Certificados de Assinatura de Código

Existem dois níveis de validação, e a escolha entre eles depende de quem assina e o que assina.

• OV (Organization Validation) é o nível padrão. A CA verifica a existência legal de uma empresa registada e emite o certificado para essa organização. A Comodo e a Sectigo também emitem certificados equivalentes a OV para indivíduos verificados, por vezes designados por Individual Validation (IV), para programadores independentes sem empresa registada. As opções OV da SSL Dragon começam em $219/ano.
• EV (Extended Validation) exige uma verificação empresarial mais aprofundada, de acordo com as diretrizes EV do CA/Browser Forum. Apenas organizações registadas são elegíveis; indivíduos não. EV é o único nível aceite para assinar drivers em modo kernel do Windows, e muitas políticas de aquisição e auditoria empresariais exigem-no. As opções EV da SSL Dragon começam em $287/ano.

Uma nota sobre o SmartScreen: uma atualização de 2024 ao Microsoft Trusted Root Program alterou a forma como a reputação é acumulada. A reputação do SmartScreen é agora construída por hash de ficheiro e volume de downloads, independentemente do tipo de certificado. O EV já não garante confiança imediata no SmartScreen. Tanto os binários assinados com OV como com EV constroem reputação da mesma forma assim que estão disponíveis.

Escolha OV se assinar aplicações em modo utilizador e pretender o nível de preço mais baixo. Escolha EV se assinar drivers em modo kernel do Windows, precisar da máxima garantia de identidade, ou tiver requisitos de aquisição que especifiquem explicitamente EV.

Desde 1 de junho de 2023, o CA/Browser Forum exige que a chave privada de cada certificado de confiança pública seja gerada e armazenada em hardware que cumpra os requisitos FIPS 140-2 Level 2 ou Common Criteria EAL 4+. Os ficheiros .pfx para download já não são emitidos. Os compradores escolhem uma de três formas de entrega:

1. Token USB enviado pela CA. A CA envia por correio um token USB FIPS 140-2 Level 2 pré-carregado (normalmente um YubiKey) para a morada verificada no pedido.
2. Dispositivo compatível próprio. Se a sua equipa já utiliza um HSM ou token FIPS 140-2 Level 2 ou Common Criteria EAL 4+, a CA emite o certificado com base numa atestação desse dispositivo.
3. Serviço de assinatura via cloud HSM. A chave privada é gerada e mantida num cloud HSM gerido pela CA, como o DigiCert KeyLocker, a assinatura cloud da Sectigo ou o eSigner da SSL.com. Não é necessário enviar nenhum token físico, e a assinatura integra-se facilmente em pipelines CI/CD.

Um token USB é a opção mais simples para assinatura manual ocasional; a assinatura cloud é mais adequada para builds automatizadas. As três formas partilham a mesma Public Key Infrastructure (PKI): o certificado associa a sua identidade verificada a uma chave pública, o hardware protege a chave privada, e a assinatura digital resultante é o que o Windows verifica.

Os passos de configuração estão nos nossos tutoriais de assinatura de código.

A partir de 1 de março de 2026, os certificados de confiança pública têm uma validade máxima de 460 dias (cerca de 15 meses), em comparação com o máximo anterior de 39 meses. A alteração resulta do CA/Browser Forum Ballot CSC-31. Os pedidos plurianuais continuam disponíveis, mas o próprio certificado é reemitido dentro do prazo adquirido em vez de o abranger na totalidade.

O que isto significa ao nível do pedido:

• Um único certificado novo está limitado a ~15 meses de validade
• Os pedidos de 2 e 3 anos continuam disponíveis, com reemissão durante o prazo
• Os pedidos instalados em HSM podem cobrir o prazo total adquirido, mas requerem reemissão anual
• Os certificados emitidos antes de 1 de março de 2026 permanecem válidos até à sua data de expiração original

O código devidamente marcado com timestamp permanece de confiança após a expiração do certificado, pelo que o software que já assinou e distribuiu não é afetado. Apenas o ciclo de renovação muda.

A SSL Dragon disponibiliza opções de quatro Certificate Authorities. Veja como as opções OV e EV se comparam em termos de preço inicial, entrega de hardware e tempo de emissão.

O Comodo e o Sectigo OV começam ambos em $219/ano e são as opções de confiança pública mais acessíveis desta página. A DigiCert posiciona-se no segmento premium, com $400 para OV e $685 para EV, sendo geralmente escolhida por compradores cujos contratos ou frameworks de conformidade especificam expressamente a DigiCert. A GoGetSSL é a opção de melhor relação qualidade-preço no nível EV, a $369/ano. As quatro CAs enviam tokens de hardware, sendo que a DigiCert também oferece assinatura cloud KeyLocker para fluxos de trabalho sem HSM físico.

Nenhuma Certificate Authority de confiança pública oferece assinatura de código gratuita em 2026.

Dois custos reais tornam isso inviável:

1. A CA tem de verificar a identidade do editor (organização ou indivíduo)
2. Desde junho de 2023, a chave privada tem de residir em hardware compatível com FIPS, cujo custo tem de ser suportado por alguém

Os certificados autoassinados podem ser gerados com OpenSSL sem qualquer custo, mas o Windows, o macOS e os browsers não confiam neles, pelo que o aviso “Editor Desconhecido” permanece. Se o preço for o fator decisivo, o Comodo Code Signing e o Sectigo Code Signing OV (ou Individual Validation para programadores independentes) são as opções de entrada a $219/ano.

Um certificado de qualquer CA disponível na SSL Dragon pode assinar:

• Binários e instaladores Windows: ficheiros .exe, .dll, .cab, .ocx, .msi e .xap assinados via Microsoft Authenticode
• Drivers Windows: drivers em modo utilizador (OV ou EV) e drivers em modo kernel (apenas EV)
• Aplicações Java: ficheiros .jar assinados com jarsigner
• Scripts e macros: scripts PowerShell, VBScript e macros VBA do Microsoft Office
• Outros formatos: pacotes Adobe AIR, ficheiros de objeto Mozilla e Microsoft Silverlight (legado, mas ainda válido)
• Firmware e software IoT
• Contentores e pacotes de software

O mesmo certificado cobre a maioria dos casos acima; a assinatura de drivers em modo kernel é o único caso que obriga ao nível EV.

Um certificado SSL/TLS encripta a ligação entre um browser e um website. Um certificado de assinatura de código assina digitalmente software para que o sistema operativo possa verificar quem o publicou e que o ficheiro não foi alterado.

Os dois não são intercambiáveis: um protege um domínio, o outro comprova a origem de um executável. Ambos são certificados X.509 emitidos por uma Certificate Authority, o que explica a confusão entre eles.