Tutoriais de Certificado de Assinatura de Código

Um certificado de assinatura de código não é instalado da mesma forma que um certificado SSL. Não há nenhum ficheiro para colocar num servidor. A chave privada tem de ser criada dentro de uma peça de hardware certificado e permanecer lá durante toda a vida do certificado, o que altera a ordem de todos os passos seguintes: o que escolhe no checkout, o que tem de enviar à Autoridade Certificadora, o que chega quando a validação termina, e o que digita quando finalmente assina algo.

Estes tutoriais abrangem cada uma dessas etapas para os certificados que a SSL Dragon vende. Use esta página para determinar em que etapa se encontra e para verificar o punhado de regras que se aplicam independentemente da Autoridade Certificadora ou do dispositivo que estiver a usar.

Navegação Rápida

• Que Método de Entrega de Certificado de Assinatura de Código Escolher?
• Geração de CSR e Atestação com YubiKey 5 FIPS
• Luna Network HSM 7: Guia de CSR e Atestação
• Como Validar Certificados de Assinatura de Código Sectigo e Comodo
• Como Validar Certificados de Assinatura de Código DigiCert e GoGetSSL
• Como Configurar um Certificado de Assinatura de Código EV num Token Enviado
• Instalação de Certificado de Assinatura de Código no YubiKey 5 FIPS
• Como Assinar um Ficheiro EXE Usando um Certificado de Assinatura de Código

O Que Rege Todos os Certificados de Assinatura de Código Atualmente

Três mudanças da indústria estão na base dos oito guias abaixo. Lê-las primeiro explica por que motivo o processo funciona assim, e evita que siga instruções mais antigas que ainda circulam amplamente.

A chave privada tem de ser gerada e mantida em hardware certificado

Desde 1 de junho de 2023, os Requisitos Base de Assinatura de Código do CA/Browser Forum exigem que a chave privada seja protegida por um módulo criptográfico certificado com pelo menos FIPS 140-2 Nível 2 ou Common Criteria EAL 4+. As Autoridades Certificadoras já não podem permitir que gere uma chave num navegador ou num computador portátil e descarregue depois um ficheiro PFX.

Tudo o resto decorre dessa única regra. É por isso que o formulário de encomenda lhe pede para escolher um método de entrega, é por isso que existe um ficheiro de atestação (é assim que prova à CA que uma chave que ela nunca viu ser criada foi realmente criada dentro de hardware compatível), e é por isso que instalar o certificado significa colocá-lo numa ranhura de um dispositivo em vez de o importar para um servidor.

Os certificados agora são válidos por meses, não anos

A votação CSC-31 do CA/Browser Forum, adotada a 17 de novembro de 2025 como a versão 3.10.0 dos Requisitos Base de Assinatura de Código, reduziu a validade máxima de um certificado de assinatura de código publicamente confiável de 39 meses para 460 dias para certificados emitidos a partir de 1 de março de 2026. Aplica-se tanto a certificados padrão como a certificados de Validação Estendida.

Ambas as CAs anteciparam-se e ambas fixaram 459 dias, aproximadamente quinze meses: a Sectigo a partir de 23 de fevereiro de 2026 e a DigiCert a partir de 24 de fevereiro de 2026. A DigiCert removeu simultaneamente as suas opções de dois e três anos. Qualquer guia, incluindo versões mais antigas destas páginas, que lhe ofereça um certificado de assinatura de código de três anos está a descrever um produto que já não existe. As compras plurianuais agora significam cobertura plurianual com reemissão, não um único certificado de longa duração. A menor duração é também o motivo pelo qual carimbar a data e hora de cada assinatura já não é opcional, uma vez que é o carimbo temporal que mantém válido o software já distribuído depois de o certificado expirar.

