上架微软商店的“入场券”：代码签名证书，你准备好了吗？

对于Win32应用开发者而言，将MSI或EXE安装程序成功上架微软商店（Microsoft Store），有一道绕不开的硬门槛——代码签名证书。微软官方明确要求：提交到商店的MSI/EXE安装程序及其所有PE文件，必须使用代码签名证书进行数字签名，且证书必须链接到属于“Microsoft受信任的根计划”的证书颁发机构（CA）。
这不仅是上架规则，更是保障应用安全、提升用户信任的核心环节。今天就结合数安时代（GDCA）在售的代码签名证书，为你拆解MSI/EXE上架微软商店的完整路径。
一、微软商店对MSI/EXE数字签名的硬性要求
结合微软官方文档，MSI/EXE安装程序数字签名必须满足以下核心规则：
证书来源必须可信
代码签名证书必须来源于微软受信任根计划中的证书颁发机构（CA），比如DigiCert、GlobalSign等。自签名证书、非信任CA证书一律无效。
签名必须覆盖完整
不仅安装程序本身（.msi或.exe）需要数字签名，应用包内的所有可移植可执行（PE）文件（如.dll、.ocx等）都必须使用代码签名证书进行数字签名，不能遗漏任何可执行文件。
二、MSI/EXE该选哪种代码签名证书？
证书品牌的选择
微软推荐来自DigiCert、Sectigo或GlobalSign等权威CA机构颁发的代码签名证书。数安时代（GDCA）作为通过WebTrust国际认证的权威CA机构，提供上述主流品牌证书以及国产GDCA证书的代理与签发服务，满足不同开发者的需求。
证书类型的选择：OV与EV
代码签名证书根据验证级别主要分为OV（组织验证型）和EV（扩展验证型）两种，两者均支持对.msi、.exe、.dll、.cab、.ocx等格式文件的数字签名。两者的核心区别如下：
OV代码签名证书：验证企业信息，通常1至3个工作日签发。适用于大多数普通软件程序的签名需求，能够标识开发者身份，确保代码完整性，消除“未知发行商”的安全警告。
EV代码签名证书：除企业信息验证外，还需进行严格的额外验证，通常1至5个工作日签发，私钥强制存储于硬件UKey中，不可导出，安全等级更高。除了支持普通软件签名，EV证书还可用于内核驱动签名，以及驱动程序WHQL认证过程中所需的Microsoft Entra ID全局管理员账户注册和Windows硬件开发人员计划注册，应用更广。
三、MSI/EXE数字签名加上架微软商店全流程
第一步：申请合适证书
根据预算和实际需求，在数安时代选择合适品牌和类型的代码签名证书。OV证书适合普通商业软件，EV证书适合驱动程序或需要快速建立微软SmartScreen信誉的高安全场景。
第二步：全量签名
对MSI或EXE安装程序及所有可执行PE文件进行数字签名。签名后的文件将拥有唯一的“数字指纹”，确保代码在传输中不被篡改，并标识开发者真实身份。
第三步：准备提交材料
生成版本化HTTPS下载链接，确保应用包符合静默安装、独立包要求。
第四步：合作伙伴中心提交
注册Microsoft Store开发者帐户并完成验证，上传已签名的应用包并提交。
第五步：等待认证发布
微软会对应用包进行安全测试、技术合规性测试、内容符合性检查等一系列认证，通过后应用正式上架微软商店。
四、为什么选择数安时代？
资质与品牌双重保障
数安时代（GDCA）是国有控股的国家级专精特新“小巨人”、高新技术企业，拥有工信部《电子认证服务许可证》、国家密码管理局《电子认证服务使用密码许可证》、WebTrust国际认证等完备资质。无论是DigiCert、Sectigo、GlobalSign等国际品牌，还是国产GDCA证书，均可一站式提供。
本地化服务，全程陪伴
相较于国际机构，数安时代提供及时、高效的中文技术支持。从证书申请、审核、签发到后续使用维护，专业团队全程一对一服务，让开发者省心省力。
EV证书特色优势
数安时代提供的EV代码签名证书，支持WHQL微软徽标认证账户注册，助力驱动程序获得数字签名，在Windows系统上流畅运行。同时帮助新软件快速建立SmartScreen信誉，提升下载转化率。
总结
对于Win32的MSI/EXE应用程序而言，使用可信代码签名证书进行数字签名，是上架微软商店的必要步骤。它既满足微软官方强制审核规则，又能保障应用安全、降低用户安装阻碍。
开发者只需牢记：选择微软受信任的代码签名证书，完整签名所有应用包文件，严格遵循商店提交规范，就能顺利完成MSI/EXE应用程序的微软商店上架，触达亿万Windows用户。
如您有代码签名证书需求，欢迎联系数安时代获取专业咨询与选购建议。