Microsoft, yazılım güvenliği konusundaki politikalarını sürekli güncelliyor. 2026 yılı itibarıyla EV (Extended Validation) Kod İmzalama Sertifikası alma ve kullanma sürecinde önemli değişiklikler yaşandı. Bu makalede, Microsoft ekosisteminde kod imzalama yapan geliştiricilerin bilmesi gereken tüm yeni kuralları detaylandırıyoruz.
Microsoft Kod İmzalama Politikalarında Ne Değişti?
Microsoft, son iki yılda Windows güvenlik politikalarında köklü değişiklikler yaptı. Bu değişiklikler doğrudan kod imzalama sertifikalarını ve geliştiricileri etkiliyor:
1. SmartScreen Algoritması Güncellendi
Windows SmartScreen, kullanıcıları potansiyel olarak zararlı yazılımlardan koruyan bir güvenlik filtesidir. Microsoft, SmartScreen algoritmasını güncelleyerek aşağıdaki değişiklikleri uyguladı:
- Tutarlı imzalama ile itibar: OV veya EV sertifika ile her sürümü aynı sertifikayla ve zaman damgasıyla imzalamak, SmartScreen itibarının daha hızlı birikmesini sağlar. Bu, kullanıcıların zamanla yazılımınızı sorunsuz indirip kurmasına yardımcı olur.
- OV sertifika ile kademeli güven: OV sertifika ile imzalanan yazılımlar için SmartScreen, indirme sayısı ve zaman bazlı itibar sistemi kullanır. Yeni imzalanan dosyalar ilk başta uyarı alabilir.
- İmzasız yazılımlara sıkı kontrol: İmzalanmamış yazılımlar için SmartScreen uyarıları daha agresif hale getirildi. Birçok kullanıcı bu uyarıyı aşamaz.
2. HVCI (Hypervisor-Protected Code Integrity)
Windows 11 ile birlikte HVCI varsayılan olarak etkinleştirildi. Bu özellik, kernel seviyesinde çalışan tüm kodların geçerli ve güvenilir bir sertifika ile imzalanmış olmasını zorunlu kılar. Sürücü geliştiricileri için bu kritik bir değişikliktir.
3. Microsoft Trusted Signing (Azure)
Microsoft, Azure Trusted Signing hizmetini duyurdu. Bu hizmet, yazılım geliştiricilere Microsoft altyapısı üzerinde cloud kod imzalama imkanı sunar. Şu an preview aşamasında olan bu hizmet, ilerleyen dönemde önemli bir alternatif haline gelecektir.
EV Kod İmzalama Sertifikası Nasıl Alınır? (2026 Güncel)
2026 yılında EV kod imzalama sertifikası almak için izlemeniz gereken adımlar:
Adım 1: Gerekli Belgeler
| Belge | Açıklama | Nereden Alınır? |
|---|---|---|
| Ticaret Sicil Gazetesi | Şirketin tescil edildiğini kanıtlar | Ticaret Odası / e-Devlet |
| Vergi Levhası | Vergi numarası ve şirket bilgileri | e-Devlet / Maliye |
| İmza Sirküleri | Yetkili imza sahipleri | Noter |
| Telefon Doğrulaması | Şirket telefon hatları üzerinden aranma | - |
| DUNS Numarası | Uluslararası firma tanımlayıcı (bazı CA için) | Dun & Bradstreet |
Adım 2: Sertifika Otoritesi Seçimi
EV kod imzalama sertifikası sunan başlıca sertifika otoriteleri:
- Sectigo: En yaygın tercih, geniş uyumluluk, rekabetçi fiyat
- DigiCert: Enterprise seviye, en yüksek güvenilirlik
- GlobalSign: HVCI uyumlu, hızlı doğrulama
- Certum: En uygun fiyat, SimplySign cloud platformu
Adım 3: Cloud HSM Seçimi
Yeni kurallara göre, EV sertifikanızın özel anahtarı bir HSM üzerinde saklanmalıdır. İki seçeneğiniz var:
- Sertifika sağlayıcının Cloud HSM hizmeti: En kolay ve en çok tercih edilen yöntem. Sectigo CodeSignTrust, DigiCert KeyLocker, Certum SimplySign gibi platformlar hazır cloud HSM sunar.
