在Windows生态中，内核驱动合规始终是硬件厂商和开发者的核心门槛。2021年微软收紧驱动签名政策，2025年底更新WHQL规则，2026年CA/B论坛又缩短证书有效期——过去"绕过签名""临时测试证书"的做法已完全失效。一套从EV证书申请到WHQL认证落地的标准化路径，已成为硬件出海、工业驱动企业的必修课。

WHQL认证：从加分项到强制准入

很多开发者仍把WHQL当作"加分项"，但按2026年最新政策，它已是内核驱动合法运行的硬性门槛。微软规定，64位Windows 10 1607之后系统及全版本Windows 11，都会强制拦截没有WHQL签名的内核驱动，普通OV证书不再具备内核驱动加载权限。

通过认证的驱动可进入微软硬件兼容性列表，获得"Designed for Windows"标识，并通过Windows Update全球推送。对工业控制、物联网模组等B端场景，WHQL报告已是政企采购、出海招标的默认资质。

国内开发者推进WHQL长期面临三大痛点：全英文文档门槛高、EV证书海外申请链路长、代理只卖证书无技术支持，导致本地测试通过但官方审核失败。

EV证书：WHQL认证的前置门槛

WHQL认证第一步必须先完成EV代码签名证书申请，这是微软2023年后的强制要求——没有绑定有效EV证书的硬件开发者账户，无法提交任何WHQL申请。

2026年CA/B论坛新规下，EV证书最长有效期缩短至459天（CSC-31提案，2026年3月1日起新签发证书最长460天），且私钥必须存储在符合FIPS 140-2 Level 3标准的硬件载体中，禁止纯软件交付。

合规申请需完整身份核验：提交营业执照与身份资料，CA通过国家企业信用系统确认企业存续；完成面对面或视频核验；再通过企业邮箱、回访电话双重验证。国内开发者直接向海外CA申请，常因材料翻译、电话漏接等问题被拉长到一两个月。

在微软指定的6家合规CA中，欧盟Certum性价比突出。作为eIDAS体系老牌服务商，其EV证书满足微软交叉签名要求，支持.exe、.dll、.sys等文件签名。但Certum在大陆无直营分公司，催生了本地化代理需求。

EV与OV的真实差异

"EV签名自动跳过SmartScreen"这句话在2024年3月后已作废。微软调整后，OV和EV新软件都要靠"同一身份持续签名+干净下载量"积累信誉。

2026年3月起，单张证书最长460天，OV和EV私钥都必须锁在硬件里，SmartScreen待遇一致。真正差距只有三处：验证深度上，EV加核地址、固话回拨、授权链；内核驱动与WHQL上，OV完全不支持；政企投标上，EV认可度更高。一句话：普通exe用OV，碰驱动和强合规才上EV。

采购三条硬规矩：私钥不出硬件，云签名也须HSM托管；460天重签，多年期套餐是按周期重签而非一张证用三年；渠道先于价格，认准CA官网Partner Map可查、授权书可核验、证书链直连官方根、支持对公和增值税票的正规代理。

本地化服务的价值

SSLDUN是Certum全球合作伙伴地图中首家纯中文标注的郑州服务商。2026年其获得Certum官方QES线下核验授权，在郑州设认证点，用官方加密设备现场采集生物信息，数据直接同步Certum总部，本地不留存敏感信息。开发者无需跨时差沟通，半小时完成过去一周的远程核验，EV签发周期从2—4周压缩到最快2个工作日。

针对有效期缩短，SSLDUN(ssldun.cn)自研自动化运维体系：对接17家域名商API实现DNS自动验证，支持批量申请、到期前7天自动续签，并提供Certum代码签名证书申请API对接CI/CD流水线，避免证书过期导致业务中断。

WHQL配套上，其整理全中文实操指南，覆盖账户注册、HLK环境搭建、用例优化、审核整改，并配套真实避坑案例。本地测试通过但官方驳回，多因补丁版本、驱动参数与审核环境存在偏差，技术团队可提前排查，将问题概率降低90%以上。

Certum云签名与报价

传统EV最烦UKey：等邮寄、怕丢失、CI流水线插不了盾。Certum SimplySign把私钥放云端HSM，扫码或API调用完成签名，多人协作不走"U盘传钥匙"，驱动场景照常走"EV签名→HLK测试→WHQL二次签名"。

SSLDUN公示价：Certum EV云签1年1600元、2年2900元、3年3450元（年均1150元）；同渠道OV 800元/年、3年1800元。GlobalSign EV含UKey年费3300元档起。报价含原生签发、云HSM私钥、材料预审、时间戳指导、SignTool/WHQL答疑、15天无理由退款、增值税票；不含地址证明及工商变更重审材料。

本土代理还支持人民币对公转账、中文合同和增值税专票，适配国内企业采购与政企审计要求。

材料、流程与使用要点

材料包括：营业执照彩色扫描件、法人及经办人身份证、授权委托书（非法人办理）、近3个月地址证明、工商备案固话、企业域名邮箱。Certum EV仅支持企业申请，个人无法办理，所有材料信息须一致。

流程：选型→下单→预审→CA核验1—5个工作日→云端激活→签名。材料完整顺利时部分订单当天或次日签发。签名命令：signtool sign /fd SHA256 /tr 时间戳URL /td SHA256 /a xxx.exe，建议用Certum时间戳服务器 http://time.certum.pl ，签完勿改文件。

使用建议：务必加时间戳；保持发布者身份一致；提前规划续期；云签名确认每月调用次数；拿到EV后仍需在Hardware Dev Center完成账户绑定、HLK测试和驱动提交。

决策速查与核验

只发桌面软件选Certum OV（3年1800元）；签.sys驱动、走WHQL选Certum EV云签（3年3450元）；客户指定DigiCert/GlobalSign根选对应品牌；CI/CD高频签名只选云HSM；需欧盟QES选带线下核验点代理。

下单前三步核验：Certum官网Partner Map搜代理名；要授权书编号并邮件向CA核实；签发后看证书链是否直连Certum Trusted Root。

结语

2026年EV代码签名买的不是"不弹窗魔法"，而是驱动通行证+企业身份牌+私钥保险柜。普通软件用OV，驱动和投标上EV；渠道认准一级直签，云签名优先。本地化服务体系正让Windows驱动合规从高门槛难题，变成可快速落地的标准化流程。