Kod İmzalama Sertifikası Rehberi: Türler, Kurulum ve En İyi Uygulamalar (2026)

Kod imzalama sertifikası (Code Signing Certificate), yazılım geliştiricilerin ve yayıncıların uygulamalarını, sürücülerini, scriptlerini ve diğer çalıştırılabilir dosyalarını dijital olarak imzalamasını sağlayan bir güvenlik sertifikasıdır. Bu rehberde, 2026 yılı itibarıyla kod imzalama sertifikalarının tüm yönlerini detaylı şekilde ele alıyoruz.

Kod İmzalama Sertifikası Nedir?

Kod imzalama sertifikası, bir yazılım dosyasına dijital imza ekleyerek iki temel güvence sağlar:

1. Bütünlük (Integrity): Yazılımın imzalandıktan sonra değiştirilmediğini garanti eder.
2. Kimlik Doğrulama (Authentication): Yazılımı kimin yayınladığını kesin olarak belirler.

Bir kullanıcı imzalanmamış bir yazılımı indirip çalıştırmaya çalıştığında, işletim sistemi "Bilinmeyen yayıncı" uyarısı gösterir. Kod imzalama sertifikası ile imzalanmış yazılımlar ise yayıncı adını açıkça göstererek kullanıcı güvenini artırır.

Kod İmzalama Nasıl Çalışır?

Kod imzalama süreci kriptografik olarak şu adımlarla gerçekleşir:

1. Hash Oluşturma: Dosyanın SHA-256 hash değeri hesaplanır.
2. Şifreleme: Hash değeri, geliştiricinin özel anahtarı (private key) ile şifrelenir — bu dijital imzadır.
3. Sertifika Ekleme: Dijital imza ve sertifika dosyaya gömülür.
4. Doğrulama: Son kullanıcının sistemi, sertifikanın genel anahtarı (public key) ile imzayı doğrular.
5. Zaman Damgası: RFC 3161 timestamp sunucusu ile imza zamanı kaydedilir — sertifika süresi dolsa bile imza geçerliliğini korur.

Kod İmzalama Sertifikası Türleri

2026 yılı itibarıyla üç ana kod imzalama sertifikası türü bulunmaktadır:

1. OV (Organization Validation) Kod İmzalama

Organizasyon Doğrulamalı kod imzalama sertifikası, en yaygın kullanılan türdür. Sertifika otoritesi (CA), başvuran kuruluşun yasal varlığını doğrular.

2. EV (Extended Validation) Kod İmzalama

Genişletilmiş Doğrulamalı kod imzalama sertifikası, en yüksek güvenlik seviyesini sunar. CA/Browser Forum kuralları gereği özel anahtar mutlaka donanımsal güvenlik modülünde (HSM) saklanmalıdır.

3. Cloud Kod İmzalama

Cloud tabanlı kod imzalama, özel anahtarın bulut HSM'de saklandığı ve imzalama işleminin API üzerinden gerçekleştirildiği modern bir yaklaşımdır. CI/CD pipeline entegrasyonu için idealdir.

OV vs EV vs Cloud: Hangi Sertifikayı Seçmeliyim?

Doğru sertifika türünü seçmek, kullanım senaryonuza bağlıdır:

Windows SmartScreen ve Kod İmzalama

Microsoft SmartScreen, Windows kullanıcılarını zararlı yazılımlardan koruyan bir güvenlik filtresidir. Kod imzalama sertifikaları bu sistemle doğrudan ilişkilidir:

• İmzasız yazılım: "Windows bu uygulamayı engelledi" uyarısı gösterilir.
• OV ile imzalı yazılım: İlk başta uyarı gösterebilir; indirme sayısı arttıkça güven kazanır (reputation-based).
• EV ile imzalı yazılım: İlk günden itibaren anında güven sağlar — SmartScreen uyarısı gösterilmez.

Eğer yazılımınız son kullanıcılar tarafından doğrudan indirilip kuruluyorsa ve SmartScreen uyarısından kaçınmak istiyorsanız, EV Code Signing sertifikası önerilir.

Kod İmzalama Sertifikası Kurulumu

Windows'ta SignTool ile İmzalama

En yaygın imzalama yöntemi Microsoft'un SignTool aracıdır. Windows SDK ile birlikte gelir.

