多年来，代码签名证书一直以长达三年（最多）的多年度有效期签发——这个时间往往足够长，以至于会跨越内部所有权变更、工具升级，甚至负责它们的团队本身的更替。
从 2026 年 3 月 1 日起，根据更新的 CA/浏览器论坛代码签名基线要求，公开信任的代码签名证书的最长有效期将被限制为 460 天（约 15 个月）。
这反映出行业对软件身份、密钥风险与长期信任的看法发生了更深层的转变。
拆解更短的代码签名有效期更新
从 2026 年开始，任何新签发或续签的公开信任代码签名证书，有效期不得超过 460 天。在强制执行日期之前签发的证书不受影响，将持续运行直到其自然过期。
重要的是那些"没有改变"的事项：加密签名过程保持不变；现有签名工具与验证逻辑继续工作；带有时间戳的软件在证书过期后仍然受信任；操作系统不会追溯性地重新评估旧签名。如果代码是在证书有效且正确加上时间戳时签名的，该签名在证书过期后仍然受信任。这一信任模型早已存在，并且保持一致。唯一被缩短的是单张证书在发布者必须重新建立信任之前能够存在的时间。这一变更是前瞻性的，它改变的是未来信任凭证的签发方式，而非对现有已签名软件的解释方式。
在 460 天限制下，什么改变、什么不变
2 月 15 日之前：Sectigo 与 DigiCert 接受并签发多年度代码签名证书，交付方式包括令牌+寄送，以及客户自管 HSM。2 月 15 日起：Sectigo 将停止接受采用"令牌+寄送"方式的新多年度订单，仅当客户使用自身兼容 HSM（安装到现有 HSM）时才继续接受并签发多年度订单。DigiCert 则无论交付方式如何，都继续接受并签发多年度订单。2 月 24 日及之后：Sectigo 将停止签发采用"令牌+寄送"方式的多年度订单，仅通过远程配置（安装到现有 HSM）继续接受多年度订单；DigiCert 将停止接受并签发所有多年度代码签名订单，无论交付方式如何。
全行业变更：任何代码签名证书的最长签发有效期将被限制为 459 天。2 月 24 日之后，无论订阅时长如何，都不可能签发超过 459 天的证书。需要注意的要点：459 天是每次签发时代码签名证书的最长有效期；确切的签发有效期取决于所购订阅与证书颁发机构的签发策略。为简化续签跟踪，证书颁发机构可能签发：1 年订阅对应 365 天证书，多年度订阅对应约 400 天证书（尽管 459 天是允许的最大值）。
这会影响你吗？如果你的证书已经签发，本次变更不会影响你；已签发的证书将保持有效直到原始到期日，没有任何现有证书的有效期会被缩短。但是：如果你在 2 月 24 日或之后重新签发证书，新指南将适用，重新签发的证书将限制在最多 459 天（或更短，取决于签发时证书颁发机构的策略）。
为何长期有效的代码签名证书不再站得住脚
代码签名证书将发布者身份绑定到私钥签名密钥。如果密钥被泄露，攻击者就可以分发看似合法的恶意软件，往往能绕过信誉系统和安全提示。长期有效期的问题并非理论上的。现实攻击表明：密钥泄露常常数月未被发现；CI/CD 流水线日益成为攻击目标；被盗证书只要仍然有效就持续具有价值。今天，一个被泄露的代码签名密钥可以在不被察觉的情况下静默存在，而恶意软件被签名、分发并被那些专门设计用来拦截未知发布者的系统所信任。证书有效时间越长，它对攻击者的价值就越大。三年期证书制造了一个漫长而安静的滥用窗口。将有效期缩短至 15 个月，行业正在大幅压缩这一窗口。即便发生泄露，其影响也天然受到时间限制。这种方式通过大幅减少受损凭证的存活期来优先控制风险。
在代码签名中，信任如何在证书过期后存续
