代码签名证书怎么选（2026）

2026 年大多数开发者最合适的是 OV 代码签名证书加云签名：私钥已经不能导出成文件，云签名服务让构建流水线不插 USB 令牌也能签名。2026 年 11 月 10 日核实最便宜的是 SSL.com OV 代码签名，1 年 $129.00，Sectigo（$345.00）和 DigiCert（$438.24）更贵。只有平台或客户要求时才买 EV。

2023 年 6 月的变化

2023 年 6 月 1 日起，CA/浏览器论坛《代码签名基线要求》规定，CA 必须保证订户私钥在符合 FIPS 140-2 Level 2 或 Common Criteria EAL 4+（或更高）的硬件密码模块中生成、保存和使用。实际可选的方案有三种：

1. CA 寄送的 USB 令牌。 一个开发者、一台电脑时最简单；CI 服务器和远程团队用起来很别扭，国际快递到国内也要时间。
2. 自己的 HSM，本地或云 HSM 服务都行，但要能提供 CA 认可的密钥证明。
3. CA 或平台的云签名服务，私钥放在服务商的 HSM 里，你通过 API 签名。

核实价格

最便宜的是 SSL.com OV 代码签名（$129.00），最贵的是 DigiCert EV 代码签名（$617.52）。下表是 2026 年 11 月 10 日核实的 1 年期价格，不含密钥存储：

再加上密钥存储：The SSL Store 标注 Sectigo 令牌加美国运费 90 美元、DigiCert 120 美元；SSL.com 的 YubiKey FIPS 令牌 379 美元，或另购 eSigner 订阅。SSL.com 的 EV 证书买 5 年期折合每年 $149.00，是我们数据里多年期降幅最大的。

云签名方案

三种云签名服务都把私钥放在服务商的 HSM 里，通过 API 签名：

• SSL.com eSigner。 云 HSM（SSL.com 标注为 FIPS 140-2 Level 3），提供 REST API 和 CI 集成，在 SSL.com 证书之外按订阅收费。
• DigiCert KeyLocker。 DigiCert 为自家代码签名证书提供的云端密钥存储和签名服务。
• 微软 Artifact Signing（原名 Trusted Signing）。Azure 上的全托管服务：微软核验身份，在 FIPS 140-3 Level 3 HSM 里管理证书和密钥，分 Basic（每月 5,000 次签名）和 Premium（100,000 次）两档。使用前先确认微软的申请资格规定。

怎么选

大多数团队选 OV 加云签名，令牌和 EV 只适合少数场景。

• 个人开发者、偶尔发版： SSL.com OV 配 eSigner；只在一台电脑上签名的话用令牌也行。
• 有 CI/CD 的团队： 用云签名（eSigner、KeyLocker 或 Artifact Signing），构建服务器上不放实体令牌。
• 已经在用 DigiCert 或 Sectigo 的企业： 继续用原 CA 的平台，多出来的证书费买的是你可能已经在用的账户管理功能。
• 必须 EV： 先比较 SSL.com EV（$349.00）和 Sectigo EV（$453.00），并确认密钥存储方式符合平台规则。SSL.com 自己的页面就提醒，放在 YubiKey 里的 EV 私钥不一定满足内核驱动签名等要求。