Cara saya menghemat sekitar Rp 22 juta untuk code signing Windows OV

Artikel ini berdasarkan percobaan dan kesalahan nyata yang saya alami saat mempersiapkan peluncuran aplikasi desktop Windows. Awalnya saya memposting sebagian cerita ini di komunitas developer Korea lalu menyusun ulang di sini. Harga dan kebijakan bisa berubah kapan saja — selalu cek halaman resmi sebelum membayar.

0. Bagaimana semuanya dimulai

Saya mantan konsultan yang tidak tahu apa-apa soal programming — bahkan tidak bisa print Hello World!, hanya tahu Ctrl+C / Ctrl+V di Excel. Setelah di-PHK, saya mulai bereksperimen dengan “vibe coding” bantuan AI dan memutuskan proyek pertama saya adalah aplikasi desktop yang ambisius.

Ketika akhirnya saya coba bagikan ke teman-teman untuk diuji di MacBook dan PC Windows, semua menemui masalah yang sama: tidak bisa di-install. Saat itulah saya baru tahu bahwa aplikasi yang didistribusikan memerlukan code signing dan notarization — bukti bahwa file tidak dimodifikasi antara developer dan pengguna akhir.

Proses dan biayanya ternyata jauh lebih berat dari yang saya bayangkan.

1. Berapa sebenarnya biaya signing dan notarization aplikasi

Sisi Mac ternyata surprisingly lancar.

• Pendaftaran Apple Developer sekitar Rp 1,5 juta per tahun ($99 USD).
• Setelah mendaftar, alur packaging → signing → notarization lebih mulus dari yang saya kira.
• Instalasi dan auto-update via electron-updater bekerja reliabel sejak hari pertama.

Dalam kasus saya, setelah mendaftar dan menghubungkan Codex, seluruh rantai — packaging, signing, submit ke server Apple, notarization — berjalan hampir seperti satu pipeline. Installer bekerja lancar di MacBook teman: tanpa peringatan “Unknown Developer” dan auto-update langsung aktif.

Tapi Windows ceritanya benar-benar berbeda.

• Sertifikat OV code signing sudah mahal dari awal.
• Lewat reseller lokal, harganya makin melonjak.
• Beberapa vendor memaksa beli USB security key fisik (seperti YubiKey).
• Harus colok hardware setiap signing membuat otomasi CI/CD jadi menyusahkan.

2. Mengapa Windows OV code signing begitu menyakitkan bagi indie developer

Untuk menghindari peringatan SmartScreen dan pemblokiran instalasi di Windows, dibutuhkan sertifikat tepercaya — dan itu berarti lolos verifikasi bisnis, baik itu usaha perorangan maupun PT. Saat saya riset, sertifikat punya level IV / OV / EV, dan OV adalah minimum realistis untuk distribusi.

Masalahnya ada di model reseller. Mereka mengajukan ke CA seperti SSL.com atau DigiCert atas nama Anda, tapi margin mereka tidak masuk akal. Sertifikatnya sendiri sudah mahal, otomasi sulit, dan di atas itu masih dikenai biaya key fisik.

Bagi seseorang seperti saya — yang tidak bisa menulis satu baris kode tanpa AI agent — harus colok USB dan signing manual setiap build itu benar-benar dealbreaker.

Jadi saya tanya komunitas developer dulu.

• Apakah benar harus keluar lebih dari Rp 11 juta untuk sertifikat OV/EV agar bisa distribusi aplikasi Windows? (Clien)

Jawaban umum: “ya, memang begitu” — tapi saya menolak menerima itu.

3. Alternatif yang saya temukan di Reddit: pembelian langsung SSL.com + Cloud eSigner

Petunjuk penting datang dari komunitas developer berbahasa Inggris. AI cenderung memberikan jawaban terlalu umum, tapi di Reddit, orang-orang yang benar-benar pernah merilis aplikasi Windows berbagi alternatif yang jauh lebih praktikal.

Awalnya Azure Trusted Signing dari Microsoft juga tampak menjanjikan — harga bagus dan otomasi solid. Tapi saat saya cek, layanan ini terutama tersedia untuk developer perorangan di Kanada dan AS.

Yang akhirnya saya pilih adalah kombinasi SSL.com pembelian langsung + Cloud eSigner.

Harga yang saya temukan saat itu:

• Dengan setup USB key tradisional, total biaya rasanya sekitar $500.
• Tapi paket sertifikat OV $128 + Cloud eSigner $20/bulan tampak sebagai plan yang lebih baru dan fleksibel.
• Ini terasa sebagai opsi termurah dan paling ramah otomasi.

Tiga alasan pendekatan ini menonjol:

1. Margin reseller dihilangkan sepenuhnya.
2. Tidak perlu menunggu berminggu-minggu pengiriman USB key.
3. Membuka jalan otomasi signing dengan Codex.

4. Hambatan nyata saat penerbitan sertifikat SSL.com

Cloud eSigner sendiri adalah layanan yang menarik. Langganan bulanan mungkin terlihat boros, tapi menghilangkan kebutuhan key fisik dan bekerja baik dengan otomasi.

