Сборка и подписание десктоп-приложения для Windows
Подписание кода — обязательный шаг перед дистрибуцией Windows-приложения. Без подписи SmartScreen блокирует установку с предупреждением «Неизвестный издатель». С подписью и хорошей репутацией — установка без предупреждений.
Инструменты сборки
Electron + electron-builder — самый распространённый стек для кросс-платформенных приложений:
# electron-builder.yml
appId: com.company.appname
productName: AppName
win:
target:
- target: nsis # стандартный установщик
- target: zip # портативная версия
icon: build/icon.ico
sign: true
nsis:
oneClick: false
perMachine: true
allowToChangeInstallationDirectory: true
Wix Toolset — для MSI-пакетов (корпоративное распространение через SCCM/Intune):
<!-- product.wxs -->
<Product Id="*" Name="AppName" Version="1.0.0" Manufacturer="Company">
<Package Compressed="yes" />
<Directory Id="TARGETDIR" Name="SourceDir">
<Directory Id="ProgramFilesFolder">
<Directory Id="INSTALLFOLDER" Name="AppName" />
</Directory>
</Directory>
<Component Id="MainExecutable" Directory="INSTALLFOLDER">
<File Source="AppName.exe" KeyPath="yes" />
</Component>
</Product>
Code Signing
Сертификат подписи кода: EV (Extended Validation) — сразу даёт хорошую репутацию SmartScreen; OV (Organization Validation) — требует накопления репутации.
# Подписание через signtool.exe
signtool sign `
/fd SHA256 `
/tr http://timestamp.digicert.com `
/td SHA256 `
/f certificate.pfx `
/p $env:CERT_PASSWORD `
"dist\AppName-Setup.exe"
# Проверка подписи
signtool verify /pa "dist\AppName-Setup.exe"
Автоподписание в CI/CD (GitHub Actions)
- name: Sign Windows executable
env:
CERTIFICATE_BASE64: ${{ secrets.WINDOWS_CERTIFICATE_BASE64 }}
CERTIFICATE_PASSWORD: ${{ secrets.WINDOWS_CERTIFICATE_PASSWORD }}
run: |
$cert = [Convert]::FromBase64String($env:CERTIFICATE_BASE64)
[IO.File]::WriteAllBytes("certificate.pfx", $cert)
& "C:\Program Files (x86)\Windows Kits\10\bin\10.0.22621.0\x64\signtool.exe" `
sign /fd SHA256 /tr http://timestamp.digicert.com /td SHA256 `
/f certificate.pfx /p $env:CERTIFICATE_PASSWORD `
"dist\AppName-Setup.exe"
Сроки
Настройка сборки и подписания для Windows: 2–3 рабочих дня. Получение сертификата EV — 3–7 дней от CA (DigiCert, Sectigo).