Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Windows Defender SmartScreen controlla la reputazione dei file scaricati prima di consentire l'esecuzione. Comprendere il funzionamento della reputazione consente di impostare le aspettative corrette per gli utenti e di scegliere la strategia di firma corretta.
Suggerimento
Il modo più semplice per evitare avvisi di SmartScreen consiste nel pubblicare tramite il Microsoft Store. Le app distribuite nello Store contengono il certificato di Microsoft e non sono mai soggette agli avvisi di download di SmartScreen. Tutti gli elementi di questo articolo si applicano alle app distribuite all'esterno dello Store.
Funzionamento della reputazione di SmartScreen
SmartScreen valuta due aspetti quando un utente scarica un file:
- Reputazione dell'editore: il certificato di firma proviene da un editore noto e affidabile?
- Reputazione del file hash: questo file specifico è stato scaricato da un numero sufficiente di utenti senza essere segnalato come dannoso?
Entrambi i segnali sono necessari per un'esperienza di download pulita (senza avviso). Un nuovo file binario firmato da un autore attendibile riceverà comunque un prompt di SmartScreen fino a quando l'hash non accumula una cronologia di download sufficiente.
La reputazione di SmartScreen è per ogni hash di file : ogni nuova build dell'app inizia con zero reputazione. La reputazione non viene trasferita dalle versioni precedenti.
Cosa è cambiato nel 2024: i certificati EV non ignorano più SmartScreen
Storicamente, i certificati di firma del codice di convalida estesa (EV) hanno concesso una reputazione SmartScreen immediata : un file binario con firma EV non visualizzerebbe alcun avviso anche al primo download. Questo comportamento è stato rimosso nel 2024 quando Microsoft ha aggiornato i requisiti del programma radice attendibile.
Comportamento corrente (a partire dal 2024):
| Tipo di certificato | Comportamento SmartScreen al primo download |
|---|---|
| Nessuna firma | ❌ Blocco forte — "Windows ha protetto il tuo PC"; potrebbe essere necessaria un'ulteriore conferma dell'utente prima che l'applicazione possa essere avviata. I criteri aziendali possono impedire completamente questa conferma. |
| Autofirmato | ❌ Blocco sicuro : certificato non attendibile per impostazione predefinita; stesso comportamento di unsigned |
| Certificato OV (convalidato dall'organizzazione) | ⚠️ Avviso — app contrassegnata come non riconosciuta fino a quando la reputazione non si accumula; il nome dell'editore viene visualizzato come verificato |
| Certificato EV (Validazione Estesa) | ⚠️ Avviso : uguale a OV per i nuovi file (non più bypass istantaneo) |
| Certificato di firma degli Artefatti di Azure (in precedenza Firma Attendibile) | ⚠️ Avviso per i nuovi file; la reputazione si accumula normalmente |
| Microsoft Store | ✅ Nessun avviso, coperto dal certificato di Microsoft |
I certificati EV forniscono comunque valore (richiedono una convalida dell'identità maggiore, che può essere importante per l'approvvigionamento aziendale), ma non forniscono più il bypass immediato di SmartScreen. Il pagamento di un premio per EV esclusivamente per evitare avvisi smartScreen non è più giustificato.
Opzioni del certificato e implicazioni di SmartScreen
Microsoft Store (scelta consigliata)
Le app pubblicate dallo Microsoft Store vengono rifirmate da Microsoft e hanno una piena reputazione. Gli utenti non visualizzeranno mai un avviso SmartScreen per un'app installata nello Store.
