代码签名证书选云签名版还是本地 UKey 版？

购买代码签名证书时，很多软件开发者都会遇到一个问题：究竟应该选择云签名版，还是传统的本地 UKey 版？DigiCert、Certum 该怎么选？

有些开发者习惯使用 USB Token（UKey）进行签名，认为私钥保存在自己手中更加安全；也有越来越多的软件企业选择云签名方式，因为不需要携带硬件设备，使用起来更加灵活。

实际上，云签名和本地 UKey 都是符合行业安全要求的代码签名实现方式。两者主要区别在于私钥的存储位置、签名操作方式以及适用的开发环境，而不是证书本身的可信程度。

作为 DigiCert 和 Certum 两大国际数字证书品牌的官方直接授权代理商，上海环度信息科技有限公司（环度网信）同时提供这两个品牌的云签名版代码签名证书，帮助企业和开发者根据实际需求选择合适的签名方案。

相关产品：https://www.ihuandu.com/codesigning.html

那么，云签名与本地 UKey 究竟有什么不同？哪一种更适合自己？

一、什么是云签名版代码签名证书？

云签名版代码签名证书，是指将代码签名私钥保存在符合安全要求的云端硬件安全模块（HSM）中，开发者通过经过身份认证的客户端或接口调用完成数字签名。

使用云签名时，开发者不需要持有实体 USB Token，也不必将签名私钥导出到自己的电脑。

目前，上海环度提供的两个主要云签名方案分别是（如果您需要更多的云签名方案，可以联系环度网信）：

• DigiCert 云签名版：采用 DigiCert KeyLocker 云端密钥管理与签名技术。

• Certum 云签名版：采用 Certum SimplySign 云签名技术。

两种方案均可以在不携带实体 UKey 的情况下完成软件数字签名，但具体的客户端、身份验证和签名次数管理方式有所不同。

云签名尤其适合经常需要更新软件、跨地点办公，以及希望简化证书管理的软件开发者。

二、什么是本地 UKey 版代码签名证书？

本地 UKey 版是传统的代码签名方式。

证书对应的私钥保存在符合要求的 USB Token、密码卡等硬件设备中。开发者在需要签名时，将设备连接至电脑，通过相应的驱动程序、签名工具以及 PIN 验证完成签名操作。

例如，使用 Windows SignTool 为 EXE 或 MSI 文件签名时，签名工具可以调用本地硬件设备中的私钥完成数字签名。

本地 UKey 版的主要特点是：

• 私钥保存在用户持有的硬件设备中。

• 日常签名需要使用相应的硬件设备。

• 可以在固定的签名工作站上完成操作。

• 在支持的环境下，签名计算本身可以不依赖互联网。

• 用户需要自行管理设备、驱动、PIN 和硬件安全。

需要注意，离线完成数字签名并不等于可以离线获取可信时间戳。时间戳服务通常仍需要网络连接。

对于采用固定电脑签名、具有严格网络隔离要求的企业，本地 UKey 仍然是一种值得考虑的方案。

三、云签名与本地 UKey 的主要区别

对比项目云签名版本地 UKey 版私钥存储云端安全硬件模块本地认证硬件设备实体设备不需要 UKey需要 UKey 或配套读卡设备网络要求签名时通常需要联网签名计算可在本地进行多电脑使用相对灵活，需配置客户端需要携带硬件并配置驱动远程办公更方便受硬件设备位置影响自动化签名部分产品支持 CI/CD 集成需要额外硬件与流程配置使用次数可能存在签名配额取决于产品与设备限制设备丢失风险无实体 UKey 丢失问题需要妥善保管硬件主要成本证书及可能的云签名服务费用证书、硬件和管理成本适合场景灵活办公、云端开发、远程发布固定工作站、隔离网络

