Checklist de higiene de certificados de firma de código
Checklist puntuado en el navegador: protección de claves, proceso de firma, integridad de la cadena de suministro y preparación ante incidentes, con puntuación de 0 a 100.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Un certificado de firma de código es una clave que hace que tu software sea de confianza. Si esa clave se filtra, un atacante puede firmar malware que tus usuarios instalarán sin ninguna advertencia, así que los controles sobre dónde vive la clave, cómo firma, qué demuestra la firma y qué haces el día que se compromete importan más que el propio certificado. Recorres un checklist puntuado en cuatro áreas (protección de claves, proceso de firma, integridad de la cadena de suministro y preparación ante incidentes), basado en el requisito de claves en hardware del CA/Browser Forum, el sellado de tiempo RFC 3161 y la procedencia firmada de las compilaciones, y obtienes una puntuación ponderada de 0 a 100 con las carencias ordenadas para corregir primero las que más reducen tu radio de impacto. La protección de claves pesa más porque desde junio de 2023 el CA/Browser Forum exige que las claves de firma de código OV y EV vivan en hardware (un HSM o un token FIPS 140-2 nivel 2 o superior). No se sube nada, no se ejecuta ningún escaneo y no se introducen claves ni secretos; exporta a Markdown o CSV. Es una herramienta Pro.
- Responde las preguntas de protección de claves, proceso de firma, integridad de la cadena de suministro y preparación ante incidentes.
- Revisa tu puntuación ponderada de 0 a 100 y los pesos de cada área, que se muestran abiertamente.
- Trabaja las carencias priorizadas, empezando por las que más reducen el radio de impacto.
- Exporta el resultado a Markdown o CSV. No introduzcas claves ni secretos reales.
Preguntas frecuentes
¿Dónde debe guardarse una clave privada de firma de código?
En hardware: un HSM o un token de hardware FIPS 140-2 nivel 2 (o superior), generada en el propio dispositivo y marcada como no exportable. Desde junio de 2023 los requisitos básicos del CA/Browser Forum exigen almacenar en hardware las claves de los certificados de firma de código OV y EV. Una clave de firma guardada en un secreto de un pipeline de CI, en un archivo PFX/PKCS#12 en un servidor de compilación o en el portátil de un desarrollador es la mayor exposición individual en firma de código: cualquiera que la copie puede firmar malware en el que tus usuarios confiarán. La firma en la nube debe usar un servicio KMS/HSM gestionado que solo exponga una operación de firma, nunca la clave en bruto.
¿Por qué importa tanto el sellado de tiempo en la firma de código?
Una firma de código normalmente deja de ser válida en cuanto caduca el certificado de firma. Un sello de tiempo RFC 3161 de una autoridad de sellado de confianza registra CUÁNDO se hizo la firma, así que la firma sigue siendo válida mucho después de que caduque el certificado, siempre que se firmara mientras el certificado era válido. El sellado de tiempo es también lo que hace soportable una revocación: si una clave se compromete más tarde, la CA puede revocar con una fecha efectiva de compromiso, y las firmas selladas antes de esa fecha siguen siendo de confianza mientras se rechaza todo lo firmado después. Sin sellos de tiempo, la revocación invalida todo y la caducidad rompe el software ya distribuido.
¿Qué es la procedencia firmada y por qué no basta con una firma?
Una firma demuestra que quien tenía la clave firmó este artefacto exacto. No demuestra que el artefacto se compilara a partir de tu código fuente real con tu pipeline real: una clave robada puede firmar cualquier cosa. La procedencia firmada o atestación de compilación (procedencia SLSA, in-toto, Sigstore) vincula el artefacto firmado a un commit de código y un entorno de compilación concretos, para que quien lo consume pueda verificar no solo «esto lo firmó X» sino «esto se compiló desde este código con este pipeline». Junto con compilaciones reproducibles y un SBOM, la procedencia conecta la firma con una cadena de suministro de confianza, y solo sirve si los consumidores la verifican de verdad antes de confiar en el artefacto.
¿Es una auditoría de cumplimiento o asesoramiento legal?
No. Es una autoevaluación educativa y una heurística transparente para reflexionar de forma estructurada, no una auditoría de seguridad, certificación, prueba de penetración ni asesoramiento legal o de cumplimiento, y no escanea ni toca ningún sistema. Los pesos de cada área reflejan la lección generalmente aceptada de que la protección de claves y el proceso de firma son lo que más importa, y se muestran abiertamente para que los ajustes a tu entorno. Se ejecuta por completo en tu navegador y no debes introducir claves ni secretos reales. Los estándares citados (CA/Browser Forum, RFC 3161, SLSA, in-toto, Sigstore, CycloneDX, SPDX) se mencionan solo como orientación.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.