Saltar a contenido

Firma de Código y S/MIME

No todo certificado protege un sitio. Dos tipos resuelven problemas completamente distintos: la Firma de Código garantiza que un software no fue alterado desde que salió de manos de quien lo publicó, y S/MIME garantiza lo mismo para un mensaje de correo electrónico. Si busca un certificado para su sitio, vea la guía de elección — esta guía trata sobre los otros dos casos de uso.

Firma de Código: por qué el software sin firmar dispara alertas

Los sistemas operativos modernos (Windows SmartScreen, macOS Gatekeeper) desconfían por defecto de cualquier ejecutable, driver o instalador que no tenga una firma digital reconocida. Un instalador sin firmar dispara avisos como "Editor desconocido" o queda bloqueado hasta que el usuario fuerza la ejecución manualmente — lo que hunde la tasa de instalación y da la impresión de software malicioso, aun cuando es legítimo.

Un certificado de Firma de Código resuelve esto firmando el binario con una identidad verificada por la CA. El sistema operativo confirma la firma, confirma que el archivo no fue alterado desde que se firmó, y permite la ejecución sin el aviso de "editor desconocido".

Code Signing estándar vs. Code Signing EV

Code Signing Code Signing EV
Verificación de la empresa Sí Sí, con validación extendida
Dónde queda la clave privada Archivo local o token, a criterio del solicitante Obligatoriamente en un dispositivo de hardware (token USB o HSM)
Reputación en Windows SmartScreen Se construye gradualmente con el volumen de descargas Reputación inmediata desde la primera firma
Indicado para La mayoría de los desarrolladores e ISV Drivers, software en modo kernel, o quien necesite eliminar el aviso de SmartScreen desde el primer lanzamiento

La diferencia más relevante en la práctica no es el nivel de verificación — es dónde se almacena la clave privada. El estándar exige clave protegida por hardware (token USB o HSM) desde 2023, por exigencia del CA/Browser Forum, pero el EV formaliza ese requisito con verificación adicional y reputación inmediata en SmartScreen, sin el período de "calentamiento" que tiene el Code Signing estándar.

Algunos proveedores de sistemas (Microsoft, por ejemplo, para drivers en modo kernel) exigen específicamente Code Signing EV — vale la pena confirmar el requisito de su caso antes de elegir el estándar.

S/MIME Personal: firma y cifrado de correo de extremo a extremo

S/MIME (Secure/Multipurpose Internet Mail Extensions) hace por el correo lo que la Firma de Código hace por el software: prueba que el mensaje realmente vino de quien dice haberlo enviado, y que el contenido no fue alterado en el camino.

Con un certificado S/MIME Personal, el remitente puede:

  • firmar digitalmente un correo, para que el destinatario confirme identidad e integridad del contenido;
  • cifrar el contenido del correo de extremo a extremo, legible solo por quien tiene la clave privada correspondiente al certificado del destinatario.

A diferencia de un certificado de sitio, el S/MIME se emite para una persona, vinculado a una dirección de correo específica — no a un dominio.

Cuándo tiene sentido cada uno

Perfil Certificado indicado
Desarrolladores e ISV que distribuyen software fuera de tiendas de aplicaciones Code Signing
Fabricantes de drivers o software en modo kernel Code Signing EV
Ejecutivos, legal y finanzas que intercambian información sensible por correo S/MIME Personal
Empresas que necesitan comprobar la autenticidad de comunicados oficiales por correo S/MIME Personal

Firma de Código y S/MIME son certificados independientes de los certificados de sitio — una empresa perfectamente puede necesitar un Wildcard para el sitio, un Code Signing para el instalador de su producto, y S/MIME para la dirección, todo al mismo tiempo.

Vea los certificados de Firma de Código y S/MIME disponibles en certificados SSL de InteSys

Próximos Pasos