微软代码签名证书申请和使用指南

在Windows平台上发布软件时，你是否遇到过安装时弹出“未知发布者”的红色警告？这正是因为你的软件缺少微软代码签名证书。微软代码签名证书是由微软受信任的证书颁发机构签发的数字证书，用于验证软件的来源并确保代码在传输过程中未被篡改。未签名的软件往往无法通过Windows SmartScreen过滤器，导致用户看到警告信息，严重影响软件的安装和使用。本文将为你完整介绍微软代码签名证书的申请流程与使用方法。

　一、微软代码签名证书：OV与EV如何选择

申请微软代码签名证书的第一步是选择合适的证书类型。微软代码签名证书主要分为OV和EV两种。

OV代码签名证书（组织验证）为常规软件提供身份验证，能够消除“未知发布者”警告，在证书详情中显示已验证的企业名称。它适合常规桌面应用程序（.exe、.msi）、工具软件和企业内部程序等场景。OV证书的审核周期通常为1-3个工作日。

EV代码签名证书（扩展验证）的审核更为严格，需要核验企业营业执照、法人身份、办公地址真实性等，审核周期约1-5个工作日。从2021年起，微软要求所有内核模式驱动程序必须使用EV证书。EV证书是驱动程序通过微软WHQL认证的强制性前提，签名的软件还能立即获得微软SmartScreen信誉提升。

　二、微软代码签名证书申请条件与材料准备

申请微软代码签名证书的主体必须是合法注册的企业实体，微软要求申请主体成立3个月以上、企业经营正常、有实际经营地址。无论是OV还是EV证书，核心的企业身份证明材料基本一致：

企业营业执照副本（需加盖公章）

法定代表人身份证正反面清晰照片

经办人（联系人）的身份信息

企业固定电话（用于接收CA机构的身份验证电话）

部分EV证书的申请还可能需要提供税务登记证明或最新的纳税凭证。建议申请前提前准备好这些材料的电子扫描件，确保信息真实、清晰、无涂改。

　三、微软代码签名证书申请流程

第一步：选择证书颁发机构（CA）

微软并不直接颁发代码签名证书，开发者需要选择一个受微软信任的证书颁发机构。常见的CA机构包括GlobalSign、DigiCert、Sectigo、Certum等。不同CA机构在价格和审核速度上存在差异。建议通过安信证书等国内授权服务商申请，安信证书与DigiCert、Certum、GlobalSign、Sectigo等国际顶级CA机构深度合作，提供本土化中文支持和材料预审服务，可大幅提升申请成功率。

第二步：提交申请与身份核验

通过所选CA机构或其授权服务商提交申请材料。CA会通过政府数据库交叉核验企业信息，并拨打企业电话进行人工确认。OV证书验证大约需要1-3个工作日，EV证书由于包含了电话核实、地址验证等额外环节，可能需要1-5个工作日。

第三步：接收并安装证书

审核通过后，CA将颁发微软代码签名证书。

第四步：微软账户关联（如需WHQL认证）

如果驱动程序需要提交微软WHQL认证，还需要使用EV代码签名证书在微软合作伙伴中心完成账户注册。注册微软硬件开发者账户后，使用EV证书对注册文件进行数字签名，完成证书与账户的绑定。

　四、如何使用微软代码签名证书签名代码

获得微软代码签名证书后，需要使用微软官方提供的签名工具SignTool.exe对软件进行签名。SignTool.exe通常包含在Windows SDK中。

一个基础的签名命令如下：

text

signtool sign/fd SHA256/f”证书文件.pfx”/p”私钥密码”/tr”http://timestamp.digicert.com””你的软件.exe”

参数说明：

/f：指定代码签名证书文件（.pfx格式）的路径

/p：证书的私钥密码

/tr：时间戳服务器URL（建议添加时间戳，即使证书过期，已签名的软件仍能通过时间戳验证其有效性）

/td：时间戳摘要算法（推荐SHA256）

/fd：文件摘要算法（推荐SHA256）

WHQL认证的完整流程如下：

使用EV代码签名证书对驱动程序包进行初始签名

在Windows硬件兼容性系统提交测试文件

在Windows硬件实验室工具包（HLK）执行测试

将签名日志提交至合作伙伴中心

获取微软正式签名后重新打包驱动程序

　五、签名后的验证方法

签名完成后，务必验证签名是否成功。有两种简单方法：

图形界面验证：右键点击已签名的文件→“属性”→“数字签名”选项卡，查看签名详情

命令行验证：运行signtool verify/pa”你的软件.exe”

微软代码签名证书是Windows软件分发过程中不可或缺的一环，它不仅为用户提供了安全保障，还能提高软件的可信度和市场竞争力。通过安信证书等专业服务商申请微软代码签名证书，可以享受材料预审、全程技术支持和本土化服务，让申请过程更加顺畅高效。