Bagian yang benar-benar sulit adalah proses penerbitannya:

• Dokumen registrasi bisnis
• Verifikasi identitas pribadi
• Bukti bahwa saya orang nyata
• Bukti bahwa bisnis saya benar-benar ada

Setelah melewati semua itu, SSL menambahkan satu syarat lagi: berikan nomor D-U-N-S untuk verifikasi alamat, telepon, dan email.

Saya berpikir: kalau ini langkah wajib, kenapa tidak disebutkan dari awal?

5. Breakthroughnya: mengajukan D-U-N-S lewat Apple Developer

Mendapatkan nomor D-U-N-S secara mandiri bisa melibatkan biaya dan urusan birokrasi tambahan. Saya mentok lagi dan mulai bertanya-tanya apakah “pembelian langsung hemat” ini akhirnya malah lebih mahal dari jalur reseller.

Tapi Reddit menyelamatkan lagi. Seseorang berbagi tips ini:

Kalau sudah terdaftar sebagai Apple Developer, Apple bisa menghubungkan Anda dengan D&B untuk mengajukan nomor D-U-N-S dalam rangka verifikasi bisnis.

Dokumen resmi yang saya gunakan:

• Panduan Apple Developer D-U-N-S untuk anggota

Ini penting karena developer yang sudah mengomersialisasi aplikasi di ekosistem Apple bisa menggunakan ulang informasi bisnis yang sama. Dalam kasus saya, saya bisa mendapatkan nomor D-U-N-S atas nama "K-garoo Works" relatif cepat melalui jalur ini.

Tanpa berlebihan — inilah yang menyelamatkan saya dari menghabiskan lebih banyak uang saat mencari jalur sertifikat Windows termurah.

6. Mendapatkan nomor D-U-N-S bukan akhir cerita

Berkat Apple, saya menerima nomor D-U-N-S cukup cepat. Tapi itu bukan akhirnya.

Ketika saya submit nomornya ke SSL, mereka bilang tidak bisa memverifikasinya. Saya cek sendiri di situs lookup publik dan mendapati bisnis di luar AS sering tidak terdaftar dengan benar — linknya tampak aktif, tapi verifikasi sebenarnya gagal.

Situasinya seperti ini:

• Terlihat di akun Apple saya ✓
• Terlihat di dashboard D&B entitas penerbit ✓
• Tapi link verifikasi publik pihak ketiga tidak berfungsi atau tidak stabil ✗

Kalau nomor ada tapi tidak bisa diverifikasi publik, apa gunanya?

7. Menemukan jalur verifikasi terakhir dan mendapatkan sertifikat

Belakangan saya tahu bahwa sejak akhir Desember tahun sebelumnya, perselisihan antara kebijakan berbagi data Eropa dan operasi AS telah memblokir banyak link lookup publik D&B — bahkan yang tampak aktif.

Tiga hari saya berkomunikasi dengan support SSL, mencoba setiap cara, sampai — bersama seorang agen support — kami menemukan jalur verifikasi yang masih berfungsi. Beberapa jalur verifikasi bisnis terkait perdagangan masih mendukung query berbasis D-U-N-S.

• Dun & Bradstreet Support / Kirim Kasus

Setelah tiga hari bekerja dengan support SSL, akhirnya saya mendapatkan sertifikat dan bisa menyiapkan Cloud eSigner. Dengan bantuan Codex.

Untuk siapa pendekatan ini paling cocok?

Panduan ini sangat relevan jika Anda:

• Sudah punya keanggotaan Apple Developer dan distribusi Mac sudah sebagian besar beres
• Developer solo atau tim kecil yang perlu merilis installer Windows
• Merasa biaya reseller terlalu mahal dan ingin mengajukan langsung
• Ingin mengotomasi signing sebagai bagian dari pipeline CI/CD

Di sisi lain, jika struktur korporat Anda kompleks atau persyaratan verifikasi spesifik negara sering berubah, mungkin lebih cepat langsung bekerja dengan support resmi dari awal.

Kesimpulan utama

Kalau harus merangkum seluruh perjalanan ini dalam satu kalimat:

Yang paling sulit dalam Windows OV code signing bukan menentukan di mana membeli sertifikat — tapi mencari tahu cara melewati verifikasi bisnis dan D-U-N-S semurah dan seefisien mungkin.

Urutan yang benar-benar saya ikuti:

1. Selesaikan sisi Mac dulu dengan Apple Developer.
2. Untuk Windows, jangan langsung ke reseller — lihat opsi pembelian langsung.
3. Evaluasi kombinasi SSL.com pembelian langsung + Cloud eSigner.
4. Gunakan jalur Apple Developer untuk mengajukan D-U-N-S.
5. Jika perlu, cek jalur support D&B untuk verifikasi akhir.

Link referensi cepat

Pertanyaan yang sering diajukan

Apakah sertifikat code signing Windows OV harus dibeli lewat reseller?

Dari pengalaman pribadi saya — tidak harus. Tapi karena kebijakan verifikasi dan penerbitan bisa berubah, pastikan untuk cek halaman resmi tepat sebelum membayar.

Bisakah mendapatkan D-U-N-S gratis dengan akun Apple Developer?

Jalur yang saya gunakan adalah mengajukan sebagai anggota Apple Developer yang sudah ada untuk verifikasi bisnis dalam rangka komersialisasi aplikasi. Ini tidak otomatis berlaku di semua kasus — cek panduan Apple dan D&B sebelum memulai.