Assinar um pacote do aplicativo do Windows 10

Artigo
11/01/2022
3 minutos para o fim da leitura

A assinatura de pacote do aplicativo é uma etapa necessária no processo de criação de um pacote do aplicativo do Windows 10 que pode ser implantado. O Windows 10 exige que todos os aplicativos sejam assinados com um certificado de assinatura de código válido.

Para instalar um aplicativo do Windows 10 com êxito, além de o pacote ser assinado, ele também precisa estar identificado como confiável no dispositivo. Isso significa que o certificado precisa ser encadeado para uma das raízes confiáveis no dispositivo. Por padrão, o Windows 10 confia em certificados da maioria das autoridades de certificação que fornecem certificados de assinatura de código.

Além disso, se você estiver criando um pacote MSIX, não será necessário assinar todos os pacotes no pacote individualmente. Somente o pacote precisa ser assinado e todos os pacotes dentro são assinados recursivamente.

Tópico	Descrição
Pré-requisitos para assinatura	Esta seção aborda os pré-requisitos necessários para assinar o pacote do aplicativo do Windows 10.
Como usar a SignTool	Esta seção aborda como usar a SignTool do SDK do Windows 10 para assinar o pacote do aplicativo.
Assinar um pacote do MSIX com a autenticação do Device Guard	Esta seção discute como assinar seu aplicativo com a assinatura do Device Guard.
Criando pacotes não assinados para teste	Esta seção discute como criar um pacote msix sem sinal.

Carimbo de data/hora

É altamente recomendável que o Carimbo de Data/Hora seja usado ao assinar seu aplicativo com um certificado. O carimbo de data/hora preserva a assinatura, permitindo que o pacote do aplicativo seja aceito pela plataforma de implantação de aplicativo mesmo após o certificado expirar. No momento da inspeção do pacote, o carimbo de data/hora permite que a assinatura do pacote seja validada em relação à hora em que ele foi assinado. Isso permite que os pacotes sejam aceitos, mesmo depois que o certificado não seja mais válido. Os pacotes que não têm o carimbo de data/hora serão avaliados em relação à hora atual e, se o certificado não for mais válido, o Windows não aceitará o pacote.

Estes são os diferentes cenários referentes ao carimbo de data/hora com e sem a assinatura do aplicativo:

Cenário	O aplicativo é assinado sem o carimbo de data/hora	O aplicativo é assinado com o carimbo de data/hora
O certificado é válido	O aplicativo será instalado	O aplicativo será instalado
O certificado é inválido (expirado)	O aplicativo não será instalado	O aplicativo será instalado, pois a autenticidade do certificado foi verificada durante a assinatura pela autoridade de carimbo de data/hora

Observação

Se o aplicativo for instalado com êxito em um dispositivo, ele continuará sendo executado mesmo após a expiração do certificado, independentemente de ele ter ou não o carimbo de data/hora.

Imposição de integridade do pacote

Além de garantir que apenas aplicativos confiáveis sejam instalados em um dispositivo, um benefício adicional da assinatura de um pacote MSIX é que ele permite que o Windows imponha a integridade do seu pacote e seu conteúdo depois que ele é implantado em um dispositivo. Ao encadear o AppxBlockMap.xml e AppxSignature.p7x em um pacote assinado, o Windows é capaz de executar verificações de validação sobre a integridade de um pacote e seu conteúdo em runtime e durante Windows Defender verificações. Se um pacote for considerado adulterado, o Windows bloqueará a inicialização do aplicativo e iniciará um fluxo de trabalho de correção para reparar ou reinstalar o pacote. Para pacotes não distribuídos pela Microsoft Store, a integridade do pacote será imposta se o pacote declarar o elemento uap10:PackageIntegrity e for implantado no Windows 2004 e em builds posteriores. Veja abaixo uma declaração de exemplo de imposição de integridade do pacote no AppxManifest.xml:

<Package ...
xmlns:uap10="http://schemas.microsoft.com/appx/manifest/uap/windows10/10"  
IgnorableNamespaces="uap10">
...
  <Properties>
    <uap10:PackageIntegrity>
      <uap10:Content Enforcement="on" />
    </uap10:PackageIntegrity>
  </Properties>
...
</Package>

Modo do dispositivo

O Windows 10 permite que os usuários selecionem o modo no qual seus dispositivos serão executados no aplicativo de Configurações. Os modos são Aplicativos da Microsoft Store, Aplicativos de sideload e Modo de desenvolvedor.

Aplicativos da Microsoft Store é a opção mais segura, pois só permite a instalação de aplicativos da Microsoft Store. Os aplicativos da Microsoft Store passam por um processo de certificação para garantir que sejam seguros para uso.

Os aplicativos de sideload e o modo desenvolvedor são mais permissivos dos aplicativos que são assinados por outros certificados, desde que esses certificados sejam confiáveis e encadeem uma das raízes confiáveis no dispositivo. Só selecione o Modo de desenvolvedor se você for um desenvolvedor e estiver compilando ou depurando aplicativos do Windows 10. Encontre mais informações sobre o Modo de desenvolvedor e o que ele oferece aqui.