Kod İmzalama Sertifikaları

İki doğrulama seviyesi mevcuttur ve alıcının bu ikisi arasındaki tercihi, kimin imzaladığına ve neyin imzalandığına bağlıdır.

• OV (Organization Validation) standart seviyedir. CA, kayıtlı bir işletmenin yasal varlığını doğrular ve sertifikayı o kuruluşa düzenler. Comodo ve Sectigo aynı zamanda kayıtlı bir şirketi olmayan bağımsız geliştiriciler için bireysel doğrulama (IV) olarak da adlandırılan OV eşdeğeri sertifikaları doğrulanmış bireylere de düzenler. SSL Dragon’un OV seçenekleri yılda $219’dan başlamaktadır.
• EV (Extended Validation), CA/Browser Forum’un EV yönergelerine göre daha kapsamlı bir işletme doğrulaması gerektirir. Yalnızca kayıtlı kuruluşlar uygun kabul edilir; bireyler bu kapsama girmez. EV, Windows kernel-mode sürücülerini imzalamak için kabul edilen tek seviyedir ve pek çok kurumsal tedarik ile denetim politikası bunu zorunlu kılmaktadır. SSL Dragon’un EV seçenekleri yılda $287’den başlamaktadır.

SmartScreen hakkında bir not: Microsoft Trusted Root Program’da 2024 yılında yapılan bir güncelleme, itibarın nasıl biriktiğini değiştirdi. SmartScreen itibarı artık sertifika türünden bağımsız olarak dosya hash’i ve indirme hacmine göre oluşmaktadır. EV artık anlık SmartScreen güveni sağlamamaktadır. OV ve EV ile imzalanmış ikili dosyalar, yayıldıktan sonra itibarı aynı şekilde oluşturmaktadır.

Kullanıcı modu uygulamaları imzalıyor ve daha düşük fiyat seviyesini tercih ediyorsanız OV’yi seçin. Windows kernel-mode sürücüleri imzalıyorsanız, maksimum kimlik güvencesine ihtiyaç duyuyorsanız veya tedarik süreciniz açıkça EV gerektiriyorsa EV’yi tercih edin.

1 Haziran 2023’ten itibaren CA/Browser Forum, kamuya güvenilen her sertifikanın özel anahtarının FIPS 140-2 Seviye 2 veya Common Criteria EAL 4+ gereksinimlerini karşılayan donanım üzerinde oluşturulmasını ve saklanmasını zorunlu kılmaktadır. İndirilebilir .pfx dosyaları artık düzenlenmemektedir. Alıcılar üç teslimat yönteminden birini seçer:

1. CA tarafından gönderilen USB token. CA, önceden yüklenmiş bir FIPS 140-2 Seviye 2 USB token’ı (genellikle bir YubiKey) siparişteki doğrulanmış adrese posta yoluyla gönderir.
2. Uyumlu kendi cihazınızı getirin. Ekibiniz halihazırda FIPS 140-2 Seviye 2 veya Common Criteria EAL 4+ uyumlu bir HSM ya da token kullanıyorsa, CA bu cihazdan alınan bir onay belgesi karşılığında sertifikayı düzenler.
3. Bulut HSM imzalama hizmeti. Özel anahtar, DigiCert KeyLocker, Sectigo bulut imzalama veya SSL.com eSigner gibi CA tarafından yönetilen bir bulut HSM’de oluşturulur ve saklanır. Gönderilecek fiziksel bir token yoktur ve imzalama işlemi CI/CD süreçlerine sorunsuz biçimde entegre edilebilir.

USB token, ara sıra yapılan manuel imzalama için en basit yöntemdir; bulut imzalama ise otomatik derlemeler için daha uygundur. Her üç yöntem de aynı Public Key Infrastructure (PKI) altyapısını paylaşır: sertifika, doğrulanmış kimliğinizi bir genel anahtara bağlar, donanım özel anahtarı korur ve elde edilen dijital imza Windows’un doğruladığı şeydir.

Kurulum adımları kod imzalama eğitimlerimizde yer almaktadır.

1 Mart 2026 itibarıyla, kamuya güvenilen sertifikaların maksimum geçerlilik süresi önceki 39 aylık üst sınırdan düşürülerek 460 gün (yaklaşık 15 ay) olarak belirlenmiştir. Bu değişiklik, CA/Browser Forum Oylama CSC-31’den kaynaklanmaktadır. Çok yıllık siparişler hâlâ satılmaktadır; ancak sertifikanın kendisi, satın alınan süreyi kapsayacak şekilde değil, bu süre içinde yeniden düzenlenerek verilmektedir.