Firma Artefatti Azure (in precedenza Firma Attendibile)
Azure Firma di artefatti (in precedenza Firma Affidabile) è il servizio Microsoft di firma del codice consigliato per la distribuzione al di fuori dello Store:
- Costo: Circa $ 10 al mese - significativamente inferiore rispetto ai certificati CA tradizionali
- Nessun token hardware richiesto: si integra direttamente con le pipeline CI/CD (GitHub Actions, Azure DevOps)
- Identity validation required : Microsoft convalida l'identità dell'organizzazione prima di rilasciare i certificati
- Comportamento di SmartScreen: Uguale ai certificati OV: la reputazione si accumula nel tempo in base al volume di download
Certificati OV e EV da CA tradizionali
Vengono accettati anche i certificati di firma del codice tradizionali da autorità di certificazione (DigiCert, Sectigo e così via). I certificati OV costano in genere $ 150-300/anno; Certificati EV $400+/anno. Entrambi ora hanno un comportamento SmartScreen equivalente per i nuovi file.
Se si dispone già di un certificato OV o EV, rimane valido e funzionale. Se si acquista un nuovo certificato, Azure Artifact Signing (in precedenza Firma Attendibile) è generalmente la scelta migliore per la distribuzione di app Windows.
Cosa aspettarsi quando si pubblica una nuova app
- Primi download: Gli utenti possono visualizzare un prompt di SmartScreen che indica che l'app non è riconosciuta. Per le app firmate, viene visualizzato il nome dell'editore: l'avviso riguarda la scarsa reputazione dei file, non un editore sconosciuto. Gli utenti devono continuare solo dopo aver verificato l'origine.
- Durante l'accumulo dei download: La reputazione di SmartScreen si crea automaticamente. La richiesta verrà interrotta quando l'hash del file ha una cronologia di download sufficiente. In base ai report degli sviluppatori, questo richiede in genere several settimane e centinaia di installazioni pulite, senza una soglia esatta Microsoft pubblica.
- Nuova versione: Ogni nuova build inizia da capo — la reputazione non viene mantenuta dall'hash della versione precedente.
Non è possibile inviare manualmente un file per la verifica della reputazione di SmartScreen per gli endpoint consumer. La reputazione si costruisce in modo organico attraverso il volume di download.
Suggerimento
Per gli ambienti aziendali, gli amministratori IT possono inviare file per la revisione tramite il portale Microsoft Security Intelligence. Ciò può accelerare l'attendibilità per le distribuzioni interne o gestite, ma non influisce sul comportamento smartScreen del consumer.
Annotazioni
Gli ambienti aziendali gestiti da Microsoft Defender per endpoint o Windows Defender Controllo applicazioni (WDAC) possono avere un comportamento SmartScreen diverso a seconda della configurazione dei criteri. Gli amministratori IT possono consentire a specifici certificati dell'editore o hash di file di ignorare i controlli SmartScreen per i dispositivi gestiti.
Riduzione al minimo degli avvisi di SmartScreen in pratica
- Pubblica sul Microsoft Store dove possibile: questo è il modo più affidabile per evitare completamente gli avvisi
- Firmare ogni versione : i file non firmati mostrano un avviso SmartScreen più efficace rispetto ai file firmati e le aziende possono bloccare completamente i file binari non firmati
- Usare un'identità di firma coerente : la modifica del certificato di firma influisce sul segnale di attendibilità dell'editore; Si noti che anche l'hash di ogni nuova compilazione inizia senza reputazione di file indipendentemente dalla continuità del certificato
- Usare la firma di artefatti Azure (in precedenza firma attendibile) per la distribuzione non nello Store: è economica e si integra con pipeline di build automatizzate
- Comunicare con gli early adopter : per le nuove app, informare gli utenti beta che potrebbero visualizzare una richiesta SmartScreen al primo download e che devono continuare solo dopo aver verificato l'editore e confermando che considerano attendibile l'origine di download
Contenuti correlati
- Scegliere un percorso di distribuzione per l'app Windows
- Stato corrente delle funzionalità di distribuzione delle app Windows
- Firmare un pacchetto di un'app con SignTool
- Azure documentazione relativa alla firma degli artefatti (in precedenza firma attendibile
- Requisiti del programma radice attendibile di Microsoft
Collabora con noi su GitHub
L'origine di questo contenuto è disponibile in GitHub, in cui è anche possibile creare ed esaminare i problemi e le richieste pull. Per ulteriori informazioni, vedere la guida per i collaboratori.
