代码签名证书的有效期即将大幅缩短。2025 年 11 月 17 日批准的新行业规则将其最长有效期从 39 个月缩短至 460 天，自 2026 年 3 月 1 日起生效。此变更体现在更新的代码签名基准要求 v3.10.0中。
所有主要认证机构在工作组中都支持这一变更：7 个投票赞成，2 个弃权，零个反对。在平台方面，唯一参与的供应商 Microsoft 也投了赞成票。这一明确的共识表明整个行业已对加强证书卫生实践达成广泛共识。
是什么推动了缩短证书有效期的需求？
在 2024 年末，HarfangLab 研究人员揭露了 Hijack Loader 活动，犯罪分子在该活动中使用有效的代码签名证书为专门部署 Lumma 信息窃取器的恶意软件签名。由于文件携带合法签名，恶意软件绕过了许多安全检查，其受害范围远超无签名的有效负载。
数字信任领域也发生了更广泛的变化。SSL 证书已经从多年期有效性转向短轮换周期。代码签名现在也走上了同样的道路。随着后量子密码学的临近，业界需要更快的轮换速度、更清晰的密钥管理和更频繁的验证。长期有效的证书会拖累这一转变，并为无声妥协留下过多空间。
开发人员会面临哪些变化？
新的有效期窗口直接影响开发、发布和供应商流程。此变更会在整个链中强制形成新的习惯：
- 依赖长期密钥的系统需要重组：多年存储证书的构建服务器无法适应更短的周期。团队必须按计划轮换密钥、更新构建配置并防止在发布中途出现意外过期。
- 物理隔离的签名环境将面临更紧张的后勤压力：工业控制、医疗健康和政府部门通常需要将证书手工带入隔离网络。他们现在需要可预测的导入周期和更新跟踪，以防止已签名软件因缺少新证书而停滞。
- 旧版签名工具将在未更新的情况下失效：硬编码证书路径或期望单个长期密钥的旧脚本将在该密钥过期后失败。管道需要动态证书选择和自动检索，而非依赖静态文件夹。
- 密钥泄露事件更容易得到控制：攻击者不能再依赖在泄露后仍保持多年有效的证书。组织仍需快速撤销，但影响范围会缩小。
- 合规和身份团队将面对更紧张的时间表：管理EV 或组织验证证书的团队必须调整内部日程安排，以防更新延迟阻碍产品发布。
代码签名证书可用性和 HSM 要求
代码签名选项取决于认证机构，这直接影响你如何管理密钥：
- DigiCert 和 GoGetSSL 仅提供1 年代码签名证书。你可以选择CA 提供的硬件安全模块 (HSM) 或使用你自己的 HSM。
- Sectigo (Comodo) 允许你订购最长3 年的证书，但设置方式会有所不同：
- 对于1 年证书，你可以使用 CA 提供的 HSM 或你自己的 HSM。
- 对于2 年或 3 年证书，你必须使用你自己的 HSM。不提供 CA 硬件。
如果你选择多年期证书，你将完全掌控密钥存储和安全。
当你负责发布构建时意味着什么？
460 天的窗口改变了一件关键的事情：时间节奏。签名不再是罕见的例行任务，而成为发布节奏的一部分。你会更快地察觉到证书趋于过期。由于轮换被构建到工作流中而非应急处理，你的管道保持更清洁。
对于 SSL Dragon 客户而言，这一转变与大多数团队已有的运作方式相符。更短的周期与现代发布计划对齐，因此你不太可能在交付前夕被证书过期问题所困扰。如果你正在向云签名或基于 HSM 的密钥转变，过渡感觉会更加顺畅，轮换在后台静默进行。
趋势明确：更短的信任期，更快的轮换速度
更短的有效期不会解决所有供应链风险，但会推动业界采取更健康的实践。签名密钥不能再无人问津地存在多年，发布工作流也必须与新的节奏保持一致。2026 年 3 月即将来临，尽早适应管道的组织将避免后来的仓促应对。
SSL Dragon 的观点
从我们的角度来看，这一变更是个好消息。它能形成更清洁的习惯，并降低丢失或被盗密钥造成的损害。受证书问题困扰最多的团队很少有恶意意图。他们通常是那些有一个存放在旧构建机器中的长期证书，然后在最坏的时刻才发现它的组织。460 天的窗口会强制将这种风险暴露出来。
对于我们的客户来说，这一转变主要涉及认知而非工作负荷的增加。更短的窗口使证书轮换成为自然发布的一部分，而不是罕见的维护任务。更快的周期也会暴露出旧管道或被遗忘的机器中仍然依赖长期证书但无人注意的地方，这通常是延迟或安全漏洞出现的原因所在。
如果你是首次获取代码签名，此更新设置了正确的预期。信任不是一个多年保持不变的东西。它随着它所保护的软件而变化。新的窗口完全关乎保护和可预测性，我们在此帮助客户选择合适的产品和工作流，使过渡变得顺利而非颠覆性。
来源：CA/Browser Forum – 投票 CSC-31：代码签名证书有效期缩短
