Servidor de sellado de tiempo global para firma de código
Alcance del documento
Este documento recopila los servicios de sellado de tiempo aplicables a la firma de código, con un enfoque en los escenarios de Microsoft Authenticode y RFC 3161.
- Fecha de verificación: 2026-06-18.
- Solo se listan como endpoints públicos las direcciones que se pueden confirmar a partir de los materiales oficiales de los proveedores.
- Este documento no es una lista exhaustiva de todos los servicios de sellado de tiempo a nivel mundial. Los servicios con endpoints no públicos, que requieren activación comercial o que ofrecen únicamente productos de implementación local se describen por separado.
- La disponibilidad de los servicios de sellado de tiempo, las cadenas de certificados y las políticas de acceso pueden cambiar; se debe revisar la documentación más reciente del proveedor antes de la configuración en producción.
Protocolos de sellado de tiempo
Existen dos protocolos comunes de sellado de tiempo para la firma de código:
| Protocolo | Descripción |
|---|---|
| Authenticode | Protocolo tradicional de sellado de tiempo de Microsoft, utilizado principalmente para la compatibilidad con flujos de firma de código de Windows heredados. |
| RFC 3161 | Protocolo general de sellado de tiempo, adecuado para escenarios modernos de firma de código; se recomienda su uso prioritario en entornos de producción. |
Las solicitudes RFC 3161 envían el resumen de los datos que se van a sellar, no el archivo original. La TSA devuelve un token de sellado de tiempo que incluye el resumen, la hora de emisión, la política y la firma de la TSA. El sellado de tiempo puede demostrar que una firma ya existía en un momento específico, pero la validez a largo plazo de la firma sigue dependiendo del certificado de firma, del certificado de sellado de tiempo, del estado de revocación y de las políticas del verificador.
Endpoints públicos de sellado de tiempo para firma de código
Las siguientes direcciones cuentan con documentación oficial actual que las especifica claramente y pueden considerarse candidatas para la firma de código. "Público" en la tabla solo significa que el proveedor ha publicado el endpoint, no implica que el proveedor garantice un uso ilimitado, sin condiciones o gratuito de forma permanente.
| Proveedor | Dirección | Authenticode | RFC 3161 | Notas de acceso | Documentación oficial |
|---|---|---|---|---|---|
| Microsoft Artifact Signing | http://timestamp.acs.microsoft.com | No confirmado | ✅ | Microsoft recomienda que los usuarios de Artifact Signing utilicen esta TSA. Adecuada como candidata RFC 3161 para Windows. | Microsoft Artifact Signing |
| Sectigo | http://timestamp.sectigo.com | ✅ | ✅ | La misma dirección admite tanto Authenticode como RFC 3161. Los requisitos oficiales indican un intervalo mínimo de 15 segundos entre solicitudes para llamadas por lotes. | Sectigo Time Stamp Server |
| DigiCert | http://timestamp.digicert.com | No confirmado | ✅ | Oficialmente designado para sellado de tiempo RFC 3161 de Microsoft Authenticode. | DigiCert RFC 3161 TSA |
| Certum | http://time.certum.pl | ✅ | ✅ | La documentación oficial de firma de código de Certum utiliza esta dirección para la firma de código de Windows y la firma de JAR de Java. | Certum Code Signing |
| GlobalSign | http://timestamp.globalsign.com/tsa/r45standard | No confirmado | ✅ | La documentación actual de firma de código de GlobalSign utiliza esta dirección R45. | GlobalSign Code Signing in Windows |
| SSL.com | http://ts.ssl.com | ❌ | ✅ | Solo admite RFC 3161. La marca de tiempo predeterminada puede usar claves ECDSA; las herramientas antiguas que solo admiten marcas de tiempo RSA pueden evaluar la dirección /legacy según las instrucciones oficiales. | SSL.com Using Your Code Signing Certificate |
Orden recomendado
Para la firma de código SHA-2, se recomienda evaluar en el siguiente orden:
- Microsoft: Adecuado como candidato de marca de tiempo RFC 3161 para Windows.
- Sectigo: Admite tanto Authenticode como RFC 3161.
- DigiCert: Soporte oficial explícito para Microsoft Authenticode RFC 3161.
- Certum: La documentación oficial de firma de código cubre escenarios de firma tanto para Windows como para Java.
- GlobalSign: Usar la dirección
r45standardde la documentación oficial actual. - SSL.com: Usar solo si el llamador admite RFC 3161 y se confirma que puede verificar su certificado de marca de tiempo y tipo de clave.
El orden indica el grado de compatibilidad con escenarios comunes de firma de código en Windows, y no constituye una garantía de calidad de servicio, validez legal o nivel comercial. En entornos de producción, la selección debe basarse en el sistema operativo objetivo, la salida de red, la cadena de verificación, la accesibilidad regional y los acuerdos de servicio del proveedor.
Servicios restringidos o específicos de ecosistemas
QuoVadis
QuoVadis ha publicado las siguientes direcciones RFC 3161:
http://ts.quovadisglobal.com/euhttp://ts.quovadisglobal.com/ch
Los requisitos oficiales exigen registrar la IP de salida del llamador con DigiCert antes de su uso, por lo que no puede usarse como una TSA pública anónima. Antes de la integración, se debe completar la autorización y confirmar que la estrategia seleccionada y la cadena de certificados cumplen con el entorno de verificación objetivo.
