Signer un package d’application Windows 10

La signature de package d’application est une étape obligatoire lors de la création d’un package d’application Windows 10 qui peut être déployé. Windows 10 exige que toutes les applications soient signées avec un certificat de signature de code valide.

Pour installer une application Windows 10, il ne suffit pas que le package soit signé ; il faut aussi qu’il soit approuvé sur l’appareil. Cela signifie que le certificat doit être chaîné à l’une des racines de confiance sur l’appareil. Par défaut, Windows 10 approuve les certificats provenant de la plupart des autorités de certification qui fournissent des certificats de code de signature.

En outre, si vous créez un bundle MSIX, il n’est pas nécessaire de signer tous les packages dans le bundle individuellement. Seul le bundle doit être signé, et tous les packages à l’intérieur sont signés de manière récursive.

Rubrique	Description
Prérequis pour la signature	Cette section traite des prérequis pour signer le package d’application Windows 10.
Utilisation de SignTool	Cette section explique comment utiliser l’outil SignTool du SDK Windows 10 pour signer le package d’application.
Signer un package MSIX avec la signature Device Guard	Cette section explique comment signer votre application avec la signature Device Guard.
Création de packages non signés à des fins de test	Cette section explique comment créer un package msix non signé.

Horodatage

Il est vivement recommandé d’utiliser l’horodatage lors de la signature de votre application avec un certificat. L’horodatage conserve la signature permettant au package d’application d’être accepté par la plateforme de déploiement d’application, même après l’expiration du certificat. Au moment de l’inspection du package, l’horodatage permet de valider la signature du package par rapport à l’heure à laquelle il a été signé. Ainsi, les packages peuvent être acceptés même une fois que le certificat n’est plus valide. Les packages qui ne sont pas horodatés sont évalués par rapport à l’heure actuelle, et si le certificat n’est plus valide, Windows n’accepte pas le package.

Voici les différents scénarios de signature d’application avec/sans horodatage :

Scénario	L’application est signée sans horodatage	L’application est signée avec un horodatage
Le certificat est valide	L’application est installée	L’application est installée
Le certificat n’est pas valide (il a expiré)	L’application n’est pas installée	L’application est installée, car l’authenticité du certificat a été vérifiée lors de la signature par une autorité d’horodatage

Remarque

Si l’application est correctement installée sur un appareil, elle continuera à s’exécuter même après l’expiration du certificat, qu’elle ait été horodatée ou non.

Application de l’intégrité du package

En plus de s’assurer que seules les applications approuvées sont installées sur un appareil, un avantage supplémentaire de signer un package MSIX est qu’il permet à Windows d’appliquer l’intégrité de votre package et son contenu après son déploiement sur un appareil. En chaînant vers AppxBlockMap.xml et AppxSignature.p7x dans un package signé, Windows est en mesure d’effectuer des case activée de validation sur l’intégrité d’un package et de son contenu lors de l’exécution, et pendant les analyses Windows Defender. Si un package est considéré comme falsifié, Windows bloque le lancement de l’application et lance un workflow de correction pour obtenir le package réparé ou réinstallé. Pour les packages non distribués via le Microsoft Store, l’intégrité du package est appliquée si le package déclare l’élément uap10 :PackageIntegrity et est déployé sur Windows 2004 et versions ultérieures. Voici un exemple de déclaration d’application de l’intégrité du package dans AppxManifest.xml :

<Package ...
xmlns:uap10="http://schemas.microsoft.com/appx/manifest/uap/windows10/10"  
IgnorableNamespaces="uap10">
...
  <Properties>
    <uap10:PackageIntegrity>
      <uap10:Content Enforcement="on" />
    </uap10:PackageIntegrity>
  </Properties>
...
</Package>

Mode de l’appareil

Windows 10 permet aux utilisateurs de sélectionner le mode dans lequel exécuter leur appareil dans l’application Paramètres. Les modes sont les suivants : Applications du Microsoft Store, Charger une version test des applications et Mode développeur.

Applications du Microsoft Store est le mode le plus sécurisé, car il autorise uniquement l’installation des applications à partir du Microsoft Store. Les applications du Microsoft Store passent par un processus de certification qui garantit que leur utilisation est sans danger.

Charger une version test des applications et Mode développeur sont plus permissifs quant aux applications signées par d’autres certificats, tant que ces certificats sont approuvés et chaînés à l’une des racines de confiance sur l’appareil. Sélectionnez le mode développeur uniquement si vous êtes un développeur et que vous générez ou déboguez des applications Windows 10. Vous trouverez plus d’informations sur le mode développeur et ses caractéristiques ici.

Remarque

À compter de Windows 10 version 2004, l’option Chargement indépendant est activée par défaut. Par conséquent, le mode développeur est désormais un bouton bascule. Les entreprises peuvent toujours désactiver le chargement indépendant par le biais d’une stratégie.