Windows 签名与 SmartScreen：OV、EV 与信誉积累怎么选

在 Windows 上，签名只是入场券，信誉才是通行证。

一、签名之后警告还在

以下情境为教学假设，人物、引语和数字不代表经核实的真实案例。

孟遥的 Windows 工具通过了杀毒扫描，也买了代码签名证书。发布当天，第一批用户发来截图：Edge 提示「这个文件不常被下载」，需要点「保留」才能继续。

他以为签错了，反复检查签名链，结果全部正常。

问题不在签名本身。SmartScreen 判断的不只是「有没有签名」，还包括「这个发布者有没有历史信誉」。 新证书没有任何下载记录，系统只能保守处理。

第二周警告开始减少，第四周基本消失。这段等待期没有捷径，但可以提前准备：把下载量集中到一个安装包、保持发布者名称稳定、不要让证书频繁更换。

二、三种取得方式与成本结构

Windows 签名有三条常见路径，差别在验证强度、费用与使用方式。

EV 不再提供 SmartScreen 信誉捷径。 微软现行说明明确指出，过去 EV 默认获得正面信誉的行为已经取消，OV 与 EV 都可能显示“未识别应用”。EV 可满足特定采购或身份核验要求，但不能以“缩短警告期”为购买理由。

验证强度决定取得周期。 个人身份与组织身份的核验材料不同，预留时间也不同；临到发布才申请，通常赶不上。

硬件令牌带来运维成本。 令牌丢失、损坏、驱动不兼容都会阻断发布；只有一枚令牌时，一个人出差就可能让紧急修复延期。

托管签名把密钥移到云端。 好处是不用保管硬件，代价是把发布能力绑定到云服务可用性与账号权限；需要确认离线或服务故障时的应急路径。

云端签名要确认离线策略。 服务不可用时能否用备用证书发布，决定了故障时是延迟一天还是延迟一周。

证书主题名称要与产品身份一致。 频繁更换公司名或发布者名称，会让信誉重新开始；改名之前先评估这段损失。

改名需要重新观察，不能直接等同于信誉清零。 产品展示名、证书中的发布者身份和文件哈希是不同信号。微软未公开一个“改产品名必清零”的规则；变更后应记录实际警告，避免从单次观察推断内部算法。

三、签名链要覆盖每一个可执行文件

Windows 的拦截经常来自链条上最弱的一环。

需要签名的对象
  安装器（exe / MSI / MSIX）
  主程序 exe 与所有自带 exe
  更新器与卸载器
  安装包内嵌的运行时与辅助工具
  所有签名的对象都要加时间戳

安装器与主程序是两件事。 只签主程序，安装器仍可能触发警告；只签安装器，安装后的程序在首次运行时仍会被检查。

静默安装要单独验。 企业用户常用命令行安装，参数与权限要求不同；只测图形界面，会在批量部署时失败。

嵌套程序最容易漏。 打包工具、更新助手、运行库，只要用户会执行，就应当签名。逐个列出可执行文件清单，比事后排查便宜。

签名清单要进构建脚本。 靠人工记得签哪个文件，迟早会漏；把「找出所有可执行文件并签名」写成构建的一步。

时间戳决定证书过期后的可用性。 没有时间戳的签名在证书到期后失效，用户手里的旧版本会突然被拦。

签名要在对应文件内容定稿后做。 修改已签名 PE 的资源或版本信息可能使签名失效；把内容不变的已签名文件放进 ZIP，并不等于修改该文件。外层安装器定稿后也要独立签名与验证。

更新清单同样要签名。 自动更新下载的清单或安装包如果未签名，等于给攻击者留了一条替换通道。

更新通道也要防篡改。 除了清单签名，下载地址应使用固定域名与证书；短链与第三方网盘会削弱这条链路。

四、警告期验收与证书生命周期

签名完成后，验收要看三种 Windows 状态。

警告期要记录，而不是猜。 每次发布后记录下载量、警告出现比例与消失时间。连续几个版本对比，才能判断信誉是否在积累。

警告比例要按来源分组。 官网、商店与第三方下载站的警告表现不同；混在一起看，会误判信誉变化。

下载入口要集中。 同一个版本分散在多个短链、网盘与第三方站点，会让信誉分散，也让用户拿到不同来源的文件。

证书到期前三个月评估续期。 续期通常涉及新证书，不能承诺信誉自动继承；签名身份、密钥与托管方式变更后都应重新验证。记录发布者信息与证书链，不要用“续期不换证书”替代验收。