# USB Token ile imzalama (SHA-256)
signtool sign /tr http://timestamp.digicert.com /td sha256 /fd sha256 /a "MyApplication.exe"

# Belirli bir sertifikayı seçerek imzalama
signtool sign /tr http://timestamp.digicert.com /td sha256 /fd sha256 /sha1 THUMBPRINT "MyApp.exe"

# İmzayı doğrulama
signtool verify /pa /v "MyApplication.exe"

Java JAR İmzalama

# JAR dosyası imzalama
jarsigner -keystore keystore.jks -tsa http://timestamp.digicert.com myapp.jar alias_name

# İmzayı doğrulama
jarsigner -verify -verbose myapp.jar

macOS codesign ile İmzalama

# Uygulama imzalama
codesign --sign "Developer ID Application: Company Name" --timestamp MyApp.app

# Notarization gönderme
xcrun notarytool submit MyApp.zip --apple-id "dev@company.com" --team-id TEAMID --wait

Zaman Damgası (Timestamp) Neden Kritik?

Zaman damgası, imzalama anını kriptografik olarak kaydeder. Bu sayede:

• Sertifika süresi dolsa bile, süre dolmadan önce yapılan imzalar geçerli kalır.
• Kullanıcılar yıllar sonra bile yazılımınızı güvenle kullanabilir.
• Yeniden imzalama maliyetinden kurtulursunuz.

Her imzalamada mutlaka RFC 3161 uyumlu bir timestamp sunucusu kullanın:

CI/CD Pipeline Entegrasyonu

Modern yazılım geliştirme süreçlerinde CI/CD pipeline içinde otomatik kod imzalama kritik bir adımdır. Cloud kod imzalama sertifikaları bu amaçla tasarlanmıştır.

GitHub Actions Örneği

name: Build and Sign
on: [push]
jobs:
  build-sign:
    runs-on: windows-latest
    steps:
      - uses: actions/checkout@v4
      - name: Build
        run: dotnet publish -c Release -o ./output
      - name: Sign with DigiCert KeyLocker
        env:
          SM_API_KEY: ${{ secrets.SM_API_KEY }}
          SM_CLIENT_CERT_FILE: ${{ secrets.SM_CLIENT_CERT }}
        run: |
          smctl sign --keypair-alias key1 --input ./output/MyApp.exe
          signtool verify /pa ./output/MyApp.exe

İmzalanabilecek Dosya Türleri

Kod imzalama sertifikası ile imzalanabilecek başlıca dosya formatları:

Sertifika Otoriteleri (CA) Karşılaştırması

Kod imzalama sertifikası sunan başlıca sertifika otoriteleri:

Kod İmzalama Sertifikası için Gerekli Belgeler

OV Sertifika İçin:

• Ticaret sicil gazetesi veya vergi levhası
• Şirketin yasal adı ve adresi
• Yetkili kişi kimlik bilgisi
• Telefon doğrulaması (bazı CA'lar)

EV Sertifika İçin (Ek Olarak):

• Şirketin en az 3 yıldır aktif olduğunun kanıtı
• DUNS numarası veya eşdeğeri
• İmza yetkisi belgesi
• Yüz yüze veya video doğrulama (bazı CA'lar)

2026 Güncel Gereksinimler ve Değişiklikler

CA/Browser Forum'un kodlama imzalama sertifikaları için belirlediği güncel kurallar:

• Donanımsal anahtar depolama zorunlu: Tüm kod imzalama sertifikaları (OV dahil) için özel anahtarlar FIPS 140-2 Level 2+ donanımda saklanmalıdır.
• Minimum anahtar uzunluğu: RSA 3072-bit veya ECC P-256 (2025'ten itibaren bazı CA'lar 4096-bit zorunlu kılmıştır).
• Maksimum sertifika süresi: 3 yıl (bazı CA'lar 1 veya 2 yıl sunmaktadır).
• Zaman damgası: SHA-256 hash algoritması ile RFC 3161 uyumlu timestamp zorunluluğu.
• Subscriber Key Protection: CA, anahtarın donanımda üretildiğine dair kanıt talep edebilir.

Sık Yapılan Hatalar ve Çözümleri

Sonuç

Kod imzalama sertifikası, modern yazılım dağıtımının temel güvenlik yapı taşlarından biridir. Doğru sertifika türünü seçmek, düzgün kurulum yapmak ve en iyi güvenlik uygulamalarını takip etmek, hem kullanıcılarınızın hem de yazılımınızın güvenliğini sağlar.

KodImzalama.com olarak DigiCert, Sectigo, GlobalSign, Certum ve GoGetSSL dahil tüm büyük sertifika otoritelerinden OV, EV ve Cloud kod imzalama sertifikalarını en uygun fiyatlarla sunuyoruz. Ürünlerimizi incelemek ve hemen sipariş vermek için ürün kataloğumuzu ziyaret edin.