Sipariş düzeyinde bu ne anlama gelir:

• Tek bir yeni sertifikanın geçerlilik süresi en fazla ~15 ay ile sınırlıdır
• 2 yıllık ve 3 yıllık siparişler, süre içinde yeniden düzenleme yapılmak kaydıyla mevcut olmaya devam etmektedir
• HSM’e yüklenen siparişler satın alınan sürenin tamamını kapsayabilir; ancak yıllık yeniden düzenleme gerektirir
• 1 Mart 2026 öncesinde düzenlenen sertifikalar, orijinal son kullanma tarihlerine kadar geçerliliğini korur

Doğru biçimde zaman damgası eklenmiş kod, sertifikanın sona ermesinin ardından da güvenilir olmaya devam eder; dolayısıyla daha önce imzaladığınız ve dağıttığınız yazılımlar bu değişiklikten etkilenmez. Yalnızca yenileme sıklığı değişmektedir.

SSL Dragon, dört Sertifika Otoritesinden seçenekler sunmaktadır. OV ve EV seçeneklerinin başlangıç fiyatı, donanım teslimatı ve düzenleme süresi açısından karşılaştırması aşağıda yer almaktadır.

Comodo ve Sectigo OV seçeneklerinin her ikisi de yılda $219’dan başlamakta olup bu sayfadaki en uygun fiyatlı kamuya güvenilen seçeneklerdir. DigiCert, OV için $400 ve EV için $685 ile premium segmentte yer almakta olup genellikle sözleşmeleri veya uyumluluk çerçeveleri DigiCert’i açıkça belirten alıcılar tarafından tercih edilmektedir. GoGetSSL ise EV seviyesinde yılda $369 ile en avantajlı seçenektir. Dört CA da donanım token’ı göndermekte olup DigiCert ayrıca HSM gerektirmeyen iş akışları için KeyLocker bulut imzalamayı da sunmaktadır.

2026 itibarıyla kamuya güvenilen hiçbir Sertifika Otoritesi ücretsiz kod imzalama sunmamaktadır.

Bunu uygulanamaz kılan iki gerçek maliyet vardır:

1. CA’nın yayıncının kimliğini (kuruluş veya bireysel) doğrulaması gerekmektedir
2. Haziran 2023’ten itibaren özel anahtarın, bedelini birinin ödemesi gereken FIPS uyumlu donanımda bulunması zorunludur

Kendinden imzalı sertifikalar OpenSSL ile oluşturulabilir ve herhangi bir maliyet gerektirmez; ancak Windows, macOS ve tarayıcılar bunlara güvenmediğinden “Bilinmeyen Yayıncı” uyarısı görünmeye devam eder. Fiyat belirleyici faktörse, Comodo Code Signing ve Sectigo Code Signing OV (ya da bağımsız geliştiriciler için Bireysel Doğrulama), yılda $219 ile giriş seviyesi seçeneklerdir.

SSL Dragon’un sunduğu herhangi bir CA’dan alınan sertifika ile şunlar imzalanabilir:

• Windows ikili dosyaları ve yükleyiciler: Microsoft Authenticode aracılığıyla imzalanan .exe, .dll, .cab, .ocx, .msi ve .xap dosyaları
• Windows sürücüleri: kullanıcı modu sürücüleri (OV veya EV) ve kernel-mode sürücüleri (yalnızca EV)
• Java uygulamaları: jarsigner ile imzalanan .jar dosyaları
• Betikler ve makrolar: PowerShell betikleri, VBScript ve Microsoft Office VBA makroları
• Diğer formatlar: Adobe AIR paketleri, Mozilla nesne dosyaları ve Microsoft Silverlight (eski ancak hâlâ geçerli)
• Firmware ve IoT yazılımı
• Konteynerler ve yazılım paketleri

Aynı sertifika yukarıdaki listedeki seçeneklerin büyük çoğunluğunu kapsar; EV seviyesini zorunlu kılan tek durum kernel-mode sürücü imzalamadır.

Bir SSL/TLS sertifikası, tarayıcı ile web sitesi arasındaki bağlantıyı şifreler. Kod imzalama sertifikası ise yazılımı dijital olarak imzalar; böylece işletim sistemi kimin yayımladığını ve dosyanın değiştirilip değiştirilmediğini doğrulayabilir.

Bu ikisi birbirinin yerine kullanılamaz: biri bir alan adını güvence altına alırken diğeri bir çalıştırılabilir dosyanın kaynağını kanıtlar. Her ikisi de bir Sertifika Otoritesi tarafından düzenlenen X.509 sertifikalarıdır; bu nedenle zaman zaman birbirleriyle karıştırılmaktadır.