从使用便利性来看，云签名通常更有优势；从离线使用和实体设备控制来看，本地 UKey 则有其独特价值。

因此，不能简单地认为云签名一定比 UKey 安全，或者 UKey 一定比云签名可靠。关键在于密钥保护、身份认证、权限控制及具体的使用环境。

四、为什么越来越多开发者选择云签名？

1. 不需要携带 UKey，使用更加方便

传统 UKey 需要专门保管，签名时还要连接电脑。

如果开发者在办公室、家里或者出差途中需要临时发布软件更新，就必须确保身边有对应设备。

而云签名不需要携带实体 UKey。完成相应的客户端配置和身份认证后，开发者便可以在支持的电脑环境中调用云端私钥进行签名。

对于经常发布新版本的独立开发者和软件公司而言，这种使用方式更加灵活。

2. 减少硬件损坏和丢失问题

实体 UKey 虽然具有硬件保护优势，但也存在物理设备损坏、遗失、接口故障等风险。

一旦设备无法正常使用，就可能影响软件的签名和发布。

云签名将私钥保存在云端安全环境中，不需要用户日常保管独立硬件，能够减少因 UKey 损坏或遗失而造成的业务中断风险。

当然，云签名同样需要妥善保护账户、身份验证凭据和访问权限。

3. 更适合现代软件开发和发布流程

现在的软件开发早已不局限于某一台电脑。

不少企业采用版本控制、自动构建、持续集成和持续部署（CI/CD）等方式进行软件开发。

在这类场景下，如果每次签名都依赖人工连接硬件 UKey，可能增加流程配置和管理难度。

部分云签名方案可以与自动化构建及发布工具集成，帮助开发团队建立更加规范的软件签名流程。

例如，DigiCert KeyLocker 就提供命令行工具及 CI/CD 集成能力，适合需要自动化签名的开发团队。

不过，不同品牌的云签名产品在自动化能力和身份验证要求方面存在差异，不能认为所有云签名证书都可以直接实现无人值守签名。

五、DigiCert 与 Certum 的云签名版有什么区别？

上海环度同时提供 DigiCert 和 Certum 两个品牌的云签名代码签名证书。

虽然两者都不需要实体 UKey，但各自采用了不同的云签名技术，适合的使用场景也有所不同。

1. DigiCert 云签名版：KeyLocker

DigiCert 是国际知名的数字证书颁发机构，其 KeyLocker 提供云端私钥存储与代码签名服务。

DigiCert KeyLocker 将私钥存储在云端安全硬件模块中，开发者可以通过 DigiCert 提供的工具完成签名操作。

其主要特点包括：

• 使用云端 HSM 保护代码签名私钥。

• 不需要携带实体 USB Token。

• 支持 DigiCert SMCTL 命令行签名工具。

• 提供 Click-to-sign 等签名操作方式。

• 支持与符合要求的 CI/CD 流程进行集成。

• 适合需要标准化管理软件发布流程的企业。

需要注意，DigiCert KeyLocker 采用签名次数配额管理机制。根据官方标准许可说明，基础 KeyLocker 服务通常包含每张证书 1,000 个签名单位，并可按规则增购。