Documentación oficial: Servidor de Marca de Tiempo DigiCert/QuoVadis
Apple
Apple opera su propia PKI de marcas de tiempo y publica públicamente la Apple Timestamp CA y sus CPS asociados. http://timestamp.apple.com/ts01 se utiliza para el ecosistema de firma de código de Apple y no debe considerarse un candidato genérico para Windows Authenticode.
Documentación oficial: PKI de Apple
Servicios RFC 3161 públicos o de prueba
Los siguientes servicios proporcionan endpoints públicos RFC 3161, pero su alcance de uso, cuotas de llamadas o cadena de confianza no son adecuados como un servicio de firma de código de producción genérico. Antes de su uso, debe verificarse la cadena de certificados de marca de tiempo en el entorno de validación objetivo.
| Proveedor | Dirección | Alcance de aplicación | Limitaciones | Documentación oficial |
|---|---|---|---|---|
| MeSign | http://tsa.mesign.com | Firma de documentos, archivo de datos electrónicos y prueba del protocolo RFC 3161 | El servicio gratuito oficial de prueba está orientado a la marca de tiempo de documentos de Adobe, con un límite de 20 veces por IP al día. La compatibilidad con la firma de código debe verificarse por separado. | MeSign TSA |
| FreeTSA | https://freetsa.org/tsr | Pruebas de protocolo RFC 3161, marcas de tiempo para datos generales y código | Servicio público gratuito que utiliza sus propios certificados CA y TSA; no debe asumirse que los sistemas operativos o validadores de firma de código objetivo confían en ellos por defecto. | FreeTSA |
Servicios que no deben listarse directamente como endpoints públicos de firma de código
Los siguientes tipos difieren de una "TSA pública de firma de código configurable directamente":
- Entrust: La página oficial actual describe un producto de Autoridad de Marca de Tiempo local basado en RFC 3161/RFC 5816, y no se confirma en esa página que
http://timestamp.entrust.net/TSS/RFC3161sha2TSsea un endpoint público de firma de código. - TSA comerciales de China continental: Proveedores como GDCA, CFCA, 安信 CA, SmartCert y TrustAsia ofrecen productos de marca de tiempo o herramientas de firma, pero las páginas públicas de productos generalmente no proporcionan una URL de producción unificada invocable de forma anónima. Los endpoints, métodos de autenticación, OID de políticas, límites de tarifa y SLA deben obtenerse mediante adquisición, contratos o soporte técnico del proveedor.
- Autoridad de Marca de Tiempo Sigstore: Esta es una implementación de código abierto desplegable de TSA RFC 3161, no equivale a un endpoint global público fijo.
- Direcciones antiguas de GlobalSign:
http://timestamp.globalsign.com/tsa/r6advanced1yhttp://rfc3161timestamp.globalsign.com/advancedno figuran en la documentación actual de firma de código de GlobalSign. Debe utilizarse la direcciónr45standardpublicada actualmente. - StartSSL:
http://tsa.startssl.com/rfc3161no dispone de documentación oficial vigente que pueda confirmarse y no debe seguir utilizándose. - Dirección de ejemplo de nCipher:
http://dse200.ncipher.com/TSS/HttpTspServercorresponde más bien a un sistema histórico de demostración o prueba; no hay documentación que respalde su uso actual como servicio público de producción. - Direcciones cuyo origen y políticas operativas no están claros:
https://ca.signfiles.com/tsa/get.aspx,http://services.globaltrustfinder.com/adss/tsayhttps://tsp.iaik.tugraz.at/tsp/TspRequestcarecen de documentación oficial vigente suficiente, políticas de confianza o garantías de disponibilidad y no deben incluirse entre los candidatos de producción. - Otras TSA de redes académicas pueden utilizarse para probar el protocolo, pero carecen de documentación suficiente que garantice su uso en firma de código en producción; no se recomienda utilizarlas como servicio predeterminado de producción.
Comprobaciones de integración en producción
Antes de añadir una TSA a la lista predeterminada o a la cadena de respaldo de producción, confirme al menos lo siguiente:
- La documentación oficial del proveedor publica explícitamente el endpoint y los protocolos compatibles.
- Se utiliza el protocolo de sellado de tiempo correcto; una dirección que solo admita RFC 3161 no puede utilizarse para solicitudes Authenticode.
- Se utiliza SHA-256 o un algoritmo de resumen de sellado de tiempo más fuerte, y la plataforma de destino es compatible con el algoritmo de firma y el tipo de clave de la TSA.
- Se comprueba la cadena completa del certificado de sellado de tiempo en el entorno de verificación Windows, macOS u otro de destino.
- La red de salida, el proxy, el cortafuegos y el DNS permiten acceder al endpoint de forma estable.
- Se confirman el método de autenticación, los límites de velocidad, las condiciones del servicio, las restricciones regionales y el SLA.
- Se verifica un artefacto firmado real; el acceso mediante un navegador o un código de estado HTTP no bastan para determinar que la TSA esté disponible.