- Kendi HSM cihazınız: Thales Luna, Utimaco gibi FIPS 140-2 Level 2+ sertifikalı HSM cihazı satın alıp kullanabilirsiniz. Maliyet yüksektir ve kurumsal kullanım için uygundur.
Adım 4: Başvuru ve Doğrulama
Seçtiğiniz sertifika otoritesine başvuru yaptıktan sonra EV doğrulama süreci başlar. Bu süreçte:
- Şirket bilgileriniz resmi kaynaklardan doğrulanır
- Telefon doğrulaması yapılır
- Yetkili kişi kimlik doğrulaması tamamlanır
- Süreç genellikle 3-7 iş günü sürer
Adım 5: İmzalama Başlangıcı
Doğrulama tamamlandıktan sonra cloud platformunuza erişim sağlanır ve yazılımlarınızı imzalamaya başlayabilirsiniz.
Windows SmartScreen Skoru Nasıl Çalışır?
SmartScreen, dosyaları değerlendirirken şu faktörleri dikkate alır:
| Faktör | EV Sertifika | OV Sertifika | İmzasız |
|---|---|---|---|
| İlk İmzalama | Uyarı gösterebilir | Uyarı gösterebilir | Engellenir |
| İndirme Sayısı | Etkilemez | Arttıkça güven artar | - |
| Zaman | Etkilemez | Süre geçtikçe güven artar | - |
| Kullanıcı Deneyimi | Sorunsuz kurulum | İlk başta uyarı olabilir | Yükleme engellenebilir |
| Şirket Adı Görüntüleme | Evet | Evet | Bilinmeyen yayıncı |
Sıkça Sorulan Sorular (FAQ)
Bireysel geliştirici olarak EV sertifika alabilir miyim?
Hayır, EV (Extended Validation) sertifikaları yalnızca tüzel kişiliklere (şirketlere) verilir. Türkiye merkezli bireysel geliştiriciler Ltd. Şti. veya A.Ş. kurarak EV sertifika başvurusunda bulunabilir. Alternatif olarak, OV veya IV türü sertifikalar bireysel geliştiricilere de verilebilir.
EV sertifika SmartScreen uyarısını kesinlikle kaldırır mı?
Hayır, garanti etmez. Ağustos 2024'ten bu yana EV kod imzalama sertifikası da SmartScreen itibarını OV gibi zamanla kazanır; yeni yazılımlarda başlangıçta uyarı görülebilir. İmzalama, yayıncı adınızı doğrular ve itibarın birikmesi için temel oluşturur.
Microsoft Trusted Signing yerine üçüncü parti sertifika kullanabilir miyim?
Evet, Microsoft Trusted Signing bir seçenektir ancak zorunlu değildir. Sectigo, DigiCert, GlobalSign, Certum gibi herhangi bir güvenilir sertifika otoritesinden EV kod imzalama sertifikası alabilirsiniz. Bu sertifika Microsoft tarafından tanınır.
EV sertifika alma süresi ne kadardır?
EV doğrulama süreci genellikle 3-7 iş günü sürer. Belgelerin eksiksiz olması ve telefon doğrulamasının hızlı tamamlanması süreci kısaltır. KodImzalama.com üzerinden başvurduğunuzda doğrulama sürecinde size destek sağlanır.
Sürücü imzalama için özel bir sertifika gerekli mi?
Windows kernel-mode sürücüleri için EV kod imzalama sertifikası zorunludur. User-mode sürücüler için standart kod imzalama sertifikası yeterli olabilir. Windows 11 HVCI koruması aktif sistemlerde tüm sürücülerin imzalı olması gerekir.
