# 代码签名证书怎么选（2026）：OV、EV 与云签名

> 2023 年 6 月起代码签名私钥必须放在硬件或云 HSM 中。对比 OV/EV 证书、USB 令牌和云签名方案，附 2026 年核实价格。

Source: https://ssl.sh/zh/compare/best-code-signing-certificate/
Last updated: 2026-11-10

2026 年大多数开发者最合适的是 OV 代码签名证书加云签名：私钥已经不能导出成文件，云签名服务让构建流水线不插 USB 令牌也能签名。2026 年 11 月 10 日核实最便宜的是 **SSL.com OV 代码签名，1 年 $129.00**，Sectigo（$345.00）和 DigiCert（$438.24）更贵。只有平台或客户要求时才买 EV。

## 2023 年 6 月的变化

2023 年 6 月 1 日起，CA/浏览器论坛《代码签名基线要求》规定，CA 必须保证订户私钥在符合 FIPS 140-2 Level 2 或 Common Criteria EAL 4+（或更高）的硬件密码模块中生成、保存和使用。实际可选的方案有三种：

1. **CA 寄送的 USB 令牌。** 一个开发者、一台电脑时最简单；CI 服务器和远程团队用起来很别扭，国际快递到国内也要时间。
2. **自己的 HSM**，本地或云 HSM 服务都行，但要能提供 CA 认可的密钥证明。
3. **CA 或平台的云签名服务**，私钥放在服务商的 HSM 里，你通过 API 签名。

## 核实价格

最便宜的是 SSL.com OV 代码签名（$129.00），最贵的是 DigiCert EV 代码签名（$617.52）。下表是 2026 年 11 月 10 日核实的 1 年期价格，不含密钥存储：

| 证书 | 验证级别 | 最便宜的卖家 | 1 年价格 |
|---|---|---|---|
| [SSL.com OV 代码签名](https://ssl.sh/zh/certificates/ssl-com-code-signing/) | OV | SSL.com | $129.00 |
| [Sectigo 代码签名](https://ssl.sh/zh/certificates/sectigo-code-signing/) | OV | GoGetSSL / The SSL Store | $345.00 |
| [SSL.com EV 代码签名](https://ssl.sh/zh/certificates/ssl-com-ev-code-signing/) | EV | SSL.com | $349.00 |
| [DigiCert 代码签名](https://ssl.sh/zh/certificates/digicert-code-signing/) | OV | GoGetSSL / The SSL Store | $438.24 |
| [Sectigo EV 代码签名](https://ssl.sh/zh/certificates/sectigo-ev-code-signing/) | EV | GoGetSSL / The SSL Store | $453.00 |
| [DigiCert EV 代码签名](https://ssl.sh/zh/certificates/digicert-ev-code-signing/) | EV | GoGetSSL / The SSL Store | $617.52 |

再加上密钥存储：The SSL Store 标注 Sectigo 令牌加美国运费 90 美元、DigiCert 120 美元；SSL.com 的 YubiKey FIPS 令牌 379 美元，或另购 eSigner 订阅。SSL.com 的 EV 证书买 5 年期折合每年 $149.00，是我们数据里多年期降幅最大的。

## 云签名方案

三种云签名服务都把私钥放在服务商的 HSM 里，通过 API 签名：

- **SSL.com eSigner。** 云 HSM（SSL.com 标注为 FIPS 140-2 Level 3），提供 REST API 和 CI 集成，在 SSL.com 证书之外按订阅收费。
- **DigiCert KeyLocker。** DigiCert 为自家代码签名证书提供的云端密钥存储和签名服务。
- **微软 Artifact Signing**（原名 Trusted Signing）。Azure 上的全托管服务：微软核验身份，在 FIPS 140-3 Level 3 HSM 里管理证书和密钥，分 Basic（每月 5,000 次签名）和 Premium（100,000 次）两档。使用前先确认微软的申请资格规定。

## 怎么选

大多数团队选 OV 加云签名，令牌和 EV 只适合少数场景。

- **个人开发者、偶尔发版：** SSL.com OV 配 eSigner；只在一台电脑上签名的话用令牌也行。
- **有 CI/CD 的团队：** 用云签名（eSigner、KeyLocker 或 Artifact Signing），构建服务器上不放实体令牌。
- **已经在用 DigiCert 或 Sectigo 的企业：** 继续用原 CA 的平台，多出来的证书费买的是你可能已经在用的账户管理功能。
- **必须 EV：** 先比较 SSL.com EV（$349.00）和 Sectigo EV（$453.00），并确认密钥存储方式符合平台规则。SSL.com 自己的页面就提醒，放在 YubiKey 里的 EV 私钥不一定满足内核驱动签名等要求。