Kod imzalama, sertifikayı satın almaktan çok sonrasındaki alışkanlıklarla güvenli hale gelir. Aşağıdaki pratikler, imzalı yazılımınızın hem kullanıcıda hem de yayın hattında güvenilir kalması için derlendi.
Anahtar ve sertifika
- Özel anahtarı donanımda (token, akıllı kart, HSM veya bulut HSM) tutun; dışa aktarılabilir PFX dosyalarından kaçının.
- Geliştirme, test ve üretim imzalarını ayırın; test imzası için ayrı bir kendinden imzalı sertifika kullanın.
- Kurumsal itibar ve SmartScreen açısından OV/EV seçimini ürün dağıtımınıza göre yapın; ayrıntılar kod imzalama sayfasında.
İmzalama süreci
- Her zaman zaman damgası ekleyin. Zaman damgası, sertifika süresi dolduktan sonra da imzanın geçerli kalmasını sağlar.
- Güçlü özet algoritması kullanın:
/fd SHA256ve/td SHA256. - İmzadan sonra doğrulayın:
signtool verify /pa /v dosya.exe. - Tüm ikilileri imzalayın: yalnızca kurulum dosyasını değil, içindeki DLL ve exe'leri de.
- Son adım olarak imzalayın: imzadan sonra dosyayı değiştiren paketleyici veya sıkıştırıcı kullanmayın.
signtool sign /sha1 <PARMAK_IZI> /fd SHA256 /tr http://time.certum.pl /td SHA256 uygulama.exe
signtool verify /pa /v uygulama.exe
Erişim ve denetim
- İmzalama yetkisini az sayıda kişi ve tek bir CI hattıyla sınırlayın.
- Her imzalama olayını kaydedin: kim, hangi dosya, hangi sürüm.
- Sertifika bitiş tarihini takvime yazın ve yenilemeyi birkaç hafta önce başlatın.
- Anahtar ele geçirildiğinden şüpheleniyorsanız vakit kaybetmeden sertifika sağlayıcınıza bildirip iptal ettirin.
USB token ve kargo istemeyen ekipler için bulut tabanlı kod imzalama bir seçenektir. Sorularınız için Türkçe teknik destek ekibine iletişim sayfasından ulaşabilirsiniz.
Özetle: donanımda anahtar, her sürümde zaman damgası, imza sonrası doğrulama ve sıkı erişim kontrolü.
Yayın sonrası
Dağıtımdan sonra bir örnek indirip Windows'ta dosya özellikleri sekmesindeki Dijital İmzalar bölümünden imzanın ve zaman damgasının göründüğünü kontrol edin. Sertifika sahibi adının ürün adınızla tutarlı olması kullanıcı güvenini artırır. Yıllık olarak erişim listesini gözden geçirin ve ayrılan ekip üyelerinin yetkilerini kaldırın; sertifika bitiş tarihini ise önceden takvime yazın. Bu küçük alışkanlıklar, büyük kesintilerin önüne geçer.