İmzasız MSI çalıştırıldığında Windows Kullanıcı Hesabı Denetimi (UAC) ekranı "Doğrulanamayan yayıncı" ifadesini gösterir. İmzalı pakette ise yayıncının doğrulanmış adı görünür.
İmzalama sırası
- Pakete girecek exe ve dll dosyalarını imzalayın.
- MSI paketini derleyin (WiX, Advanced Installer vb.).
- Son olarak MSI dosyasının kendisini imzalayın.
- İmzadan sonra dosyada hiçbir değişiklik yapmayın; yapılırsa imza bozulur.
Komut
signtool sign /fd SHA256 /tr http://timestamp.sectigo.com /td SHA256 /d "Uygulama Adı" /du https://www.ornek.com /a kurulum.msi/d: UAC ekranında gösterilen açıklama./du: açıklama URL'si./trve/td: zaman damgası; imzanın sertifika bitse de geçerli kalmasını sağlar.
Doğrulama
signtool verify /pa /v kurulum.msiDosya Özellikleri > Dijital İmzalar sekmesinde imzalayan adı ve zaman damgasını görebilirsiniz.
Karşılaşılan sorunlar
- Hâlâ uyarı çıkıyor: SmartScreen itibarı yeni yayıncılarda zamanla oluşur; imza uyarıyı tek başıyla her zaman kaldırmaz.
- Bootstrapper exe: MSI'ı saran setup.exe da ayrıca imzalanmalıdır.
- Zaman damgası sunucusuna ulaşılamıyor: Farklı bir TSA adresi deneyin veya proxy ayarlarını kontrol edin.
Kurumsal dağıtım ipucu
MSI'ı grup ilkesi veya uç nokta yönetimi ile dağıtıyorsanız imzalı olması, yayıncı güven listelerinin kullanılmasını kolaylaştırır. Ayrıca yeni sürümlerde aynı sertifika adını kullanmak, kurumsal kural tanımlarının bozulmasını önler.
Sertifika temini için kod imzalama ürünlerine, kavramsal arka plan için bilgi bankasına bakın.