Assinatura de código

A partir de 1º de junho de 2023, medidas de segurança aprimoradas determinam que as chaves privadas para certificados de assinatura de código padrão sejam armazenadas exclusivamente em FIPS 140 Nível 2, Common Criteria EAL 4+ ou hardware certificado equivalente. Essa alteração está alinhada com os rigorosos padrões de proteção dos certificados de assinatura de código EV. Consequentemente, as autoridades de certificação (CAs) deixaram de oferecer suporte aos processos de geração de chaves, criação de CSR e instalação baseados em navegador. Em vez disso, optar pelo método de envio token+ ao solicitar o certificado fará com que a CA crie o CSR. Aqueles que preferirem a instalação do HSM devem consultar as instruções abaixo ou as diretrizes do respectivo provedor.

• Geração e atestado de CSR FIPS do YubiKey 5
• Luna Network Attached HSM v7.x: Guia de CSR e atestado

Saiba mais sobre os métodos de entrega de certificados de assinatura de código.

Copiar link

O processo de validação da organização (OV) de assinatura de código do DigiCert/GoGetSSL envolve cinco etapas:

1. Autenticação da organização: A AC confirma o registro legal e o status ativo, comparando as informações com registros oficiais ou documentos enviados.
2. Validação de endereço físico: A DigiCert faz referência cruzada de endereços comerciais com sites do governo e diretórios confiáveis para garantir a presença física.
3. Verificação do número de telefone: A Ca valida o número de telefone da organização por meio de diretórios de terceiros ou registros oficiais.
4. Chamada de verificação: Um agente da DigiCert inicia uma chamada para o representante autorizado, usando um número de telefone verificado, ou fornece uma opção de correio de voz, se necessário.
5. Aprovação final: A Ca revisa internamente os detalhes e envia instruções por e-mail para a coleta do certificado após a validação bem-sucedida.

Para obter informações completas, consulte nosso guia abrangente sobre validação de organização para certificados Digicert/GoGetSSL.

Copiar link

Para obter um certificado de assinatura de código GoGetSSL como pessoa física, siga estas etapas:

Confirmar identidade

Preencha uma carta de atestado e passe por uma verificação de vídeo usando sua webcam. A CA verificará seu documento de identidade com foto e sua identidade. Se não tiver passaporte, forneça dois documentos de identidade: um oficial com sua foto e nome e outro com seu nome.

Verificação telefônica

Verifique a validade e a atividade do seu número de telefone. Uma fonte do Google Business é aceita.

Chamada de verificação final

Responda a algumas perguntas durante uma ligação telefônica com um agente da CA para confirmar os detalhes da sua solicitação.

Para obter mais informações, consulte o guia completo sobre como passar na validação individual de um certificado de assinatura de código GoGetSSL.

Copiar link

Aqui estão as etapas necessárias para passar na validação individual de um certificado de assinatura de código Sectigo/Comodo:

Opção de identificação com foto:

• Envie um documento de identidade com foto do governo.
• Envie uma selfie com sua identificação.
• Abra o ticket do Sectigo.
• Receba o número do caso.

Opção presencial:

• Fornecer documento de identidade e comprovante financeiro.
• Incluir documento de endereço não financeiro.
• Preencher a Declaração de Declaração Pessoal.
• Notarizar documentos.
• Abra o ticket do Sectigo.
• Obtenha o número do caso.

Observe que esta é uma visão geral concisa. Consulte as instruções detalhadas de validação individual para certificados de assinatura de código Sectigo/Comodo.

Copiar link

As diretrizes mais recentes do Ca/Browser Forum exigem que os certificados de assinatura de código sejam entregues em tokens USB físicos ou instalados em um módulo de segurança de hardware (HSM) existente. Consulte o guia completo sobre métodos de entrega de assinatura de código para obter mais detalhes.

A duração do certificado Code Singing depende tanto da Autoridade de Certificação quanto do método de entrega que você escolher.

Os certificados de assinatura de código DigiCert e GoGetSSL são emitidos por um ano, independentemente de você usar um token fornecido pela CA ou seu próprio dispositivo de hardware.

Os certificados de assinatura de código da Sectigo/Comodo também são emitidos por um ano quando você usa um token fornecido pela Sectigo. Os planos plurianuais (até três anos) estão disponíveis somente quando você usa seu próprio HSM compatível.

Copiar link

A validade do certificado de assinatura de código depende do provedor e de onde a chave privada está armazenada.

A DigiCert e a GoGetSSL emitem certificados de assinatura de código com validade fixa de um ano. Não importa se você usa um token fornecido pela CA ou seu próprio HSM. O prazo é sempre de um ano.

O Sectigo (Comodo) funciona de forma diferente. Se você usar um token fornecido pela CA, o certificado também será limitado a um ano. Mas se você armazenar a chave privada em seu próprio HSM, poderá obter um certificado válido por até três anos.

Copiar link

Se você distribuir software ou scripts aos usuários, deverá obter um certificado de assinatura de código. Ele autenticará seu código e protegerá contra adulteração, permitindo que os usuários acessem e usem seus produtos digitais.

Copiar link

Você pode criar um certificado de assinatura de código, mas ele será autoassinado e não será confiável por padrão em outros sistemas. Você deve obter um certificado de assinatura de código de uma CA pública para obter confiança e reconhecimento generalizados.

Copiar link

O custo de um certificado de assinatura de código varia de acordo com a autoridade de certificação (CA) e o tipo de certificado (Validação da organização ou Validação estendida).

Copiar link

O código assinado permanece válido, mas os usuários podem ver avisos ou prompts indicando que o certificado expirou. Você deve obter um novo certificado de assinatura de código e assinar novamente seu código para garantir a confiança contínua e evitar mensagens de aviso.

Copiar link