证书丢失要有应急路径。 私钥泄露需要吊销并重新签发；吊销后旧版本的签名会被视为不可信，必须尽快发布新版本并通知用户。

吊销后的通知要提前写。 说明影响版本、替代下载与数据安全；临时写公告，容易漏掉关键信息。

五、行动清单与复算验收

• 列出安装包内所有会被执行的 exe 与脚本
• 选定 OV、EV 或托管签名，并确认取得周期
• 为安装器、主程序、更新器、卸载器与嵌套程序全部签名
• 每个签名附加安全时间戳
• 在全新系统、覆盖安装与受限网络三种状态下验收
• 记录发布后的下载量、警告比例与消失时间
• 把证书到期日写进日历，提前三个月续期
• 写下私钥泄露或证书吊销时的应急发布步骤

验收标准：在全新系统上经真实下载验证 Authenticode 签名与发布者身份，并单独记录 SmartScreen 是否提示未识别应用。 显示正确发布者不等于没有信誉警告；这两个结果不能合并成一个勾选项。

警告期流失 = 下载页访问量 × 警告期放弃率

示例：月访问 4000，放弃率 15%，售价 49 美元，转化率 2%
月损失 ≈ 4000 × 15% × 2% × 49 ≈ 58.8 美元

信誉恢复观察 = 累计签名下载量 ÷ 天数
该值只用于观察趋势，不是平台公布的判定公式

使用边界与实操验收

本文只讲 Windows 直装分发的签名与信誉，不涉及 macOS 签名与公证，那属于第 02 篇；安装包格式与更新器属于第 04 篇；Microsoft Store 的提交流程属于第 08 篇。

证书与账号的所有权属于商店开发者账号：Apple、Google、Microsoft 与 Chrome 的团队与找回 ；证书到期的巡检属于维护负债账本：依赖、证书与平台政策的季度巡检 ；构建产物与密钥在 CI 中的存放属于第 05 篇。

选择 OV、EV 或托管签名，应比较身份核验资格、目标客户采购要求、密钥保护与 CI 成本。不要为消除或缩短 SmartScreen 警告额外购买 EV；平台没有提供这项保证。

验证以用户侧为准：发布后记录“未知发布者”与“应用不常下载”等不同提示、文件哈希、签名状态和下载渠道。警告变化是观察信号，不能仅凭两周比例不变就断定原因，也没有承诺几周内消失的统一期限。

把「下载—运行—完成首次操作」拆成三步记录。只在运行处看，会漏掉「下载后被系统删除」这一类。

关键参考与核验范围

本文的费用结构与阈值为教学演示，实际要求请以 Microsoft 当期文档为准。核验日期：2026-10-25。

• Microsoft Defender SmartScreen ：SmartScreen 的判定逻辑与用户提示说明。
• SmartScreen reputation for Windows app developers ：OV/EV 的当前信誉行为，以及签名身份与文件哈希信誉的区别。
• Azure Trusted Signing ：托管代码签名的官方文档与身份核验要求。

上述两条只用于说明公开文档入口，不构成对警告消失时间的承诺。信誉判定由平台控制，任何第三方都无法保证具体周期。

系列导航

• 上一篇：macOS 签名与公证：Gatekeeper 拦截的六类原因与一次通过清单
• 下一篇：安装包与更新器：dmg、MSIX、AppImage 与增量更新的验收
• 回到目录：一个人把软件交付到用户手里：签名、安装、更新与审核
• 相关阅读：维护负债账本：依赖、证书与平台政策的季度巡检 、macOS 签名与公证：Gatekeeper 拦截的六类原因与一次通过清单