我一开始对HSM感到害怕，但作为一名开源开发者（而不是大公司），我发现这并不是什么大问题。我无法在GitHub Actions上登录，而且我有一个在签署发布时会亮起的U盘，但这并没有成为障碍。我从Sectigo商店购买的。这不是假设，我真的做了，我有HSM，它有效。这并不困难。只是花费了一些钱和一点时间。"几乎不可能"是极大的夸张。我承认"令人烦恼且昂贵"可能更接近。如果你有资金，你可以获得HSM。你不需要在续订证书时重新购买HSM。微软商店账户的设置很痛苦，我注意到这一点。我的开发者账户也因为未知的原因被微软取消了，我最终不得不设置一个新的账户。新的邮箱，新的名字。我的新账户用了我的中间名，因为我不想与现有的、已关闭的账户冲突。我的名字和姓氏永远被商店禁止了。你承认的"同样的事情"并不是同样的事情。…
源讨论Veracrypt项目更新原帖 501 条评论 · 导入时统计现在获得自己的代码签名证书几乎变得不可能了。CA论坛2025年的更新要求代码签名证书必须是短期的（不能再有三年或五年期的证书），并且必须存储在HSM（硬件安全模块）上。因此，大多数公司交叉签名这些证书的方式已经转向订阅式PaaS模式，你只能获得一个证书，但永远不会拥有它的保管权，而且只能通过他们的API进行签名，如果他们决定封锁你的账户，你只能任人摆布。 不管怎样，即使你能获得自己的证书，结果也是一样的：微软可以撤销或将你的证书列入黑名单（尽管通常撤销或列入黑名单的理由比你的账户因模糊的“服务条款违规”而被暂停要更站得住脚）
完整原文把你的经验，加入这段讨论。
感谢你分享你的经验。我自己作为独立出版商，十多年以来一直在对发布版本进行代码签名，直到我发现自己被HSM要求、成本增加和证书有效期缩短所排挤出去。对于像我这样有某些行政命令功能障碍的人来说，我已经很难跟上旧的（多年）有效期，现在更是难上加难。 我刚刚迁移到了MS工件签名，感谢上帝，我获得验证比过去使用Sectigo和Comodo时更容易。我确信我的经历不代表其他人的体验，但因为我已经有一个开发者账户（使用不同的邮箱，没有Azure账户！），我之前一直在使用微软商店，这可能有所帮助，还有我有良好的业务历史（我听说业务成立不到三年的公司无法获得验证？？）…
完整原文必须说你的经历很有趣。我使用的是https://signmycode.com/sectigo-code-signing，但我选择了在现有令牌上安装（Google Cloud KMS），对我来说处理这些事情相当容易。我并不担心密钥存储或安全问题，也不担心密码保护或忘记密码的问题。
完整原文尊重不同观点，分享具体经验。
登录后即可发帖、评论、转发和引用。