Лучшие провайдеры сертификатов подписи кода в 2026 году

Выбрать провайдера сертификата подписи кода сложнее, чем должно быть. Четыре публично доверенных удостоверяющих центра охватывают почти все реальные сценарии покупки: Sectigo, Comodo, DigiCert и GoGetSSL. На первый взгляд они выглядят одинаково. Все они выпускают одни и те же X.509 сертификаты, следуют одним и тем же правилам CA/Browser Forum и поставляют аппаратные токены, соответствующие одним и тем же стандартам FIPS. Так почему же начальный уровень одного CA стоит примерно вдвое дешевле, чем у другого?

Различия реальны, но они не всегда соответствуют тому, что утверждают маркетинговые материалы. В этой статье мы ранжируем четыре CA, представленных в SSL Dragon, по тому, что действительно важно при покупке: начальная цена, гибкость аппаратного обеспечения, широта валидации, скорость выпуска и доверие экосистемы. Мы расскажем, какой из них выбрать для каждой задачи и где разница в цене оправдана.

Уже знаете, что вам нужно? Смотрите полный каталог сертификатов подписи кода SSL Dragon с актуальными ценами →

---

---

Как мы ранжировали провайдеров

Список «лучших» провайдеров хорош ровно настолько, насколько хороши его критерии. Мы взвесили пять факторов:

• Начальная цена (20%). Сколько стоит самый дешевый публично доверенный SKU у каждого CA? OV и EV оцениваются отдельно, поскольку это разные продукты для разных покупателей.
• Гибкость аппаратного обеспечения (20%). Покупатели могут получить сертификат тремя способами: USB-токен от CA, собственный FIPS-совместимый HSM или облачный сервис подписи под управлением CA. Не каждый CA предлагает все три варианта. Команды с активным использованием CI/CD уделяют большое внимание облачной подписи; небольшие разработчики, как правило, нет.
• Широта валидации (15%). Некоторые CA выпускают сертификаты, эквивалентные OV, для верифицированных физических лиц (иногда обозначаемые как Individual Validation, или IV), что важно для разработчиков-одиночек без зарегистрированной компании. Другие выпускают сертификаты только для организаций.
• Скорость выпуска (15%). Большинство сертификатов подписи кода выпускаются за 1-7 рабочих дней. EV стабильно медленнее OV, поскольку проверка более тщательная. Производственные дедлайны превращают этот фактор из приятного дополнения в решающий.
• Доверие экосистемы (30%). Это наиболее сложный для количественной оценки и наиболее важный для покупателей, ориентированных на закупки, фактор. Некоторые корпоративные контракты и системы соответствия требованиям прямо указывают DigiCert. Порталы Microsoft WHQL, процесс нотаризации Apple и большинство CI-инструментов одинаково принимают все четыре CA, но контракты и аудиты не всегда с этим согласны.

Мы не ранжируем по размеру гарантии, «качеству поддержки» или функциям «печати доверия». Суммы гарантий на сертификатах подписи кода носят в основном декоративный характер, поддержка в целом сопоставима, а функции зеленой строки адреса больше не существует. Пять перечисленных выше факторов — это то, что действительно влияет на решение о покупке.

---

Краткое сравнение: все четыре провайдера с первого взгляда

Провайдер	Начальный OV	Начальный EV	Варианты аппаратного обеспечения	Лучший выбор для
Sectigo / Comodo	от $219/год	от $287/год	USB-токен, BYOD HSM, облако	Большинства покупателей, особенно экономных при выборе OV
GoGetSSL	от $289/год	от $369/год	USB-токен, BYOD HSM	EV по доступной цене
DigiCert	от $400/год	от $685/год	USB-токен, BYOD HSM, KeyLocker cloud	Корпоративных клиентов, обязательных закупок, CI/CD

Sectigo / Comodo делят первое место на начальном уровне. GoGetSSL занимает среднюю позицию. DigiCert — премиальный выбор.

---

Sectigo (Comodo) — лучший выбор для большинства покупателей

Sectigo — это надежный выбор по умолчанию. Он делит первое место по цене среди публично доверенных сертификатов подписи кода на уровнях OV и EV, выпускает сертификаты как для организаций, так и для физических лиц, и поддерживает облачную подпись для команд, которым нужны рабочие процессы без HSM. Практически нет сценария покупки, при котором Sectigo был бы неправильным выбором, — именно поэтому он является рекомендацией для большинства читателей, попавших на эту страницу.