A Validação Estendida já não ultrapassa o SmartScreen

Os certificados EV de assinatura de código costumavam ignorar o aviso do Microsoft Defender SmartScreen numa aplicação completamente nova. Esse comportamento foi removido em agosto de 2024, quando os identificadores de objeto de assinatura de código EV foram retirados das raízes no Programa de Raiz Confiável da Microsoft. O Windows trata agora todos os certificados de assinatura de código da mesma forma, e um ficheiro assinado com EV constrói reputação exatamente como um assinado com OV.

O EV continua a implicar uma verificação mais rigorosa da sua organização, e algumas regras de compras empresariais ainda o exigem, pelo que não deixou de ser útil. Simplesmente já não garante confiança instantânea no Windows, e nenhum procedimento de assinatura em nenhuma destas páginas altera isso.

Etapa 1: Escolha ou Confirme o Seu Método de Entrega

Esta é a primeira decisão e a única que não pode reconsiderar. Determina se a CA lhe envia hardware ou espera que forneça o seu próprio, e por isso decide quais dos guias abaixo se aplicam ao seu caso.

Que Método de Entrega de Certificado de Assinatura de Código Escolher?

Compara as duas opções no formulário de encomenda, um token pré-carregado e enviado pela CA versus hardware que já possui, com os custos de envio atuais para cada CA, os dispositivos que a Sectigo e a DigiCert realmente aceitam hoje, o que os serviços de assinatura na nuvem operados pela CA fazem de diferente, e por que motivo a escolha fica bloqueada no checkout. Leia-o antes de encomendar: também enumera as questões que vale a pena resolver antecipadamente, como saber se o seu dispositivo consta da lista suportada pela sua CA e se pode efetivamente produzir uma atestação. Se a encomenda já existir, indica o que pode e não pode ser alterado nessa fase.

Etapa 2: Gere a Chave e o CSR no Seu Próprio Hardware

Salte esta etapa se a CA lhe estiver a enviar um token pré-carregado, pois a chave é gerada por si antes de o dispositivo ser expedido. Aplica-se apenas se escolheu usar hardware que já possui, caso em que a CA não pode emitir nada até que lhe envie um CSR gerado nesse dispositivo mais um pacote de atestação a comprovar que a chave foi criada ali e não pode ser exportada.

Um aviso antes de começar num YubiKey: a interface gráfica YubiKey Manager em que as instruções mais antigas se baseiam atingiu o fim de vida em 19 de fevereiro de 2026. A ferramenta de linha de comandos ykman e o Yubico Authenticator não são afetados e são o que os guias abaixo utilizam.

Geração de CSR e Atestação com YubiKey 5 FIPS

O percurso completo com ykman num YubiKey 5 FIPS: colocar primeiro o token no modo aprovado FIPS (caso contrário recusa gerar uma chave), escolher a ranhura e o algoritmo de chave, produzir o par de chaves e o CSR, exportar o certificado de atestação e o intermédio da Yubico, e juntá-los no único ficheiro PEM que a CA espera. Aborda também a armadilha de codificação no PowerShell que faz com que um ficheiro de atestação de resto correto seja rejeitado.

Luna Network HSM 7: Guia de CSR e Atestação

A mesma tarefa num Thales Luna Network HSM, usando o utilitário autónomo cmu do Luna HSM Client: gerar o par de chaves RSA com os atributos de que a atestação depende, ler os identificadores de objeto, construir o CSR com o algoritmo de assinatura correto, e produzir a confirmação de chave pública que a CA verifica. Vale a pena ler mesmo que já tenha executado estes comandos antes, porque a versão publicada em toda a indústria produz um CSR assinado com SHA-1 a menos que adicione uma opção.

Etapa 3: Passe a Validação

A validação diz respeito a quem é, não ao seu hardware, pelo que decorre em paralelo com as etapas 1 e 2 em vez de depois delas. A CA confirma que a entidade indicada no certificado existe legalmente, que é contactável num endereço e num número de telefone ou endereço de correio eletrónico que consegue verificar a partir de uma fonte diferente do seu formulário de encomenda, e que quem aprovou o pedido estava autorizado a fazê-lo. É aqui que quase todas as encomendas atrasadas ficam presas, e é a única etapa que não consegue acelerar trabalhando mais depressa.

