Reputazione di SmartScreen per sviluppatori di app Windows

Microsoft Defender SmartScreen controlla la reputazione dei file scaricati prima di consentire l'esecuzione. Comprendere il funzionamento della reputazione può aiutare a evitare avvisi quando gli utenti scaricano o eseguono i file.

Suggerimento

Il modo più semplice per evitare avvisi di SmartScreen consiste nel pubblicare tramite il Microsoft Store. Le app distribuite dallo Store sono firmate da un certificato Microsoft e non sono mai soggette agli avvisi di download di SmartScreen. La parte restante di questo articolo si applica alle app distribuite all'esterno dello Store.

Funzionamento della reputazione di SmartScreen

SmartScreen valuta due segnali quando un utente scarica ed esegue un file:

1. Reputazione dell'editore - Il file è firmato? Il certificato di firma proviene da un editore noto e attendibile?
2. Reputazione dell'hash del file — Questo file specifico sia stato scaricato dagli utenti senza aver rilevato comportamenti dannosi?

Una reputazione negativa o sconosciuta per l'hash di un file o il certificato del relativo autore può far visualizzare avvisi. Anche se firmato, un file binario appena creato potrebbe comunque visualizzare un avviso SmartScreen fino a quando il certificato hash o publisher accumula un'evidenza sufficiente di reputazione positiva.

Quando un file non è firmato, la reputazione di SmartScreen deve essere compilata per ogni nuova versione dei file, a partire da zero reputazione. La reputazione non può essere trasferita dalle versioni precedenti, a meno che entrambe non siano state firmate usando la stessa identità dell'editore.

Opzioni del certificato e implicazioni di SmartScreen

Per ridurre la probabilità di interruzione, è necessario firmare tutti i file con un certificato valido.

Tipo di certificato	Comportamento SmartScreen al primo download
Microsoft Store	✅ Nessun avviso, coperto dal certificato di Microsoft
Certificato valido (OV/EV)	⚠️ Avviso — app contrassegnata come non riconosciuta fino a quando la reputazione non si accumula; Viene visualizzato il nome dell'editore verificato
Nessuna firma	️ Avviso: "Windows ha protetto il tuo PC"; l'utente deve scegliere "Esegui comunque" prima che l'applicazione possa essere eseguita. I criteri aziendali possono impedire completamente la continuazione.
Certificato autofirmato	⚠️ Avviso - Stesso comportamento come se non ci fosse una firma

Annotazioni

I certificati EV non ignorano più SmartScreen. Anni fa, la firma dei file con un certificato di firma del codice di convalida estesa (EV) provocherebbe una reputazione SmartScreen positiva per impostazione predefinita, ma questo comportamento non esiste più. I certificati EV possono essere importanti per l'approvvigionamento aziendale, ma non influiscono più sul comportamento di SmartScreen. Il pagamento di un premio per EV esclusivamente per evitare avvisi smartScreen non è più giustificato.

Microsoft Store (scelta consigliata)

Le app pubblicate dallo Microsoft Store vengono rifirmate da Microsoft e hanno una piena reputazione. Gli utenti non visualizzeranno mai un avviso SmartScreen per un'app installata nello Store.

Firma degli artefatti (precedentemente firma fidata)

Firma degli artefatti (in precedenza Nota di firma sicura) è il servizio di firma del codice consigliato da Microsoft per la distribuzione al di fuori dello Store.

• Costo: Circa $ 10 al mese
• Nessun token hardware richiesto: si integra direttamente con le pipeline CI/CD (GitHub Actions, Azure DevOps)
• Identity validation required : Microsoft convalida l'identità prima di rilasciare i certificati
• Comportamento smartScreen : la reputazione si accumula nel tempo in base al volume di download e al comportamento

Cosa aspettarsi quando si pubblica una nuova app

1. Primi download: Gli utenti possono visualizzare un prompt di SmartScreen che indica che l'app non è riconosciuta. Per le app firmate, viene visualizzato il nome dell'editore. Gli utenti devono continuare solo dopo aver verificato l'origine.
2. Durante l'accumulo dei download: La reputazione di SmartScreen si crea automaticamente. La richiesta verrà interrotta quando l'hash del file ha una cronologia di download sufficiente. Non esiste una soglia esatta, ma può richiedere diverse settimane e centinaia di installazioni pulite da un ampio pubblico.
3. Nuova versione: La firma dei file utilizzando un certificato attendibile può permettere di costruire la reputazione del certificato, potenzialmente evitando avvisi sui nuovi file firmati dallo stesso certificato attendibile. I file non firmati devono creare una nuova reputazione con ogni aggiornamento.

Non è necessario né c'è un meccanismo per inviare manualmente un file per la revisione della reputazione di SmartScreen per gli endpoint destinati ai consumatori. La reputazione si costruisce in modo organico attraverso il volume di download.

Annotazioni

Gli ambienti aziendali possono avere un comportamento SmartScreen diverso a seconda della configurazione dei criteri; Ad esempio, la possibilità di ignorare un avviso SmartScreen può essere disabilitata. Le aziende possono distribuire file da percorsi Intranet attendibili non soggetti alla revisione di SmartScreen. Gli amministratori IT aziendali possono facoltativamente inviare file per la revisione tramite il portale Microsoft Security Intelligence. Ciò può accelerare l'attendibilità per le distribuzioni interne o gestite.

Riduzione al minimo degli avvisi di SmartScreen in pratica

• Pubblica sul Microsoft Store dove possibile: questo è il modo più affidabile per evitare completamente gli avvisi
• Firmare ogni versione : i file non firmati non possono ereditare una reputazione positiva dal certificato di firma
• Non modificare i file firmati : evitare di modificare i file dopo la firma, in modo da interrompere la firma a seconda della configurazione client
• Non firmare applicazioni potenzialmente indesiderate - Evitare la firma di qualsiasi file che presenta comportamenti dannosi o potenzialmente indesiderati dell'applicazione o il certificato potrebbe sviluppare una reputazione negativa
• Usare un'identità di firma coerente. La modifica del certificato di firma influisce sul segnale di attendibilità dell'editore
• Comunicare con gli early adopter : per le nuove app, informare gli utenti beta che potrebbero visualizzare una richiesta SmartScreen al primo download e che devono continuare solo dopo aver verificato l'editore e confermando che considerano attendibile l'origine di download

Suggerimento

Nei dispositivi Windows 11, la funzionalità Controllo app intelligente può sostituire la reputazione dell'applicazione SmartScreen. Il controllo smart app bloccherà l'esecuzione di file non firmati, a meno che il file non abbia una reputazione positiva. I controlli delle firme delle app intelligenti si applicano a tutti i file eseguibili, non solo a quelli scaricati da Internet.

Contenuti correlati

• Scegliere un percorso di distribuzione per l'app Windows
• Stato corrente delle funzionalità di distribuzione delle app Windows
• Firmare un pacchetto di un'app con SignTool
• Documentazione relativa alla firma degli artefatti (in precedenza firma attendibile)
• Requisiti del programma radice attendibile di Microsoft