Certificados de firma de código: descripción general y pedidos
Los productos de firma de código, las diferencias entre OV y EV, qué debe preparar, el proceso de verificación y cómo firmar una vez emitido el certificado.
Esta página describe los certificados de firma de código que ofrece Yeap Cloud, la diferencia entre OV y EV, qué debe preparar antes de realizar un pedido y el proceso desde el pedido hasta la emisión.
Por qué firmar su código
Cuando se descargan o instalan programas sin firmar, los sistemas operativos y los navegadores suelen mostrar advertencias como «Editor desconocido», y algunos entornos corporativos los bloquean por completo. La firma de código:
- Muestra un editor verificado por una CA (el nombre de su organización) en los mensajes de instalación.
- Garantiza que el archivo no se haya modificado desde que se firmó; cualquier cambio invalida la firma.
- Con un sello de tiempo, mantiene la validez de la firma después de que caduque el certificado (siempre que añada el sello de tiempo al firmar).
Productos
Abra Certificados SSL → Firma de código (/ssl/codesigning) en la consola para consultar toda la oferta. En el momento de redactar esta documentación, están disponibles los siguientes certificados; la propia página es la referencia definitiva:
| Marca | Producto | Validación | Vigencia |
|---|---|---|---|
| Certum | Code Signing OV | OV | 1 / 2 / 3 años |
| Certum | EV Code Signing | EV | 1 / 2 / 3 años |
| DigiCert | Code Signing, EV Code Signing | OV / EV | 1 año |
Los certificados de firma de código de Certum se entregan a través de su plataforma de firma en la nube SimplySign. La clave de firma se almacena en el hardware seguro de la CA en la nube; tras autenticarse en la aplicación SimplySign, puede firmar en su propio equipo sin gestionar un token físico. Debe proporcionar el correo electrónico de su cuenta de SimplySign al realizar el pedido.
Según las normas vigentes del sector, las claves privadas de firma de código deben guardarse en hardware que cumpla los requisitos o en un HSM en la nube y no pueden exportarse como archivos convencionales. Por eso, a diferencia de los certificados SSL, los certificados de firma de código no tienen un archivo .key para descargar.
OV o EV
| Firma de código OV | Firma de código EV | |
|---|---|---|
| Qué se valida | La existencia legal de la organización y sus datos de contacto | Todo lo que se comprueba en OV, más verificaciones más estrictas, como la jurisdicción, el número de registro y la categoría empresarial |
| Uso habitual | Software de escritorio de uso general, herramientas internas, scripts | Software en el que la identidad del editor es especialmente relevante; algunos procesos de plataformas (por ejemplo, ciertos canales de publicación de controladores) requieren EV |
| Tiempo de verificación | Normalmente, 1–3 días hábiles | Normalmente, 3–5 días hábiles |
La CA determina los plazos de verificación y las cifras anteriores son solo orientativas. Facilitar información completa que pueda verificarse en registros públicos agiliza el proceso.
Qué debe preparar
Tenga preparado lo siguiente antes de realizar el pedido. Los datos de la organización deben coincidir con su registro empresarial o con los registros públicos.
Información básica
- Correo electrónico de la cuenta de SimplySign (productos de Certum)
- Una CSR (solicitud de firma de certificado)
- Nombre de la organización, país, estado/provincia y ciudad
Información adicional para EV
- Categoría empresarial: organización privada, entidad gubernamental, entidad empresarial o entidad no comercial
- Número de registro de la empresa
- País de jurisdicción, así como estado y ciudad de jurisdicción
- Dirección postal, código postal, número de identificación fiscal y teléfono para la verificación
Contacto administrativo
- Nombre, apellidos, correo electrónico y teléfono. La CA puede utilizar este contacto para verificar la solicitud.
Realizar un pedido
- Abra Certificados → Firma de código y haga clic en Añadir al carrito en un producto o en Comprar ahora para ir directamente al carrito. Los certificados de firma de código se adquieren mediante un pago único para la vigencia indicada en el producto.
- Finalice la compra en el carrito (
/billing/cart). Se crea una factura y aparece un pedido con el estado Pendiente en Mis certificados. - Pague la factura en Facturación → Facturas (
/billing/invoices). - Después del pago, póngase en contacto con nosotros e indique el ID del pedido y la información anterior; le ayudaremos a enviar la solicitud a la CA.
- La CA verifica su organización. Mantenga accesibles el correo electrónico y el teléfono del contacto administrativo; la CA puede solicitar documentos o llamar para verificar los datos.
- Una vez completada la verificación, se emite el certificado y el pedido pasa al estado Activo. Los certificados de Certum aparecen en su cuenta de SimplySign.
La plataforma sincroniza automáticamente el estado del pedido con la CA a intervalos regulares, por lo que puede seguir el progreso en Mis certificados.
Firmar una vez emitido el certificado
Con Certum SimplySign, el procedimiento habitual es el siguiente:
- Instale el cliente SimplySign de Certum en el equipo desde el que vaya a firmar, inicie sesión con su cuenta de SimplySign y complete la autenticación.
- Mientras esté conectado, el certificado aparecerá en el almacén de certificados del sistema, donde las herramientas de firma habituales podrán utilizarlo.
- Firme con una herramienta como
signtoolde Windows y añada un sello de tiempo, por ejemplo:
signtool sign /n "Example Ltd" /fd sha256 /tr <RFC 3161 timestamp URL from your CA> /td sha256 app.exe
signtool verify /pa /v app.exeConsulte la documentación oficial de SimplySign de Certum para obtener detalles sobre la instalación y configuración del cliente.
Añada siempre un sello de tiempo a sus firmas. Una firma con sello de tiempo sigue siendo válida después de que caduque el certificado; una sin sello de tiempo pierde su validez cuando caduca el certificado.
Renovación y cambios
Antes de que caduque un certificado de firma de código, compre uno nuevo con la vigencia que necesite. Si cambia el nombre o la dirección de su organización, o necesita revocar el certificado (por ejemplo, si sospecha de un uso indebido de la cuenta), póngase en contacto con nosotros e indique el ID del pedido.
Documentación relacionada
- Descripción general de la firma de código
- Herramientas SSL, que puede utilizar para generar una CSR