Comodo — это тот же продукт. Бизнес по выпуску сертификатов Comodo был переименован в Sectigo в 2018 году, и оба используют одну и ту же инфраструктуру CA. SSL Dragon предлагает оба варианта, поскольку некоторые покупатели узнают название Comodo после многолетнего знакомства с брендом и предпочитают продолжать его использовать. Установщик Windows, подписанный сертификатом Comodo, проверяется так же, как и подписанный сертификатом Sectigo. Репутация SmartScreen формируется одинаково для обоих. Аппаратные токены поступают из одного пула, соответствующего FIPS. Если вы покупаете впервые, выбирайте Sectigo как более актуальное название; если в вашей команде есть исторические записи о закупках, списки поставщиков или внутренние документы, в которых упоминается Comodo, вполне нормально придерживаться привычного названия.

В любом случае, уровень OV — это то, за что данный CA заслуживает своего общего рейтинга. По начальной цене вы получаете тот же аппаратный токен FIPS 140-2 Level 2, который поставляют все остальные, то же окно выпуска от 1 до 7 дней и ту же совместимость с Microsoft Authenticode. Нет технических причин платить больше, если ваше единственное требование — «подписать установщик Windows, чтобы пользователи не видели предупреждение ‘Неизвестный издатель'».

Уровень EV также является самым дешевым публично доверенным EV. Если вы подписываете драйверы режима ядра Windows — единственная задача подписи, для которой EV обязателен, — и у вас нет контракта на закупку, привязывающего вас к DigiCert, Sectigo или Comodo EV является разумным выбором.

Плюсы

• Самая низкая цена среди публично доверенных OV и EV на рынке
• Выпускает сертификаты как для организаций, так и для верифицированных физических лиц
• Облачный сервис подписи Sectigo доступен для CI/CD-пайплайнов без HSM
• Устоявшийся CA с признанным корневым сертификатом в каждой современной ОС и браузере

Минусы

• Узнаваемость бренда ниже, чем у DigiCert, в корпоративных закупках
• Многолетние сертификаты требуют собственного HSM (токены от CA рассчитаны только на 1 год)
• У Comodo конкретно нет собственного облачного сервиса подписи (у Sectigo есть)

Вывод: Выбирайте этот CA, если хотите получить самый дешевый публично доверенный сертификат на любом уровне и у вас нет требований к закупкам, указывающих конкретный бренд. Выбирайте Sectigo Code Signing (или Sectigo EV Code Signing) для более актуального бренда, или Comodo Code Signing (или Comodo EV Code Signing), если ваши покупатели ожидают устаревшего названия.

---

DigiCert — премиальный выбор для покупателей с обязательными требованиями к закупкам

OV от DigiCert стоит примерно в 1,8 раза дороже OV от Sectigo. Разрыв по EV еще больше: EV от DigiCert примерно в 2,4 раза дороже EV от Sectigo. Это реальные разрывы, и они заслуживают реального объяснения.

DigiCert — правильный выбор в двух ситуациях и неправильный в большинстве остальных.

Во-первых, обязательные закупки. Значительная часть корпоративных контрактов на программное обеспечение, требований государственных поставщиков и систем соответствия требованиям прямо указывает DigiCert в качестве утвержденного удостоверяющего центра. Если у вашего отдела закупок или у отделов закупок ваших клиентов есть список, и DigiCert в нем присутствует, разница в цене не обсуждается. Вы покупаете не сертификат, а выполняете договорное требование.

Во-вторых, рабочие процессы с активным использованием CI/CD. DigiCert KeyLocker — это облачный сервис подписи на базе HSM, который позволяет вашему пайплайну сборки подписывать бинарные файлы без физически подключенного USB-токена. Sectigo тоже предлагает облачную подпись, но инструментарий DigiCert и документация по интеграции с CI/CD более зрелые. Если ваш процесс выпуска подписывает сотни бинарных файлов в неделю в распределенной команде, KeyLocker дает реальный прирост производительности по сравнению с передачей USB-токена между разработчиками.

За пределами этих двух сценариев DigiCert переоценен за то, что вы фактически получаете. Сам сертификат не более безопасен, шифрование не сильнее, а поведение SmartScreen идентично поведению Sectigo. Вы платите за бренд и облачный инструментарий.

Плюсы

• Наибольшая узнаваемость бренда в корпоративных и государственных закупках
• Облачный сервис подписи KeyLocker HSM зрелый и удобный для CI/CD
• Центр временных меток DigiCert (tsa.digicert.com) широко используется и хорошо поддерживается

Минусы

• Примерно в 1,8 раза дороже по OV и в 2,4 раза дороже по EV, чем Sectigo и Comodo
• Нет ценового преимущества для покупателей без конкретных требований к закупкам
• Избыточен для разработчиков-одиночек и небольших компаний-разработчиков ПО

Вывод: Выбирайте DigiCert Code Signing, если контракт указывает этот CA, или если ваш CI/CD-пайплайн действительно выигрывает от KeyLocker. В противном случае более дешевые CA справятся с той же задачей. Вариант EV доступен на странице DigiCert EV Code Signing.

