2026 年对 Windows 开发者而言是一个不容忽视的分水岭。微软正在对代码签名基础设施进行近年来最大规模的调整：旧的 Windows Production PCA 2011 证书将于 2026 年 10 月 19 日到期，随后签名算法将向 RSA-3072 与 SHA-384 迁移，而 2027 年更将启动后量子密码学的切换。与此同时，微软官方对非商店分发渠道的推荐方案——Azure Artifact Signing——存在明确的地域限制：组织仅限美国、加拿大、欧盟与英国，个人开发者更是仅限美加两国。对于中国开发者来说，这意味着一个现实问题：在微软新规过渡期内，如何选择一条既合规又可持续的代码签名路径？

Certum 云代码签名证书，凭借其全球信任链与云端签名模式，成为了这一窗口期内值得认真考虑的选项。而借助 ssldun 的本土化服务，整个申请流程可以压缩到以“天”为单位。

一、先理解新规到底变了什么

很多开发者误以为“微软新规”意味着必须购买微软自家的签名服务，实则不然。微软官方文档明确指出，OV 证书来自 DigiCert、Sectigo 等传统 CA 的签名方案，依然是商店外分发的合法选项，只是 SmartScreen 信誉不再有 EV 的“ instant bypass”特权。真正需要警惕的是两件事：

其一，硬编码证书校验的逻辑会失效。如果你的安装程序或企业内部工具曾固定校验“Windows Production PCA 2011”的指纹或名称，2026 年 10 月之后新签名的微软组件可能被误判为不可信。其二，证书有效期缩短已成定局。CA/B 论坛推动下，公开信任的代码签名证书单张有效期已被压缩至约 458 天以内，购买三年期服务并不意味着拿到一张管三年的证书，而是需要在期内按规则重新签发。

这两点决定了：选择一家签发流程顺畅、支持快速重签的 CA 与服务商，比单纯比较首年价格更重要。

二、为什么是 Certum 云签名

Certum 是欧洲老牌 CA，根证书预装于 Windows 信任库，签名后的 exe、dll、msi 文件在用户端不会触发“未知发布者”警告。其云签名模式（SimplySign）的核心优势在于：私钥保存在符合 FIPS 140-2 Level 3 或 CC EAL4+ 的云端硬件密码模块中，本地通过 SimplySign Desktop 调用虚拟加密卡，配合手机端动态验证完成签名。这意味着你不需要等待 USB Token 的跨国邮寄，也不需要担心硬件丢失或损坏导致业务中断。

对于中国开发者，还有一个隐性好处：Certum 云签名不依赖微软 Azure 的地域准入政策，个人开发者同样可以申请，无需美国或加拿大身份。

三、申请前的选型决策

Certum 代码签名证书主要分三档，选型只需回答三个问题：

谁在申请？ 个人开发者选个人版，企业选标准组织版。软件给谁用？ 内部工具或开源项目，OV 级别足够；面向公众大规模分发的商业软件，建议 EV。要不要签驱动？ 内核驱动签名与 WHQL 认证必须使用 EV 证书，没有变通空间。

从 ssldun 当前的价格体系看，OV 代码签名证书企业申请三年约 1800 元，个人三年约 1500 元；EV 证书一年约 1600 元，三年约 3450 元。如果只是普通桌面软件分发，OV 的性价比明显更高；如果有驱动签名需求或希望签名信息中展示更严格的组织核验记录，再考虑 EV。

四、通过 ssldun 办理的实际步骤

第一步：确认使用方式。 在 ssldun 下单时明确选择“云签名（SimplySign）”模式。这一选择决定了后续不需要等待任何物理介质，审核通过后直接开通云端账户。

第二步：准备材料。 个人申请需要身份证明文件；企业申请需要营业执照、经办人身份证明，以及能体现单位名称与注册地址的地址证明（如租房合同或增值税发票）。如果经办人非法人，还需授权文件,企业邮箱（用于接收认证链接与证书通知）。ssldun 作为 Certum 官方地图标注的合作伙伴，会在提交前协助核对材料格式，避免因名称或地址不一致被退回。

第三步：提交与验证。 材料提交后进入 Certum 的验证环节。OV 通常需要 1 至 2 个工作日，EV 稍长。验证过程中 CA 可能会进行电话回拨确认，保持联系方式畅通即可。

第四步：激活 SimplySign。 验证通过后，ssldun 会开通 SimplySign 账户。你需要在本地安装 SimplySign Desktop，登录账户并完成手机端激活。此时你的“虚拟加密卡”已经就绪。

第五步：签名测试。 不要直接对正式发布文件签名。先拿一个测试用的 exe 或 msi，用 SignTool 调用 SimplySign 的虚拟证书存储进行签名，加上时间戳，然后在 Windows 上验证签名属性是否显示正确的发布者信息与证书链。确认无误后，再接入正式构建流程。

五、一个容易被忽略的细节

云签名每月默认有 5000 次签名额度。对于绝大多数中小团队和独立开发者，这个额度绰绰有余。但如果你在 CI/CD 中配置了频繁的自动化签名，建议先估算月均签名次数。超出额度后需要联系服务商扩容，提前规划可以避免发布流程在月末卡住。

另一个值得留意的点是：签名时务必启用时间戳。代码签名证书本身会过期，但有了可信时间戳，已签名的软件在证书过期后依然被视为有效签名。这是很多新手容易遗漏的一步。

六、为什么推荐 ssldun

在 Certum 的中国服务商中，ssldun（河南聚妍网络科技有限公司旗下品牌）ssldun.cn的定位比较特殊。它不是简单的“代购”角色：2022 年即与 Certum 实现 API 直连，2026 年 7 月其郑州网点被正式标注在 Certum 官网的全球合作伙伴地图上。这意味着你获得的签发流程是官方对接的，而非邮件手工转发。

· 授权可核验：Certum 官网伙伴地图中文标注，授权编号可让客服发授权文件截图核对

· 证书链干净：直连 Certum 根，非贴牌、非共享私钥

· 云签名交付快：免 UKey 邮寄，审核过即可激活

· 本地化预审：营业执照、授权书、EV 地址证明一次性说清，驳回率低

· 价格友好：OV / EV 均按年计费，多年套餐摊薄成本，适合中小团队控制预算

· 售后到位：SimplySign 激活、signtool 报错、WHCP 提交卡点有专人跟

· 开票与退款：支持对公转账、增值税票，签发后短期无理由退款兜底

从实际体验角度，ssldun 提供全中文的售前售后支持、支付宝/微信/对公付款、国内发票，以及 30 天无理由退款。对于第一次接触代码签名、不熟悉 CA 验证话术的开发者，这种本地化支持能省去大量来回沟通的时间。尤其是 EV 证书的组织验证环节，有经验的客服提前帮你核对材料，往往能把签发周期从“反复退回补材料”的一周以上压缩到两三天。

对普通 exe 分发，选 Certum OV 云签名 + SSLDUN 通道，性价比很能打；对驱动团队，直接上 Certum EV 云签名，配合 SSLDUNqes.com.cn 的预审与 WHCP 对接指导，能把“证书合规”从坑变成流水线里普通的一步。

结语

2026 年的微软代码签名变局，本质上是安全基础设施的一次代际升级。对于中国开发者，Azure Artifact Signing 的地域门槛短期内不会放开，Certum 云签名提供了一个合规且可落地的替代方案。选对服务商、走通流程、做好时间戳与重签规划，你的软件在用户端依然可以安静地安装、安静地运行——这本来就是代码签名应该做的事。