Kod imzalama sertifikası (code signing certificate), yazdığınız yazılımı doğrulanmış yayıncı adınızla dijital olarak imzalamanızı sağlar. Kullanıcı dosyayı çalıştırdığında Windows, imzayı kontrol eder; yayıncı olarak "Bilinmeyen yayıncı" yerine şirketinizin adını gösterir ve dosyanın imzalandıktan sonra değiştirilmediğini doğrular.
Kod imzalama sertifikası ne işe yarar?
- Yayıncı kimliği: Kurulum ve yetki pencerelerinde (UAC) yayıncı adınız görünür.
- Bütünlük: İmzadan sonra dosyada tek bir bayt değişirse imza geçersiz olur; araya kötü amaçlı kod eklenmesi fark edilir.
- Zaman damgası: İmzaya zaman damgası eklenirse, sertifikanın süresi dolduktan sonra da imza geçerli kalır.
- Dağıtım gereklilikleri: Bazı kurumsal ortamlar ve yazılım mağazaları imzasız dosyaları kabul etmez.
Hangi dosyalar imzalanır?
Windows'ta Authenticode ile .exe, .dll, .msi, .cab, .sys, .cat ve MSIX/AppX paketleri; PowerShell betikleri (.ps1); Java arşivleri (.jar); Office VBA makroları ve NuGet paketleri imzalanabilir. Adım adım Windows örneği için EXE imzalama nasıl yapılır? yazımıza bakabilirsiniz.
macOS uygulamaları Apple'ın kendi Developer ID sertifikasıyla, Android uygulamaları ise geliştiricinin kendi anahtarıyla imzalanır; bu iki platform için ticari kod imzalama sertifikası gerekmez. Ayrıntılar Sürücü ve APK imzalama yazısında.
OV ve EV kod imzalama farkı
| OV (Standart) | EV | |
|---|---|---|
| Doğrulama | Şirket kaydı ve başvuran doğrulanır | OV doğrulamasına ek, daha kapsamlı kurum ve kişi doğrulaması |
| Yayıncı adı | Şirket adı görünür | Şirket adı görünür |
| Windows sürücü (kernel) imzalama | Kullanılamaz | Microsoft Hardware Dev Center kaydı için gerekir |
| SmartScreen | İtibar zamanla oluşur | İtibar zamanla oluşur (2024’ten beri EV’ye özel ayrıcalık yok) |
| Kimler için | Bağımsız geliştiriciler, KOBİ yazılımları | Sürücü geliştiren ve kurumsal yayıncılar |
Microsoft, 2024'ten itibaren EV sertifikalarına SmartScreen'de otomatik güven vermiyor; OV ve EV imzalı dosyalar aynı şekilde indirme ve kullanım geçmişiyle itibar kazanır. SmartScreen'in nasıl çalıştığını SmartScreen uyarısı rehberimiz anlatıyor.
Anahtar nerede saklanır? (2023 kuralı)
CA/Browser Forum kuralları gereği 1 Haziran 2023'ten beri OV ve EV kod imzalama sertifikalarının özel anahtarı, bilgisayara indirilebilen bir dosya olarak verilemez. Anahtar şu ortamlardan birinde üretilip saklanmalıdır:
- USB donanım anahtarı (token): Otorite tarafından kargoyla gönderilir; imzalama, token takılı bilgisayarda yapılır.
- Bulut HSM: Anahtar otoritenin bulut altyapısında durur; fiziksel token ve kargo gerekmez. Örneğin Certum Standard Code Signing in the Cloud.
- Kendi HSM'iniz veya uyumlu bulut kasası: Bazı otoriteler, anahtarın uygun güvenlik seviyesindeki bir HSM içinde üretildiğini belgelemeniz koşuluyla bunu kabul eder.
Bulut seçeneklerini Bulut kod imzalama rehberi yazımızda karşılaştırdık.
Kod imzalama sertifikası nasıl alınır?
- Türü seçin: Sürücü imzalamayacaksanız çoğu yazılım için OV yeterlidir. Seçenekler: OV kod imzalama, EV kod imzalama, bulut kod imzalama.
- Sipariş verin ve kurum bilgilerini girin: Şirket unvanı, adres ve iletişim bilgileri resmi kayıtlarla aynı olmalıdır.
- Doğrulama: Otorite şirket kaydını ve başvuranı doğrular; telefonla teyit istenebilir. Süre, belgelerin eksiksizliğine bağlıdır.
- Anahtar kurulumu: Token kargoyla gelir ya da bulut hesabınız açılır.
- İmzalayın: signtool veya kullandığınız derleme aracıyla imzalayıp zaman damgası ekleyin.
Hangi sertifikayı seçmeliyim?
- Token ve kargo istemiyorsanız: Certum Standard Code Signing in the Cloud veya Certum Cloud EV Kod İmzalama.
- Açık kaynak proje geliştiriyorsanız: Certum Open Source Code Signing in the Cloud.
- Bilinen bir markayla OV: DigiCert Code Signing veya sslTrus Code Signing.
- Sürücü imzalama için EV: DigiCert EV Code Signing, Sectigo EV Code Signing veya GoGetSSL EV Code Signing.
Fiyatları ve özellikleri yan yana görmek için tüm kod imzalama sertifikaları sayfasına bakabilirsiniz.
Sık sorulan sorular
Kod imzalama sertifikası SmartScreen uyarısını hemen kaldırır mı?
Hayır. İmza, yayıncı adını gösterir ve dosyanın değiştirilmediğini kanıtlar; SmartScreen itibarı ise imzalı dosyalar indirildikçe ve kullanıldıkça oluşur.
Şahıs adına kod imzalama sertifikası alınabilir mi?
Bazı otoriteler bireysel geliştiricilere kişi adına sertifika verir; EV yalnızca kuruluşlara verilir. Uygunluğu sipariş öncesi bize sorabilirsiniz.
Sertifikanın süresi dolunca imzalı dosyalar ne olur?
İmzalarken zaman damgası eklediyseniz imza geçerli kalır. Yeni sürümleri imzalamak için sertifikayı yenilemeniz gerekir.
Yorumlar
Henüz yorum yapılmamış. İlk yorumu siz yapın!
Yorum Yaz