云签名还是 USB Token？Certum 代码签名证书交付方式怎么选

环度小编：xadmin

买 Certum 代码签名证书时，开发者常会在最后一步卡住：选云签名，还是选 USB Token？两者都能完成合规签名，差别在使用方式、环境依赖和维护成本。这篇按场景帮你定下来。

一、两种交付方式，一句话分清

• 云签名（SimplySign）：私钥在云端受控的硬件密码模块里，本地通过 SimplySign Desktop 连接云端虚拟加密卡，配合手机端验证后签名，不需要实体 U 盘；

• USB Token（本地硬件）：证书与私钥存在硬件设备中，签名时插到电脑 USB 口，在受控环境完成签名。

二、按维度对比

• 设备携带：云签名无需携带；Token 需要随身保管、防止丢失。

• 虚拟机 / CI 环境：Token 无法插进虚拟机，打包流水线受限；云签名不受此限制。

• 多人协作：云签名更适合多地点、多成员共用；Token 适合单人单机使用。

• 签名次数：云签名默认每月 5000 次，超出后需要联系环度网信获取相应的解决方案；本地化硬件（如 eToken）没有这个次数限制。

• 环境依赖：云签名依赖网络与 SimplySign 应用；完全离线场景更适合 Token。

• 私钥保护要求：按 CA/Browser Forum《代码签名基线要求》，云签名服务（Signing Service）保护用户私钥的硬件模块须至少符合 FIPS 140-2 Level 3 或 CC EAL4+；订阅者自管的硬件密码模块最低为 FIPS 140-2 Level 2 或 CC EAL4+。

三、什么情况选云签名

• 软件发布频率高，经常需要签名新版本；

• 团队分散办公、远程协作，或需要在虚拟机 / CI 中打包；

• 不想处理实体设备的领用、寄送、损坏与丢失；

• 签名量在每月 5000 次以内。

四、什么情况选 USB Token

• 签名环境必须完全离线，不能联网；

• 需要无人值守的大规模自动化签名；

• 每月签名次数明显超过 5000 次；

• 对私钥物理管控有硬性要求。

五、无论选哪种，这两件事都要做

• 启用时间戳：证明「签名发生在证书有效期内」，使签名在证书到期后仍可长期验证；

• 注意有效期：代码签名证书的最长有效期已大幅缩短（当前约 460 天以内），到期需重新签发，建议提前规划。

六、常见问题

• 云签名的私钥会下载到本地吗？不会，私钥始终在云端受控模块中。

• 云签名能签哪些文件？EXE、MSI、DLL、CAB、CAT、OCX、JAR、WAR、EAR、脚本类文件，以及 Office 文档与 VBA 宏项目。

• 云签名能给驱动签名吗？不能。微软已不支持第三方代码签名证书直接为驱动签名，驱动类文件需要走 WHQL 方案。

• 签名后还会弹安全提示吗？代码签名证书解决的是「未知发布者」提示；SmartScreen 的拦截与警告是另一套机制，取决于下载量、发布者信誉与风险模型的积累，与证书档次无关。

需要办理的话，可以直接在上海环度信息科技有限公司的官方网站上在线提交申请，我们收到后会尽快安排处理。

查看代码签名证书 → 查看 WHQL 测试认证 →

本文基于 Certum 官方资料与公开信息整理，不构成法律意见；云签名次数、证书有效期等政策可能随官方调整，办理前请以官方与授权渠道的当期说明为准。