Jak zaoszczędziłem ok. 5 500 zł na podpisywaniu kodu Windows OV

Ten artykuł opiera się na prawdziwych próbach i błędach, przez które przeszedłem przygotowując wydanie aplikacji desktopowej na Windows. Pierwotnie opublikowałem fragmenty tej historii w koreańskiej społeczności deweloperów, a następnie przeorganizowałem ją tutaj. Ceny i polityki mogą się zmienić — zawsze sprawdzaj oficjalne strony przed zapłatą.

0. Jak to się zaczęło

Jestem byłym konsultantem, który nie wiedział nic o programowaniu — nie potrafiłem nawet wydrukować Hello World!, znałem tylko Ctrl+C / Ctrl+V w Excelu. Po zwolnieniu zacząłem eksperymentować z „vibe codingiem” z AI i zdecydowałem, że moim pierwszym projektem będzie ambitna aplikacja desktopowa.

Gdy w końcu próbowałem ją przekazać znajomym do testów na MacBookach i PC z Windowsem, wszyscy natknęli się na ten sam problem: nie dało się zainstalować. Wtedy dowiedziałem się, że aplikacje dystrybucyjne wymagają podpisu kodu i notaryzacji — dowodu, że plik nie został zmodyfikowany między deweloperem a użytkownikiem końcowym.

Proces i koszty okazały się znacznie trudniejsze, niż się spodziewałem.

1. Ile naprawdę kosztował mnie podpis i notaryzacja aplikacji

Strona Mac okazała się zaskakująco gładka.

• Rejestracja Apple Developer kosztuje ok. 400 zł rocznie ($99 USD).
• Po rejestracji przepływ pakowania → podpisywania → notaryzacji był płynniejszy niż oczekiwałem.
• Instalacja i automatyczne aktualizacje przez electron-updater działały niezawodnie od pierwszego dnia.

W moim przypadku, po rejestracji i podłączeniu Codex, cały łańcuch — pakowanie, podpis, wysyłka na serwer Apple, notaryzacja — działał niemal jak jeden pipeline. Instalator na MacBooku znajomego zadziałał bez problemu: brak ostrzeżenia „Niezidentyfikowany deweloper” i automatyczne aktualizacje od razu.

Ale Windows to zupełnie inna historia.

• Certyfikaty OV do podpisu kodu są drogie z natury.
• Przez lokalnego resellera cena jeszcze rośnie.
• Niektórzy dostawcy zmuszają do zakupu fizycznego klucza USB (np. YubiKey).
• Konieczność podpinania sprzętu przy każdym podpisie utrudnia automatyzację CI/CD.

2. Dlaczego podpisywanie kodu Windows OV jest tak trudne dla niezależnych deweloperów

Aby ominąć ostrzeżenia SmartScreen i blokady instalacji na Windowsie, potrzebny jest zaufany certyfikat — a to oznacza weryfikację biznesową, niezależnie czy jesteś jednoosobową działalnością czy spółką. W czasie mojego researchu certyfikaty dzieliły się na poziomy IV / OV / EV, a OV był realistycznym minimum do dystrybucji.

Problemem był model resellerów. Składają wniosek do CA, takich jak SSL.com czy DigiCert, w twoim imieniu, ale ich marża była absurdalna. Sam certyfikat był drogi, automatyzacja trudna, a na to jeszcze opłata za fizyczny klucz.

Dla kogoś takiego jak ja — kto bez AI nie napisze jednej linijki kodu — perspektywa podpinania USB i ręcznego podpisywania każdego builda była nie do przyjęcia.

Więc najpierw zapytałem społeczność.

• Czy naprawdę trzeba wydać ponad 2 800 zł na certyfikat OV/EV, żeby dystrybuować aplikację Windows? (Clien)

Ogólna odpowiedź brzmiała „tak, tak to działa” — ale nie mogłem tego zaakceptować.

3. Alternatywa z Reddita: bezpośredni zakup SSL.com + Cloud eSigner

Kluczowa wskazówka przyszła z anglojęzycznych społeczności deweloperów. AI dawał zbyt ogólne odpowiedzi, ale na Reddicie ludzie z prawdziwym doświadczeniem w dystrybucji aplikacji Windows dzielili się znacznie bardziej praktycznymi alternatywami.

Na początku Azure Trusted Signing od Microsoftu też wyglądał obiecująco — dobra cena i automatyzacja. Ale w momencie sprawdzania był dostępny głównie dla indywidualnych deweloperów w Kanadzie i USA.

Ostatecznie wybrałem kombinację SSL.com bezpośredni zakup + Cloud eSigner.

Ceny, które znalazłem w tamtym czasie:

• Z tradycyjnym kluczem USB łączny koszt wynosił ok. $500.
• Ale pakiet certyfikat OV $128 + Cloud eSigner $20/mies. wyglądał na nowszy, bardziej elastyczny plan.
• To wydawała się najtańsza opcja, najlepiej dopasowana do automatyzacji.

Trzy powody, dla których to podejście się wyróżniło:

1. Marża resellera całkowicie wyeliminowana.
2. Brak oczekiwania tygodniami na wysyłkę fizycznego klucza USB.
3. Otwarta droga do automatyzacji podpisywania z Codex.

4. Prawdziwa przeszkoda przy wydawaniu certyfikatu SSL.com

Cloud eSigner sam w sobie jest atrakcyjną usługą. Miesięczna subskrypcja może wyglądać na marnotrawstwo, ale eliminuje fizyczne klucze i dobrze działa z automatyzacją.

