Yazılımınızı indiren kullanıcılar "Windows kişisel bilgisayarınızı korudu" yazan mavi pencereyle mi karşılaşıyor? Bu uyarı kullanıcıların önemli bir kısmının kurulumu yarıda bırakmasına neden olur. Bu rehberde uyarının neden çıktığını ve bir yazılım geliştirici olarak SmartScreen uyarısını kalıcı olarak nasıl azaltacağınızı adım adım anlatıyoruz.
Programı açmaya çalışan bir kullanıcıysanız, uyarıyı güvenle nasıl geçeceğinizi "Windows kişisel bilgisayarınızı korudu" uyarısı yazımızda anlattık.
SmartScreen uyarısı neden çıkar?
Microsoft Defender SmartScreen, internetten indirilen bir dosya ilk kez çalıştırıldığında Microsoft'un bulut servisine dosyanın ve yayıncısının itibarını sorar. Uyarı genellikle şu durumlarda çıkar:
- Dosya imzasızdır; pencerede "Yayımcı: Bilinmeyen yayımcı" yazar.
- Dosya imzalıdır ama sertifika yenidir ve henüz yeterli itibar birikmemiştir.
- Dosya yeni bir sürümdür ve henüz az sayıda kullanıcı tarafından indirilmiştir.
Microsoft itibar algoritmasının ayrıntılarını paylaşmaz. Bilinen şey, itibarın dosyanın indirilme ve çalıştırılma geçmişiyle ve imzalı dosyalarda imzalayan sertifikayla ilişkilendirilerek oluştuğudur. Ayrıntılar için: SmartScreen nasıl çalışır?
İmzasız ve imzalı dosya arasındaki fark
| Durum | Kullanıcının gördüğü | İtibar |
|---|---|---|
| İmzasız dosya | "Windows kişisel bilgisayarınızı korudu" + "Bilinmeyen yayımcı" | Her yeni dosya için sıfırdan oluşur |
| İmzalı, sertifika yeni | Uyarı çıkabilir ama yayımcı olarak doğrulanmış şirket adınız görünür | Sertifikanıza bağlanarak birikmeye başlar |
| İmzalı, sertifikanın itibarı oluşmuş | SmartScreen uyarısı çıkmaz; yalnızca Windows'un normal yönetici onayı (UAC) penceresinde şirket adınız görünür | Yeni sürümleriniz birikmiş itibardan yararlanır |
Çözüm: yazılımınızı kod imzalama sertifikasıyla imzalayın
SmartScreen uyarısını kalıcı olarak azaltmanın tek güvenilir yolu, yazılımınızı Microsoft'un güvendiği bir sertifika otoritesinden alınmış bir kod imzalama sertifikası ile imzalamaktır. Hem OV hem EV sertifikalar bu amaçla kullanılabilir.
OV mi EV mi?
Microsoft, 2024'ten itibaren EV sertifikaların da SmartScreen itibarını anında vermediğini duyurdu. Artık her iki türde de itibar zamanla oluşur. Seçim şu noktalara göre yapılır:
- OV: Şirket doğrulamalıdır, daha uygun fiyatlıdır ve çoğu bağımsız yazılımcı ile KOBİ için yeterlidir.
- EV: Daha kapsamlı doğrulama içerir. Kurumsal müşteriler, ihaleler veya daha güçlü bir güven sinyali istediğiniz durumlar için tercih edilir.
Ayrıntılı karşılaştırma: OV ve EV kod imzalama arasındaki farklar.
Neden Cloud (bulut) sertifika?
- CA/Browser Forum kuralları gereği Haziran 2023'ten bu yana tüm kod imzalama sertifikalarında (OV ve EV) özel anahtar donanımda, yani sertifikalı bir USB token'da veya HSM'de saklanmak zorundadır.
- Cloud sertifikalarda anahtar sağlayıcının HSM'inde durur; kargo ile token beklemezsiniz ve farklı bilgisayarlardan imzalayabilirsiniz.
- Cloud çözümler CI/CD pipeline'ında otomatik imzalamaya daha uygundur.
Adım adım imzalama
- Sertifika seçin ve satın alın:
Cloud kod imzalama sayfamızdan Certum, Sectigo, DigiCert, GlobalSign ve sslTrus seçeneklerini, karşılaştırma sayfamızdan da farklarını inceleyebilirsiniz.
- Doğrulama sürecini tamamlayın:
Sertifika otoritesi şirket bilgilerinizi (ticaret sicili kaydı, adres, telefon) doğrular. Belgeleriniz eksiksizse süreç genellikle birkaç iş günü içinde tamamlanır.