As duas CAs seguem processos diferentes, por isso escolha o guia que corresponde ao seu certificado.

Como Validar Certificados de Assinatura de Código Sectigo e Comodo

O que a Sectigo verifica e em que ordem, para Validação de Organização, para programadores individuais sem empresa, e para Validação Estendida: a verificação no registo do seu nome legal, a sessão automatizada de Video ID, a verificação de endereço e contacto, o Contrato de Subscritor, a chamada de retorno que fecha a encomenda, e os passos adicionais de existência operacional e segunda revisão que o EV acrescenta. Explica também por que motivo surge documentação de marca Comodo numa encomenda Sectigo, e o que fazer quando o registo governamental por si só não é suficiente.

Como Validar Certificados de Assinatura de Código DigiCert e GoGetSSL

O processo da DigiCert para CS e EV CS, incluindo o ponto que faz falhar a maioria das encomendas: têm de ser concluídas duas coisas separadas, a organização tem de ser validada para assinatura de código e um contacto verificado marcado para esse tipo de certificado tem de aprovar o pedido, e a encomenda fica pendente até que ambas sejam concluídas. Aborda a verificação de organização, endereço e telefone, a chamada de confirmação, o percurso individual para programadores sem empresa registada, e o que fazer quando uma encomenda encalha.

Etapa 4: Coloque o Certificado no Seu Hardware

Assim que a validação for aprovada, o certificado é emitido. O que acontece a seguir depende do método de entrega que escolheu na etapa 1. Ou chega um token pelo correio com a chave e o certificado já lá colocados, ou recebe um ficheiro de certificado para importar para o dispositivo que gerou o seu CSR.

Como Configurar um Certificado de Assinatura de Código EV num Token Enviado

O percurso para um token que a CA lhe envia, que é a forma normal como as encomendas EV são entregues. Aborda a instalação do SafeNet Authentication Client, a ordem em que o cliente e o token têm de estar ligados, a substituição da palavra-passe inicial do token que a CA lhe enviou por correio eletrónico, a confirmação de que o certificado é visível para o Windows, e a localização da impressão digital (thumbprint) de que a sua ferramenta de assinatura vai precisar. Leia a secção sobre bloqueio antes de digitar a palavra-passe: o token bloqueia após um pequeno número de tentativas erradas, e a palavra-passe de administrador que o desbloquearia fica com a CA.

Instalação de Certificado de Assinatura de Código no YubiKey 5 FIPS

Importar o certificado emitido para a ranhura do YubiKey cujo par de chaves produziu o seu CSR, através do ykman ou do Yubico Authenticator, além de como verificar o resultado e o que fazer quando a CA envia um ficheiro PKCS#7 que as ferramentas não conseguem ler. Esclarece também duas coisas que guias mais antigos indicam incorretamente: qual a credencial que a importação realmente pede, e onde o intermédio da Sectigo realmente precisa de estar para que as suas assinaturas encadeiem corretamente.

Etapa 5: Assine o Seu Código e Verifique-o

A última etapa é aquela que vai repetir em cada lançamento, por isso vale a pena acertar o comando uma vez e depois criar um script para ele.

Como Assinar um Ficheiro EXE Usando um Certificado de Assinatura de Código

Encontrar o SignTool no Windows SDK sem ter de adivinhar um número de versão, o comando de assinatura com um resumo SHA-256 e um carimbo temporal RFC 3161, a seleção do certificado correto numa máquina que contém vários, a verificação canónica e por que motivo falha sem o interruptor correto, e como assinar a partir de uma chave na nuvem ou de um pipeline de CI/CD. Aborda também a opção sem token que a Microsoft agora recomenda para distribuição fora da Store, e o que a assinatura faz e não faz em relação ao SmartScreen.