Prawdziwym wyzwaniem był sam proces wydania:

• Dokumenty rejestracji firmy
• Weryfikacja tożsamości osobistej
• Dowód, że jestem prawdziwą osobą
• Dowód, że moja firma istnieje

Po przejściu tego wszystkiego, SSL dodał jeszcze jedno wymaganie: numer D-U-N-S do weryfikacji adresu, telefonu i e-maila.

Nie mogłem nie pomyśleć: skoro to obowiązkowy krok, dlaczego nie wspominali o tym od początku?

5. Przełom: wniosek o D-U-N-S przez Apple Developer

Samodzielne uzyskanie numeru D-U-N-S może wiązać się z dodatkowymi kosztami i biurokracją. Znów utknąłem i zacząłem się zastanawiać, czy mój „budżetowy bezpośredni zakup” nie skończy się drożej niż ścieżka resellera.

Ale Reddit znów uratował sytuację. Ktoś podzielił się wskazówką:

Jeśli jesteś już zarejestrowany jako Apple Developer, Apple może połączyć cię z D&B, aby złożyć wniosek o D-U-N-S w celu weryfikacji biznesowej.

Oficjalny dokument, którego użyłem:

• Poradnik Apple Developer D-U-N-S dla członków

To ważne, bo deweloperzy, którzy już komercjalizują aplikacje w ekosystemie Apple, mogą ponownie wykorzystać te same dane firmowe. W moim przypadku udało mi się stosunkowo szybko uzyskać numer D-U-N-S na firmę "K-garoo Works".

Bez przesady — to uratowało mnie przed wydaniem jeszcze większych pieniędzy, szukając najtańszej ścieżki do certyfikatu Windows.

6. Uzyskanie D-U-N-S nie było końcem

Dzięki Apple otrzymałem numer D-U-N-S dość szybko. Ale to nie był koniec.

Gdy przekazałem numer do SSL, powiedzieli, że nie mogą go zweryfikować. Sam sprawdziłem publiczne strony wyszukiwania i odkryłem, że firmy spoza USA często nie były prawidłowo zarejestrowane — linki wyglądały na aktywne, ale faktyczna weryfikacja nie przechodziła.

Sytuacja wyglądała tak:

• Widoczny w moim koncie Apple ✓
• Widoczny na panelu D&B podmiotu wydającego ✓
• Ale publiczne linki weryfikacyjne dla stron trzecich nie działały lub były niestabilne ✗

Jeśli numer istnieje, ale nie może być publicznie zweryfikowany — jaki ma sens?

7. Znalezienie ostatniej ścieżki weryfikacji i otrzymanie certyfikatu

Później dowiedziałem się, że od końca grudnia poprzedniego roku spór między europejskimi politykami udostępniania danych a operacjami amerykańskimi zablokował wiele publicznych linków D&B — nawet gdy wyglądały na aktywne.

Przez trzy dni komunikowałem się ze wsparciem SSL, próbując każdej opcji, aż — wraz z agentem wsparcia — znaleźliśmy ścieżkę weryfikacji, która jeszcze działała. Niektóre ścieżki weryfikacji biznesowej związane z handlem nadal obsługiwały zapytania D-U-N-S.

• Dun & Bradstreet Wsparcie / Zgłoś sprawę

Po trzech dniach pracy ze wsparciem SSL w końcu otrzymałem certyfikat i mogłem skonfigurować Cloud eSigner. Z pomocą Codex.

Dla kogo to podejście działa najlepiej?

Ten poradnik jest szczególnie istotny, jeśli:

• Masz już członkostwo Apple Developer i dystrybucja na Macu jest w dużej mierze rozwiązana
• Jesteś samodzielnym deweloperem lub małym zespołem, który musi wydać instalator Windows
• Uważasz opłaty resellerów za wygórowane i chcesz się zgłosić bezpośrednio
• Chcesz zautomatyzować podpisywanie w ramach pipeline’u CI/CD

Z drugiej strony, jeśli twoja struktura korporacyjna jest złożona lub wymagania weryfikacyjne zmieniają się często w zależności od kraju, może być szybciej skontaktować się bezpośrednio z oficjalnym wsparciem od początku.

Kluczowy wniosek

Gdybym miał podsumować tę całą podróż jednym zdaniem:

Najtrudniejsze w podpisywaniu kodu Windows OV nie było zdecydowanie, gdzie kupić certyfikat — ale znalezienie sposobu na jak najtańsze i najefektywniejsze przejście weryfikacji biznesowej i D-U-N-S.

Kolejność, którą faktycznie zastosowałem:

1. Najpierw załatwić stronę Mac z Apple Developer.
2. Dla Windowsa nie skakać do resellera, lecz sprawdzić opcje bezpośredniego zakupu.
3. Ocenić kombinację SSL.com bezpośredni zakup + Cloud eSigner.
4. Skorzystać ze ścieżki Apple Developer do wnioskowania o D-U-N-S.
5. W razie potrzeby sprawdzić ścieżkę wsparcia D&B do finalnej weryfikacji.

Szybkie odnośniki

Najczęściej zadawane pytania

Czy muszę kupić certyfikat podpisu kodu Windows OV od resellera?

Z mojego osobistego doświadczenia — nie, niekoniecznie. Ale ponieważ wymagania weryfikacji i polityki wydania mogą się zmieniać, na wszelki wypadek sprawdzaj oficjalną stronę tuż przed zapłatą.

Czy mogę dostać D-U-N-S za darmo z kontem Apple Developer?

Ścieżka, z której skorzystałem, to wniosek jako istniejący członek Apple Developer o weryfikację biznesową na potrzeby komercjalizacji aplikacji. Nie stosuje się automatycznie do wszystkich przypadków — sprawdź wytyczne Apple i D&B przed rozpoczęciem.