- Bulut platformuna erişin:
Sertifika sağlayıcınızın imzalama platformunda (ör. Certum SimplySign, DigiCert KeyLocker) hesabınızı etkinleştirin.
- İstemciyi kurun ve yapılandırın:
# Certum SimplySign örneği # 1. SimplySign Desktop'u kurun # 2. Telefondaki SimplySign uygulamasından alınan kodla oturum açın # 3. Sertifika Windows sertifika deposunda görünür # DigiCert KeyLocker örneği (ortam değişkenleri) set SM_HOST=... set SM_API_KEY=... set SM_CLIENT_CERT_FILE=client.p12 set SM_CLIENT_CERT_PASSWORD=...SimplySign için ayrıntılı kurulum: SimplySign Desktop rehberi.
- Dosyanızı imzalayın ve zaman damgası ekleyin:
signtool sign /sha1 PARMAK_IZI /tr http://timestamp.digicert.com /td sha256 /fd sha256 /v setup.exeZaman damgası adresini sertifikanızı aldığınız otoritenin adresiyle değiştirin (ör. Certum için
http://time.certum.pl). "No certificates were found" hatası alırsanız: SignTool hata çözümü. - Doğrulayın:
signtool verify /pa /v setup.exe # Çıktıda "Successfully verified" ve şirket adınız görünmelidir
İtibarın daha hızlı oluşması için
- Her sürümü aynı sertifikayla imzalayın. İtibar sertifikanıza bağlı biriktiği için sertifika değiştirmek süreci yeniden başlatabilir. Yenileme zamanı geldiğinde mümkünse aynı yayıncı bilgileriyle yenileyin.
- Kurulum dosyasını ve içindeki EXE/DLL dosyalarını birlikte imzalayın.
- Yazılımınızı kendi alan adınızdaki HTTPS bir sayfadan dağıtın.
- Yeni sürümleri Microsoft'a analize gönderin. Microsoft Security Intelligence dosya gönderme sayfasından "yazılım geliştiricisi" olarak gönderim yapabilirsiniz.
- Gereksiz yere çok sık yeni dosya üretmeyin. Her yeni dosya kısa bir süre daha az tanınır.
Yanlış çözümler (bunları yapmayın)
❌ Kullanıcılardan SmartScreen'i kapatmalarını istemek
Bu, kullanıcılarınızın bilgisayarında güvenlik açığı oluşturur ve profesyonel görünmez. Kurumsal müşterilerde ise genellikle mümkün değildir. Kullanıcı tarafındaki seçenekleri ve riskleri SmartScreen nasıl kapatılır yazısında anlattık.
❌ Kendi oluşturduğunuz (self-signed) sertifikayla imzalamak
Kendi oluşturduğunuz sertifikalar Windows tarafından güvenilir kabul edilmez; SmartScreen uyarısı aynen devam eder.
❌ "SmartScreen bypass" araçları kullanmak
Bu tür araçlar zararlı yazılım içerebilir ve dosyanızı antivirüs yazılımları için daha da şüpheli hale getirir.
Sıkça Sorulan Sorular
SmartScreen uyarısı tüm kullanıcılarda aynı mı görünür?
Hayır. Uyarı; kullanıcının Windows sürümüne, SmartScreen ayarlarına, kurum politikalarına ve dosyanın o anki itibarına göre değişebilir. İmzalı bir dosyanın itibarı oluştukça uyarı giderek daha az kullanıcıda görünür.
EV sertifika ile uyarı hemen kaybolur mu?
Hayır. 2024'ten bu yana EV sertifikalar da anında itibar sağlamaz. EV'nin avantajı daha kapsamlı doğrulama ve kurumsal güvendir. Uyarının kaybolma süresi, dosyanızın ne kadar indirildiğine ve çalıştırıldığına bağlıdır.
SmartScreen uyarısını nasıl test ederim?
SmartScreen yalnızca "internetten geldi" işaretini (Mark of the Web) taşıyan dosyaları denetler. Doğru test için dosyayı temiz bir Windows 10/11 bilgisayarında veya sanal makinede internetten indirip çalıştırın. USB bellekten veya ağ klasöründen kopyalanan dosyalar genellikle bu işareti taşımadığı için gerçek davranışı göstermez.
Eski Windows sürümleri için ne yapmalıyım?
Windows 7 ve 8.1 artık güvenlik güncellemesi almıyor ve SmartScreen davranışları farklıdır. Hedef kitlenizin büyük kısmı Windows 10 ve 11 kullandığı için imzalama ve test süreçlerinizi bu sürümlere göre planlayın. İmzalama ve SHA-256 imza tüm güncel Windows sürümlerinde aynı şekilde çalışır.
