro, a encriptação não é mais forte e o comportamento do SmartScreen é idêntico ao da Sectigo. Está a pagar pela marca e pelas ferramentas em nuvem.
Vantagens
- Maior reconhecimento de marca em aquisições empresariais e governamentais
- Serviço de assinatura com HSM em nuvem KeyLocker é maduro e compatível com CI/CD
- A autoridade de timestamping da DigiCert (tsa.digicert.com) é amplamente utilizada e bem suportada
Desvantagens
- Aproximadamente 1,8× o preço OV e 2,4× o preço EV da Sectigo e Comodo
- Sem vantagem de preço para compradores sem requisitos específicos de aquisição
- Excessivo para programadores individuais e pequenas empresas de software
Veredicto: Escolha DigiCert Code Signing se um contrato nomear a CA, ou se o seu pipeline CI/CD beneficiar genuinamente do KeyLocker. Caso contrário, as CAs mais baratas fazem o mesmo trabalho. A opção EV está na página DigiCert EV Code Signing.
GoGetSSL — Opção de Valor para EV
GoGetSSL é a opção intermédia, e o nível EV é onde justifica a sua presença nesta lista. No nível OV, GoGetSSL tem um preço superior ao de Sectigo e Comodo, pelo que não há razão óbvia para o escolher para assinatura económica. Mas no nível EV, GoGetSSL fica abaixo da DigiCert por uma margem considerável, mantendo-se acima do patamar Sectigo/Comodo, ocupando um meio-termo útil.
Para compradores de EV que pretendem uma CA diferente da DigiCert mas consideram que Sectigo e Comodo são demasiado básicas para o seu posicionamento interno, GoGetSSL é a resposta. O processo de validação é o mesmo que nas outras três CAs, o certificado assina os mesmos tipos de ficheiros e as opções de entrega de hardware são equivalentes.
O nível OV existe e funciona, mas ao seu preço inicial pode comprar Sectigo ou Comodo OV e obter o mesmo produto por menos. Não recomendamos GoGetSSL OV a menos que haja uma razão específica para preferir a marca.
Vantagens
- Preço de valor no EV (mais barato que DigiCert por uma margem considerável)
- Integração fluida com os fluxos de assinatura da Microsoft, Apple e Android
- CA estabelecida com sede na Letónia e raízes reconhecidas
Desvantagens
- O nível OV é mais caro do que Sectigo e Comodo sem diferença funcional
- Sem serviço de assinatura em nuvem proprietário (apenas token USB ou HSM próprio)
- Menor presença de marca em aquisições empresariais nos EUA
Veredicto: Escolha GoGetSSL Code Signing EV SSL se precisar de EV mas DigiCert for demasiado cara e Sectigo/Comodo não se adequarem às suas preferências de compra. A opção OV está na página GoGetSSL Code Signing SSL.
Melhores Escolhas por Caso de Uso
O “melhor fornecedor” depende inteiramente do que está a assinar e de quem está a comprar. Aqui está o guia de orientação:
Programador individual ou independente
Escolha: Sectigo OV (Validação Individual) ou Comodo OV. Ambas as CAs emitem certificados equivalentes a OV para indivíduos verificados sem empresa registada, ao nível mais económico. Sectigo é ligeiramente mais atual como marca; Comodo se preferir o nome histórico. Qualquer uma proporciona uma assinatura publicamente confiável ao menor custo.
Pequena ou média empresa de software
Escolha: Sectigo OV ou Comodo OV. A mesma recomendação que para programadores individuais, mas passará pela validação de organização em vez de individual. Não pague por EV a menos que assine drivers ou tenha uma razão específica. OV assina instaladores Windows, scripts, aplicações Java e a maioria dos outros tipos de ficheiros sem problemas.
Assinatura de drivers de modo kernel do Windows
Escolha: Sectigo EV ou Comodo EV. Qualquer certificado EV é elegível para assinatura de drivers de modo kernel, pelo que o EV publicamente confiável mais barato é a escolha sensata. Consulte as opções EV na página de categoria se quiser comparar. DigiCert EV também é elegível, mas a 2,4× o preço pela mesma elegibilidade.
Equipa com uso intensivo de CI/CD ou fluxo de assinatura distribuído
Escolha: DigiCert OV ou EV com KeyLocker. Este é o único cenário em que o preço premium da DigiCert é genuinamente justificado. KeyLocker elimina a necessidade de passar fisicamente tokens USB entre programadores e integra-se de forma limpa com pipelines de build. A assinatura em nuvem da Sectigo é uma alternativa se o orçamento for limitado.
DigiCert obrigatória por contrato
Escolha: DigiCert. Se o seu contrato nomear a CA, não tem escolha. Compre o nível especificado no contrato e avance.
Veredicto Final e Onde Comprar
A maioria dos compradores deve escolher Sectigo ou Comodo no nível de entrada. São funcionalmente o mesmo certificado da mesma infraestrutura de CA, empatadas como a OV e EV publicamente confiável mais barata, e emitem para organizações e indivíduos. Sectigo é a marca mais atual; Comodo é o nome histórico que alguns compradores ainda preferem. DigiCert vale o seu preço premium apenas quando é nomeada por contrato ou quando KeyLocker beneficia genuinamente o seu processo de build. GoGetSSL é a resposta quando pretende EV de uma CA que não é DigiCert mas que representa uma evolução em relação ao nível de entrada.
A linha de assinatura de código da SSL Dragon comercializa as quatro CAs, e a página de categoria de assinatura de código tem preços em tempo real, detalhes de entrega de hardware, a comparação OV vs EV, a nova regra de validade de 460 dias e as perguntas frequentes. Comece por aí para a compra efetiva. Volte aqui quando alguém lhe perguntar qual escolher.
Economize 10% em certificados SSL ao fazer seu pedido hoje!
Emissão rápida, criptografia forte, 99,99% de confiança no navegador, suporte dedicado e garantia de reembolso de 25 dias. Código do cupom: SAVE10