实践中，代码签名的信任从来不取决于证书"持续多久"，而取决于代码"何时被签名"。信任通过三个技术条件建立：证书在签名时有效；二进制文件未被篡改；可信时间戳证明签名发生的时间。当这些条件满足时，已签名软件即使证书过期也会无限期保持受信任。460 天限制不会使现有软件失效，也不会破坏长期分发模型。它所做的，是防止陈旧凭证在多年里静默地保持权威。
供应链安全才是真正的驱动力
现代软件攻击很少破解密码学，它们利用的是信任假设。攻击者瞄准签名密钥，是因为有效的签名让恶意代码"混入"其中。长期有效的证书让这一策略有利可图。更短的生命周期降低了动机与潜在滥用的规模。从供应链角度看，460 天限制：收窄了被盗凭证的用处；让吊销更有意义；迫使身份被更频繁地重新验证。这与已在 PKI 中广泛应用的更宽泛安全原则一致：最小化静态信任、轮换凭证、并假设泄露可能发生。
对开发者与发布团队意味着什么
对开发者而言，代码"如何"签名没有任何改变。影响是运营层面的，而非流程层面。证书会更频繁地过期，这意味着：续签更频繁；签名身份的所有权必须明确；构建流水线必须容忍证书轮换。依赖日历提醒、共享收件箱或人工采购的团队会迅速感受到摩擦。错过续签可能阻断发布、延迟补丁，或迫使紧急变通。这一变更暴露了一个简单的现实：手工证书管理无法扩展。随着证书生命周期缩短，团队正更密切地关注不同代码签名证书如何适配其发布与信任模型。
最佳代码签名证书选项（组织验证起步价）：Comodo 代码签名证书 225.00 美元/年起；Sectigo 代码签名证书 225.00 美元/年起；DigiCert 代码签名证书 549.00 美元/年起；Comodo EV 代码签名证书 325.00 美元/年起；Sectigo EV 代码签名证书 325.00 美元/年起；DigiCert EV 代码签名证书 699.00 美元/年起。
为何时间戳在更短有效期下变得不可或缺
随着有效期窗口收缩，时间戳从"最佳实践"变为"基础要求"。没有正确的时间戳：已签名软件可能在证书过期后失去信任；长期分发断裂；发布产物变得脆弱。有了正确的时间戳：软件无限期保持受信任；证书过期变成运营问题，而非生存问题。曾把时间戳当作可有可无的组织需要重新审视其工作流。
自动化不再是可选项
460 天限制并未强制要求自动化——但它强烈倾向于自动化。频繁的续签叠加快速的发布周期，在有人参与的环节制造失败点。自动化将证书生命周期管理变为基础设施：可预测的续签；没有最后一刻的慌乱；没有因凭证过期而中断的构建。这与 SSL/TLS 中已经发生的演进如出一辙，代码签名只是在迎头赶上。
为 460 天代码签名证书时代做准备
等到 2026 年才行动，意味着在压力下被动反应。现在准备则允许逐步适应。实际准备始于可见性：识别所有活跃的代码签名证书；映射它们的使用位置；明确分配所有权。由此，团队可以评估其签名基础设施是否支持更短的生命周期而不 disrupting 交付。
460 天是最终状态吗
很可能不是。随着自动化与成熟度提升，公共 PKI 一直朝着更短生命周期的凭证演进。每一次缩短都反映了围绕责任、自动化与安全响应能力的更高期望。代码签名如今走上了同一条轨道。向 460 天的转变应被视为一个检查点，而非终点线。软件信任正朝着有利于持续验证、而非长期假设的方向演进。尽早适应的组织会发现未来的变更是渐进的，而非颠覆性的。
结语
将代码签名证书有效期缩短至 460 天，并非为了收紧规则。它反映了对风险及软件信任管理方式的现代理解——从长期假设转向持续验证。对开发者与发布者而言，这一变更奖励有纪律的生命周期管理与前瞻性的基础设施。对整个生态而言，它强化了信任。这一变更并不具有破坏性，而是姗姗来迟。