记录一次购买软件签名证书

[sudoy]

记录一次向 ssl.com 购买签名证书的经历，在这里分享给 V2EX 的网友，希望能帮助到有需要的人。

说明：我是用美国公司作为主体申请购买签名证书，没有购买 YubiKey(那个像 U 盘一样的东西），给 Electronjs App 签名。

2024-08-16: 购买 ssl.com OV 代码签名证书, 花了 $129 。我提供的是之前在 bbb.org 上传的公司介绍，证书下来很快，当天就有验证人员联系我，让我验证一下手机号，然后马上就给我签发证书。

2024-08-17： 我倒腾了蛮久也不知道怎么签名，因为他们提供的 CLI ，一直报错，后来干脆用他们家一个在线签名工具，叫 eSigner 。这玩意倒是蛮方便，但是有个问题，这玩意只能上传 200M 以内的文件，ElectronJS 打包成 exe 以后有的会很大，如果软件比较庞大，打包结果可能会超过 200M

2024-08-19： 我这个软件在签名之前，运行 exe 安装包 Windows 系统直接报毒（备注，我这个软件不是病毒，正规软件）。用 eSigner 签名好以后，在别的电脑测试运行安装，没有报毒，但是 windows smart card 会提示软件可能有危险。于是我想着要么咬咬牙，再加 $220 升级到 EV 代码签名证书。

2024-08-10： 找 ssl.com 销售升级到 EV 证书，销售这块很顺利，马上就给我安排了。但是这次验证的时候就非常麻烦。先是人脸识别等各种验证，后来卡在公司资料验证环节了，让我到 DNB.COM 上传公司资料，或者 Crunchbase 等其他网站也可以，我到 Crunchbase 上传了，结果又要我把 crunchbase 的资料给锁住。但是锁住折料需要 crunchbase 工作人员才可以，于是我联系 crunchbase ，结果人家告诉我不能锁住，说是如果检测到滥用（比如有人乱改我的 profile ）才会锁住。

现在是卡在这里了，刚才联系销售了，销售说帮我联系他们的验证团队解决。

暂时先这么多

[sudoy]

微软有个叫 Trust Signing, 按月支付的，价格还算可以，$9.9 一个月，但是看了一些教程，好像申请也挺折腾，后面如果 ssl 没给我搞好，就退款转到 Trust Signing 去了。感慨一下，现在桌面软件生态对开发者太不友好了，有些软件还不能做网页版，只能做桌面版

[processzzp]

是不太友好。如果你不想用 eSigner 的话，需要要自己准备一个 Yubikey ，总之就是私钥不允许存储在可以导出的地方

[chuckzhou]

我在老周的 wosign 那买的代码签名证书，还凑合吧，没有你经历的这么麻烦。
可以还价，我记得是比其他几家便宜。

[xinglihua93]

下次买 SSL 证书找我，便宜，全程技术指导

[lisxour]

你们都说说你们的证书多少钱呗，我之前在国外网站买的，3 年 179 刀，现在续费需要 730 刀，换算下来接近 1800 元/年，感觉上了大当啊，没钱续这么贵的啊

[lisxour]

@lisxour 个人软件，非公司用

[kkhaike]

微软的二进制签名哪里有教程啊，搜了半天也搜不到

[liangdi]

@chuckzhou 还价，一般能打几折？

[chuckzhou]

@liangdi 我买的是 EV 代码签名证书 Pro ，差不多 5 折吧

[liangdi]

@chuckzhou 我看了价格 5 折的话 还可以，下次去搞搞看 ，谢谢

[deepzz]

可以试试 https://vsign.com

[xJogger]

捉个虫 2024-08-10 应该是 2024-08-20 吧

[sudoy]

@processzzp 他们家的 Yubikey 不知道为什么那么贵，别家基本上原价卖，他们家要$279 ！请问下自己去 Yubikey 官网买，然后自己把私钥装上去可以吗？我没用过 Yubikey ，不知道这个怎么用。

[sudoy]

@kkhaike 这个是我找到的最详细的教程了 https://melatonin.dev/blog/code-signing-on-windows-with-azure-trusted-signing/

[sudoy]

@deepzz 这个正规吗？之前看到有盗用客户证书拿去签名的事情

[sudoy]

@xJogger 打错了，是 2024-08-20 ，谢谢指正

[deepzz]

@sudoy 肯定正规啊，国内占有量最大的 CA TrustAsia 做的