对于签名量较大的用户，建议在购买前确认具体套餐、签名单位消耗规则及额外费用。

适合人群：希望使用 DigiCert 品牌、重视开发流程管理、需要对接自动化签名工具的软件企业和开发团队。

2. Certum 云签名版：SimplySign

Certum 是欧洲知名的数字证书品牌，其云签名版采用 SimplySign 技术。

开发者通过 SimplySign Desktop 客户端，将云端虚拟密码卡连接至本地签名环境，并使用手机端 SimplySign 应用完成相关身份验证。

这种方式保留了部分传统签名工具的使用习惯，同时省去了实体 UKey。

Certum 云签名版的主要优势包括：

• 不需要实体 UKey 和读卡器。

• 支持通过 SimplySign Desktop 调用证书。

• 可以配合常见的软件数字签名工具使用。

• 适合需要灵活办公的软件开发者。

• 提供普通代码签名和 EV 代码签名等产品选择。

• 具有较好的价格竞争力，适合重视采购成本的用户。

根据 Certum 官方说明，其云端代码签名产品设置了每月 5,000 次签名的使用限制，超过限制请联系环度网信获取相关的方案。

因此，对于签名量较大的客户，同样应在购买前评估使用需求。

适合人群：个人开发者、中小型软件企业，以及希望摆脱 UKey、以较合理成本实现日常软件签名的用户。

3. 两个云签名品牌怎么选？

简单来说：

重视自动化集成和企业签名流程管理，可以了解 DigiCert KeyLocker。

重视日常使用便利性和性价比，可以考虑 Certum SimplySign。

但这不是绝对的划分。最终还需要结合证书类型、签名次数、操作系统、软件发布频率及采购预算作出决定。

六、哪些情况下更建议选择本地 UKey？

虽然云签名使用方便，但本地 UKey 并没有被淘汰。

对于以下场景，本地 UKey 仍然可能更合适。

第一，软件签名环境不能连接互联网。

部分企业由于信息安全管理要求，会将软件编译和签名工作站与外部网络隔离。

如果不允许访问外部云端签名服务，那么本地 UKey 或企业自建合规 HSM 可能更容易满足要求。

第二，签名工作集中在固定电脑。

如果企业只有专门的签名工作站，签名操作频率不高，也不存在跨地点使用需求，那么使用 UKey 并不会带来明显的不便。

第三，企业要求自行保管签名硬件。

有些组织的内部制度要求密钥必须保存在其直接管理的硬件设备中。

在这种情况下，本地 UKey 或本地 HSM 可能更符合内部安全政策。

第四，需要评估大量签名操作的长期成本。

某些云签名产品按签名次数设置配额。如果企业需要对大量软件文件进行频繁签名，应比较云端配额费用、本地硬件管理成本以及实际工作量。

因此，本地 UKey 仍然具有现实价值，并非所有开发者都必须转向云签名。

七、签名次数较多的企业，应该注意什么？

这是购买云签名证书时容易忽略的问题。

假设一家软件企业每天需要签署 100 个文件，每月按照 20 个工作日计算，那么一个月就需要完成 2,000 个文件的签名操作。

在这种情况下，用户除了比较证书价格，还需要查看云签名服务的使用配额。

例如：

• Certum 云签名产品官方公开的限制为每月 5,000 次签名。

• DigiCert KeyLocker 的基础签名单位配额和增购机制，则应根据实际证书订单及服务方案确认。

而且，部分工具在签署包含多个内部组件的软件包时，实际消耗的签名单位可能不完全等于外层文件数量。

所以，对发布频率较高的软件企业而言，证书采购成本不仅是购买价格，还包括签名配额、管理成本、自动化程度和日常维护开销。

上海环度建议开发者在下单前先明确软件类型、签名频率和签名工具，避免购买后才发现产品使用方式不符合需求。

八、云签名和 UKey 版，签出来的软件有区别吗？

对于选择同一 CA、同一验证等级、符合相应技术要求的代码签名证书而言，云签名版和本地 UKey 版都可以用于证明软件发布者身份，并保护签名后软件文件的完整性。

云签名还是 UKey，并不是决定软件签名可信度和 SmartScreen 信誉的直接因素。

软件是否显示经过验证的发布者，以及能否正常验证数字签名，主要取决于证书是否有效、签名是否正确、证书信任链及相关验证条件。

而 Microsoft Defender SmartScreen 还会根据软件文件和发布者积累的信誉进行判断。

因此，无论选择 DigiCert 还是 Certum，也无论采用云签名还是 UKey 签名，都不意味着新软件在首次发布时一定不会出现 SmartScreen 提示。

同样，EV 代码签名证书也不再保证能够立即绕过 SmartScreen 警告。

开发者应根据身份验证需求、软件分发环境以及具体业务要求选择 OV 或 EV 证书，而不是把云签名、UKey 或 EV 当成直接消除全部安全提示的手段。

九、上海环度：DigiCert、Certum、Sectigo、GlobalSign等多品牌官方直接授权代理商

代码签名证书不仅涉及证书申请，还涉及企业身份验证、私钥存储、签名环境配置以及后续证书管理。

因此，选择熟悉产品且拥有正规授权渠道的服务商，同样非常重要。

上海环度信息科技有限公司（环度网信）是 DigiCert、Certum、Sectigo、GlobalSign 等多个品牌的官方直接授权代理商。

与只提供某一个品牌的服务商不同，上海环度同时提供 DigiCert 和 Certum 云签名版代码签名证书，也能够结合客户需求协助评估本地 UKey 签名方案。

对于国内开发者，上海环度可以提供：

• 双品牌产品选择：根据项目预算、签名工具和业务需求，在 DigiCert 与 Certum 产品之间进行比较。

• 云签名方案咨询：帮助客户了解 DigiCert KeyLocker 和 Certum SimplySign 的使用要求。

• 证书申请指导：协助准备个人或企业身份验证材料，了解证书颁发流程。

• 签名使用支持：提供常见签名工具配置、证书调用、时间戳等方面的技术指导。

• 本地化服务：为国内客户提供中文沟通和相关售后支持。

对于不熟悉海外 CA 证书申请及技术要求的企业而言，通过官方直接授权代理商办理，可以减少产品选择、申请沟通和后续配置中的障碍。

上海环度的优势，不仅是能够提供 DigiCert 和 Certum 两大品牌的代码签名证书，更在于可以根据客户实际场景，帮助客户选择真正合适的证书与签名方式。

十、到底选云签名还是本地 UKey？环度网信的建议

综合来看，如果开发者没有特殊的离线签名要求，上海环度通常建议优先评估云签名版代码签名证书。

原因在于，云签名减少了对实体 UKey 的依赖，在跨地点办公、软件版本更新以及日常证书管理方面通常更加灵活。

但如果企业有固定的签名工作站、明确的硬件保管制度，或者签名环境不能访问互联网，那么本地 UKey 仍然是合理选择。

具体可以按照以下思路判断：

• 个人开发者、中小型软件企业：可以考虑 Certum SimplySign 云签名版。

• 重视企业开发流程及自动化集成：可以了解 DigiCert KeyLocker 云签名版。

• 需要固定工作站或离线签名：优先评估本地 UKey 或本地 HSM。

• 签名量较大的企业：应先核算签名次数、配额及长期使用成本，再决定采用哪一种方案。

结语

云签名与本地 UKey 并不存在绝对的优劣之分。

对于大多数希望提高软件发布便利性的开发者而言，云签名是一种值得优先考虑的方式；而对于具有特殊安全策略和离线工作要求的企业，本地 UKey 仍然具有不可替代的适用场景。

DigiCert KeyLocker 和 Certum SimplySign 又分别提供了不同特点的云签名解决方案，让软件开发者拥有更加丰富的选择。

作为 DigiCert 和 Certum 的官方直接授权代理商，上海环度信息科技有限公司（环度网信）能够为国内开发者提供双品牌代码签名证书及相关本地化服务。

选择适合自己的代码签名证书，不必只看品牌，也不必只看价格。了解签名方式、业务需求和长期使用成本，才能让软件发布更加安全、便捷、高效。

了解 DigiCert、Certum 代码签名证书及云签名方案，可访问：

上海环度代码签名证书产品中心

https://www.ihuandu.com/codesigning.html

环度网信——让软件签名更简单，让数字信任更可靠。