---

GoGetSSL — выгодный выбор для EV

GoGetSSL — промежуточный вариант, и именно уровень EV обеспечивает ему место в этом списке. На уровне OV GoGetSSL стоит дороже Sectigo и Comodo, поэтому нет очевидных причин выбирать его для дешевой подписи. Но на уровне EV GoGetSSL значительно дешевле DigiCert, оставаясь при этом выше ценового уровня Sectigo/Comodo, занимая полезную среднюю позицию.

Для покупателей EV, которым нужен CA, отличный от DigiCert, но которые считают Sectigo и Comodo слишком начальным уровнем для своего внутреннего позиционирования, GoGetSSL — это ответ. Процесс валидации такой же, как у трех других CA, сертификат подписывает те же типы файлов, а варианты аппаратной доставки эквивалентны.

Уровень OV существует и работает, но по своей начальной цене вы можете купить Sectigo или Comodo OV и получить тот же продукт дешевле. Мы не рекомендуем GoGetSSL OV, если нет конкретной причины предпочесть этот бренд.

Плюсы

• Доступная цена на EV (значительно дешевле DigiCert)
• Плавная интеграция с процессами подписи Microsoft, Apple и Android
• Устоявшийся латвийский CA с признанными корневыми сертификатами

Минусы

• Уровень OV дороже, чем у Sectigo и Comodo, без функциональных отличий
• Нет собственного облачного сервиса подписи (только USB-токен или BYOD HSM)
• Меньшее присутствие бренда в корпоративных закупках США

Вывод: Выбирайте GoGetSSL Code Signing EV SSL, если вам нужен EV, но DigiCert слишком дорог, а Sectigo/Comodo не соответствуют вашим предпочтениям при покупке. Вариант OV доступен на странице GoGetSSL Code Signing SSL.

---

Лучший выбор по сценарию использования

«Лучший провайдер» полностью зависит от того, что вы подписываете и кто покупает. Вот маршрутизация:

Разработчик-одиночка или физическое лицо

Выбор: Sectigo OV (Individual Validation) или Comodo OV. Оба CA выпускают OV-эквивалентные сертификаты для верифицированных физических лиц без зарегистрированной компании по самой низкой цене. Sectigo немного более актуален как бренд; Comodo — если вы предпочитаете устаревшее название. Любой из них обеспечивает публично доверенную подпись с минимальными затратами.

Малый или средний бизнес в сфере разработки ПО

Выбор: Sectigo OV или Comodo OV. Та же рекомендация, что и для разработчиков-одиночек, но вы пройдете валидацию организации вместо индивидуальной. Не платите за EV, если только вы не подписываете драйверы или у вас нет конкретной причины. OV отлично подходит для подписи установщиков Windows, скриптов, Java-приложений и большинства других типов файлов.

Подпись драйверов режима ядра Windows

Выбор: Sectigo EV или Comodo EV. Любой EV-сертификат подходит для подписи драйверов режима ядра, поэтому самый дешевый публично доверенный EV — разумный выбор. Посмотрите варианты EV на странице категории, если хотите сравнить. DigiCert EV тоже подходит, но стоит в 2,4 раза дороже при той же применимости.

Команда с активным использованием CI/CD или распределенный рабочий процесс подписи

Выбор: DigiCert OV или EV с KeyLocker. Это единственный сценарий, в котором премиальная цена DigiCert действительно оправдана. KeyLocker устраняет необходимость физически передавать USB-токены между разработчиками и чисто интегрируется с пайплайнами сборки. Облачная подпись Sectigo — альтернатива, если бюджет ограничен.

Обязательные закупки DigiCert

Выбор: DigiCert. Если ваш контракт указывает этот CA, у вас нет выбора. Купите уровень, указанный в контракте, и двигайтесь дальше.

---

Итоговый вывод и где купить

Большинству покупателей следует выбрать Sectigo или Comodo на начальном уровне. Это функционально одинаковые сертификаты от одной и той же инфраструктуры CA, самые дешевые публично доверенные OV и EV, и они выпускаются как для организаций, так и для физических лиц. Sectigo — более актуальный бренд; Comodo — устаревшее название, которое некоторые покупатели по-прежнему предпочитают. DigiCert стоит своей премиальной цены только тогда, когда его указывают в закупках или когда KeyLocker реально помогает вашему процессу сборки. GoGetSSL — ответ, когда вам нужен EV от CA, который не является DigiCert, но ощущается как шаг выше начального уровня.

Каталог сертификатов подписи кода SSL Dragon включает все четыре CA, а на странице категории сертификатов подписи кода есть актуальные цены, подробности о доставке аппаратного обеспечения, сравнение OV и EV, новое правило срока действия 460 дней и FAQ. Начните там для фактической покупки. Возвращайтесь сюда, когда кто-то спросит вас, какой из них выбрать.