コード署名証明書：概要と注文
コード署名証明書の製品、OV と EV の違い、必要な準備、審査の流れ、発行後の署名方法を説明します。
このページでは、Yeap Cloud が提供するコード署名証明書、OV と EV の違い、注文前に準備する情報、注文から発行までの流れを説明します。
コードに署名する理由
署名のないプログラムをダウンロードまたはインストールすると、通常、OS やブラウザーに「不明な発行元」などの警告が表示されます。企業環境によっては、完全にブロックされる場合もあります。コード署名には次の効果があります。
- インストール時の確認画面に、CA が認証した発行元（組織名）を表示します。
- 署名後にファイルが変更されていないことを保証します。変更が加えられると署名は無効になります。
- タイムスタンプを付けることで、証明書の有効期限後も署名の有効性を維持します（署名時にタイムスタンプを付けた場合）。
製品
コンソールで SSL 証明書 → コード署名 (/ssl/codesigning) を開くと、全製品を確認できます。執筆時点では次の証明書を提供しています。最新の情報は製品ページで確認してください。
| ブランド | 製品 | 認証 | 期間 |
|---|---|---|---|
| Certum | Code Signing OV | OV | 1 / 2 / 3 years |
| Certum | EV Code Signing | EV | 1 / 2 / 3 years |
| DigiCert | Code Signing, EV Code Signing | OV / EV | 1 year |
Certum のコード署名証明書は、Certum のクラウド署名プラットフォーム SimplySign で提供されます。署名鍵は CA の安全なクラウドハードウェアに保存されます。SimplySign アプリで認証すると、物理トークンを管理せずに自分のマシンで署名できます。注文時には SimplySign アカウントのメールアドレスが必要です。
現在の業界ルールでは、コード署名の秘密鍵は要件に適合したハードウェアまたはクラウド HSM に保存する必要があり、通常のファイルとしてエクスポートできません。そのため、SSL 証明書とは異なり、コード署名証明書にはダウンロードできる .key ファイルがありません。
OV と EV の選択
| OV コード署名 | EV コード署名 | |
|---|---|---|
| 確認される内容 | 組織の法的な実在性と連絡先情報 | OV のすべての確認に加え、管轄地域、登録番号、事業区分などのより厳格な確認 |
| 主な用途 | 一般的なデスクトップソフトウェア、社内ツール、スクリプト | 発行元の身元を特に重視するソフトウェア。一部のプラットフォームの手続き（特定のドライバー公開チャネルなど）では EV が必要です |
| 審査期間 | 通常 1～3 営業日 | 通常 3～5 営業日 |
審査期間は CA によって決まります。上記はあくまで目安です。公開記録で確認できる情報を漏れなく提出すると、手続きを進めやすくなります。
準備する情報
注文前に、次の情報を準備してください。組織情報は、事業登録情報または公開記録と一致している必要があります。
基本情報
- SimplySign アカウントのメールアドレス（Certum 製品）
- CSR（証明書署名要求）
- 組織名、国、州・都道府県、市区町村
EV に必要な追加情報
- 事業区分：民間組織、政府機関、事業体、非営利団体
- 会社登録番号
- 管轄の国、州・都道府県、市区町村
- 番地を含む住所、郵便番号、納税者番号、確認用の電話番号
管理担当者の連絡先
- 名、姓、メールアドレス、電話番号。CA がこの連絡先を使って申請内容を確認する場合があります。
注文する
- 証明書サービス → コード署名 を開き、製品の カートに追加 をクリックします。今すぐ購入 をクリックすると、カートに直接移動します。コード署名証明書は、製品に表示された期間の買い切りです。
- カート (
/billing/cart) で注文を確定します。請求書が作成され、自分の証明書 に処理待ちの注文が表示されます。 - 請求管理 → 請求書 (
/billing/invoices) で請求書の支払いを行います。 - 支払い後、注文 ID と上記の情報を添えてお問い合わせください。CA への申請をサポートします。
- CA が組織を審査します。管理担当者のメールと電話で連絡を受けられるようにしてください。CA が書類の提出を求めたり、確認のために電話したりする場合があります。
- 審査が完了すると証明書が発行され、注文は有効になります。Certum の証明書は SimplySign アカウントに表示されます。
プラットフォームが CA から注文状況を定期的に自動同期するため、自分の証明書 で進捗を確認できます。
証明書の発行後に署名する
Certum SimplySign の一般的な手順は次のとおりです。
- 署名に使うマシンに Certum の SimplySign クライアントをインストールし、SimplySign アカウントでサインインして認証を完了します。
- 接続中はシステムの証明書ストアに証明書が表示され、一般的な署名ツールから使用できます。
- Windows の
signtoolなどでタイムスタンプを付けて署名します。例：
signtool sign /n "Example Ltd" /fd sha256 /tr <RFC 3161 timestamp URL from your CA> /td sha256 app.exe
signtool verify /pa /v app.exeクライアントのインストールと設定の詳細は、Certum の公式 SimplySign ドキュメントに従ってください。
署名には必ずタイムスタンプを付けてください。タイムスタンプ付きの署名は証明書の有効期限後も有効ですが、タイムスタンプがない署名は証明書の有効期限とともに無効になります。
更新と変更
コード署名証明書の有効期限が切れる前に、必要な期間の証明書を新たに購入してください。組織名や住所が変更になった場合、または証明書の失効が必要な場合（アカウントの不正使用が疑われる場合など）は、注文 ID を添えてお問い合わせください。