代码签名证书为什么转向云端密钥：2023 年新规后的办理方式、材料与价格说明

一、2023 年那条规则，改的是「私钥放哪儿」

CA/B 论坛在 2022 年修订的代码签名基线要求中明确：自 2023 年 6 月 1 日起，新签发的代码签名证书，其私钥必须生成并保存在符合要求的安全硬件内，不允许再以可导出的文件形式交付。规则的目的很直接——私钥一旦能被拷走，签名就等于可以被冒用。

这条规则落地后，行业出现了两种做法。一种是国际 CA 普遍采用的硬件令牌：把密钥写进一个 USB 形态的加密设备，快递给申请人，签名时插在电脑上。另一种是 云端 HSM：密钥生成并保存在 CA 侧的加密硬件中，申请人通过客户端调用完成签名，密钥本身不出机房。

两者的合规性没有差别，差别在交付方式。硬件令牌要过国际物流，加上清关和制卡，实际到手周期通常在一到三周；云端方案在审核通过后即可开始签名，不需要等设备。对需要频繁发版、或者团队分散在多地协作的开发者来说，后者更省事。

二、Certum 的云端方案怎么用

Certum 的云端签名产品名为 SimplySign。证书签发后，私钥保存在 Certum 的加密硬件中，申请人在本地安装 SimplySign 客户端，用账号登录并完成二次验证（手机安装simplysign app实时生成6位数字动态密码token），即可链接云端证书对 exe、msi、dll、sys、cat 等文件签名。签名动作在本地发起，私钥不落到本地磁盘上。

实际操作里有三个点值得提前知道：

第一，客户端绑定的是账号而不是某台电脑，换机器时重新登录即可，不需要重新申请证书。第二，批量签名可以走命令行或certum专用签名软件，或构建流水线里能直接接入。第三，证书有效期内签名次数和签名文件数量都不设上限，这一点对持续集成的团队影响大。

说明：云端签名同样受 CA/B 规则约束，私钥所在环境需满足相应安全等级要求；具体合规细节以 Certum 官方文档为准。

三、OV 与 EV，差价买的是什么

同一家 CA 的代码签名证书通常分 OV（组织验证）与 EV（扩展验证）两档。OV 核验企业主体真实存在，EV 在此之上追加更严格的身份核验，并支持 Windows 内核驱动签名与微软 WHQL 硬件认证。

需要说明的是，EV 能让签名在 SmartScreen 中的表现更快趋于稳定，但它不是「装上就没有提示」的开关。信誉仍取决于软件本身的下载与使用情况，若安装包被杀毒软件判定为风险文件，任何等级的证书都无法改变这一结果。

四、2026 年办理材料与报价

以下报价引自 ssldun.net 现有产品页，发布到 ssldun.cn 前请与当期价目表核对——同一产品在站内不同文章里出现过 1150 元与 1600 元两种一年期价格，需先统一。

对于企业申请Certum ev代码签名证书无法提供账单类凭证，可选 GlobalSign EV的硬件令牌方案：核验走公示电话或邮箱确认不需要提供材料，令牌与资质核验同步进行，材料齐全时通常 1–2 个工作日可完成签发，之后再把证书导入令牌。代价是要等快递，且多一件需要保管的硬件。

五、办理流程

1. 选型：先确认是否需要内核驱动签名或 WHQL 认证，需要则选 EV，否则 OV 已可覆盖常规软件发布。
2. 提交材料：营业执照、经办人身份证，按需加水印；个人申请另附账单凭证。
3. 材料预审：由服务商先行校对格式与信息一致性，减少因材料问题被 CA 驳回的往返。
4. 身份核验与签发：按 CA 要求完成核验，签发后取得证书。
5. 部署签名：云端方案安装 SimplySign 客户端登录；硬件方案将证书导入令牌，配合时间戳服务签名。

时效上，Certum OV/EV 通常在申请当天或第二天的14点-22点期间签发、Gobalsign OV/EV 通常申请当天签发，顺丰同步邮寄token硬件，收到硬件后证书提取到硬件里即可使用，均以材料齐全、审核顺利为前提；遇材料补充或人工复核会顺延。

六、关于服务商资质

SSLDUN（河南聚妍网络科技有限公司）与 Certum 母公司 Asseco Data Systems S.A. 于 2022 年 10 月 6 日签署合作协议（编号 UPP/025/2022），取得 SSL/TLS、代码签名、邮件签名等常规数字产品的销售与 API 对接权限；2025 年 5 月 5 日签署全品类直签协议（编号 UPP/054/2025），新增 AES 高级电子签名；2026 年 6 月 23 日取得 QES 线下核验授权（编号 699/P/CC/2026）。同时是Globalsign的重要的市场战略伙伴代理商。授权书和编号请看下面的部分截图。