Un certificato di firma del codice consente agli sviluppatori di software di aggiungere firme digitali al codice e informazioni su se stessi e sull'integrità del codice contenuto nel proprio software. Gli utenti finali che scaricano file eseguibili a 32 o 64 bit provvisti di firma digitale (.exe, .ocx, .dll, .cab, e altri) possono essere certi che il codice provenga veramente da uno sviluppatore verificato e che non vi sia stata alcuna manomissione da parte di terzi, dal momento che è stato firmato.

I certificati di firma del codice a convalida estesa funzionano come i certificati di firma del codice a convalida dell'organizzazione (OV), ma necessita un processo di verifica più completo prima dell'emissione del certificato.

A code signing service is an online cloud-based solution which provides signatures for code binaries. The developer’s certificate is maintained securely in the cloud. The developer or signee does not have to send the entire file to be signed, a hash code will suffice. The service provides security, convenience, and scalability.

La convalida di un certificato di firma del codice prevede il rispetto di determinati requisiti. I tre aspetti principali che devono essere verificati prima dell'emissione di un certificato di firma del codice sono:

1. L'esistenza legale dell'organizzazione o della persona fisica menzionati nel campo Organizzazione del certificato.

2. L'indirizzo di e-mail, al quale deve essere inviato il certificato, deve avere il formato [email protected], dove "domain.com" deve essere di proprietà dell'organizzazione menzionata nel certificato.

3. Sectigo deve richiamare un numero di telefono verificato dell'organizzazione o della persona fisica menzionati nel certificato, per verificare che la persona che sta effettuando l'ordine sia un legittimo rappresentante dell'organizzazione.

A partire dal 1° giugno 2023 i certificati di firma del codice saranno:

• installati su un token Sectigo e saranno spediti in sicurezza al cliente
• disponibili per il download per essere installati sull'HSM del cliente I dispositivi hardware (ad es. token, HSM ecc.) devono essere conformi alla FIPS e supportare un attestato di chiave verificabile dall'esterno. 

I certificati di firma del codice vengono installati su un token fisico e spediti all'indirizzo dell'utente. Sono previsti rimborsi soltanto per i prodotti che non sono stati spediti. Se un prodotto è stato spedito, e non sono trascorsi più di 30 giorni dall'ordine, vengono rimborsati il costo del prodotto al netto delle spese di spedizione e il costo del token.

Il prezzo di certificato di firma del codice Sectigo® parte da 296 dollari all'anno scegliendo l'opzione triennale. Il prezzo aumenta per periodi più brevi e per i certificati di firma del codice EV.