如何申请代码签名（什么是代码签名证书）

在新的互联网时代，越来越多人使用SSL证书来保护网站安全，确保在服务器与客户端之间建立加密的通信通道，所以大部分人可能比较了解SSL证书，而对代码签名证书知之甚少。什么是代码签名证书？代码签名证书有什么作用？如何选择代码签名证书？……这些问题可能困扰着您，本篇文章将仔细介绍代码签名证书的相关知识，帮助您更快的选择适合的代码签名证书。

代码签名证书（Code Signing Certificate）是提供给软件开发者，对其开发的可执行脚本、软件代码和内容进行数字签名的数字证书。代码签名证书用于验证开发者身份真实性、保护代码的完整性。用户下载软件时，能通过数字签名验证软件来源可信，确认软件、代码没有被非法篡改或植入病毒，保护用户不会被病毒、恶意代码和间谍软件所侵害，也保护了软件开发者的利益，让软件能在互联网上快速安全地发布。

从代码签名的定义可以看出，它的作用可以从三个方面来说：

2.1 保护软件开发者的安全

通过对可执行脚本、软件代码和内容进行数字签名来标识软件来源以及软件开发者的真实身份，可保证开发者的身份和代码在签名之后不被非法篡改。篡改代码或捆绑木马、恶意程序，修改开发者身份信息等任何对已发行代码进行编辑的操作都将导致软件签名信息失效，失去相应安全应用的授权。

在我们日常生活中，比如购买一个商品我们会看其外包装上的生产厂家和有效期，那么在互联网中如何查看下载的软件或程序的开发者、发行者和有效期的相关信息呢？针对这个问题，代码签名证书应运而生，填补了这一空缺。如果没有对代码进行数字签名标识的软件就存在难以确认开发者及发行者的风险。若不慎在互联网中下载到带有恶意代码的应用程序或软件，不仅会给终端用户带来不安全风险，亦可能使所有用户遭受攻击，并导致服务中断，严重损害应用程序开发者的声誉。

2.2 防止用户下载有害文件，保护用户的安全

因为代码签名证书是针对互联网上发布的插件、软件、应用程序、驱动程序等代码和内容创建的数字"保护膜"。CA为申请代码签名的开发者签发一张代码签名证书，这就相当于在其程序软件上加了一个"保护膜"。这个保护膜上会显示开发者发行者的身份及程序代码的有效期，并且也会保护用户在下载使用软件过程中代码不被篡改。

用户下载已经签名的代码，计算机会自动验证该代码的可信性，并提示用户可以放心下载和使用。如果未签名或被篡改过的代码，则会弹出不安全警告提示。所以，发布已签名的代码可防止用户下载到有害文件，避免被恶意代码攻击，保护用户的安全。

2.3 保护软件品牌形象和声誉

假如用户在下载某一个软件或者程序时，弹出一个"未知发布者"的警告，那么会大大降低对该软件品牌的信任。相反，签名后的代码，在安装时能够显示经过验证的企业信息，同时也会消除安全警告，能够很好的提升软件的可信度。这一举措无疑是提升了企业品牌的形象和声誉，促使更多用户下载使用该软件代码。

代码签名证书按验证类型可分两类，普通代码签名证书和EV代码签名证书。不论是普通代码签书还是EV代码签名证书，都支持对32位或者64位.exe, .dll, .cab, .ocx(ActiveX),.msi,.xpi等文件进行数字签名。他们不同之处主要是验证方式和应用场景不同。普通代码签名证书仅验证基本的企业信息，可用于普通的代码签名应用场景。而EV代码签名证书采用更加严格的国际标准，扩展验证单位信息，可用于Win10 内核驱动签名、SmartScreen即时信誉等更加广泛的应用场景。

锐成信息可提供上述两种类型的不同品牌的代码签名证书。目前国内企业主要选用的是Digicert/Symantec、Sectigo和Entrust代码签名。Digicert的品牌知名度会高一些，而Sectigo的代码签名具有很高的性价比，Entrust则是世界级高安全性的品牌。这些品牌的代码签名证书可满足您不同的需求。

购买代码签名证书后，就是签发、安装证书了。我们的客服会联系您（或者您也可以主动联系我们）协助和指导签发过程。 代码签名证书只有OV和EV两种类型，都需要进行企业身份验证。各个品牌的验证流程不尽相同，比如Sectigo的申请起来就很快速便捷，详情可查看Sectigo代码签名证书的申请流程。签发成功后，对于普通代码签名，我们会协助获取证书文件；EV代码签名证书，则会将证书储存在安全性更高的Ukey中直接快递给您。

以上是关于代码签名证书的常见问题，如您还有其他疑问，欢迎留言，我们将更新完善代码签名证书的相关知识以便更好的帮助到您！

本文转载于https://www.racent.com/blog/what-is-code-signing-certificate