Code Signing-Zertifikate, die von öffentlichen und unabhängigen Certificate Authorities (CAs) ausgestellt werden, erzeugen digitale Signaturen, die von allen gängigen Betriebssystemen und Anwendungsplattformen weltweit anerkannt und als vertrauenswürdig eingestuft werden.
CAs wie DigiCert, GlobalSign oder auch Sectigo unterliegen dabei strengen Standards für die Ausstellung von Zertifikaten und müssen sich regelmäßigen Audits unterziehen, um die Kompatibilität mit Betriebssystemen oder Anwendungen wie etwa von Microsoft, Apple, Google oder Mozilla gewährleisten zu können.
Bei signiertem Code prüfen Betriebssysteme und Anwendungen, die ausstellende CAs und den Hash des für die Signatur verwendeten Zertifikats. Wenn die Zertifizierungsstelle nicht in deren „Vertrauensliste“ (Stammspeicher) enthalten oder der Hash nicht deckungsgleich ist, wird der Signatur nicht vertraut und die Überprüfung schlägt fehl.
Beim Private Code Signing findet keine "Versiegelung" durch eine dritte und unabhängige Partei statt. Daher empfehlen wir bei der Veröffentlichung und Online-Distribution von Software öffentliche vertrauenswürdige Code-Signing-Zertifikate zu erwerben, um Software-Anwendungen für User als sicher zu labeln.