Serveurs d'horodatage mondiaux pour la signature de code

Portée du document

Cet article répertorie les services d'horodatage adaptés à la signature de code, en se concentrant sur les scénarios Microsoft Authenticode et RFC 3161.

• Date de vérification : 2026-06-18.
• Seules les adresses pouvant être confirmées à partir des documents officiels des fournisseurs sont répertoriées comme points de terminaison publics.
• Cet article n'est pas une liste exhaustive de tous les services d'horodatage dans le monde. Les services dont les points de terminaison ne sont pas publics, qui nécessitent une activation commerciale ou qui proposent uniquement des produits de déploiement local sont décrits séparément.
• La disponibilité des services d'horodatage, les chaînes de certificats et les politiques d'accès peuvent évoluer. Vous devez revérifier la documentation la plus récente du fournisseur avant toute configuration en production.

Protocoles d'horodatage

Deux protocoles d'horodatage sont couramment utilisés pour la signature de code :

Protocole	Description
Authenticode	Protocole d'horodatage traditionnel de Microsoft, principalement utilisé pour la compatibilité avec les anciens processus de signature de code Windows.
RFC 3161	Protocole d'horodatage universel, adapté aux scénarios modernes de signature de code. À privilégier en environnement de production.

Une requête RFC 3161 envoie le condensé des données à horodater, et non le fichier original. L'AC d'horodatage renvoie un jeton d'horodatage contenant le condensé, l'heure d'émission, la politique et la signature de l'AC d'horodatage. L'horodatage peut prouver que la signature existait à un moment donné, mais la validité à long terme de la signature dépend toujours du certificat de signature, du certificat d'horodatage, de l'état de révocation et de la politique du vérificateur.

Points de terminaison publics d'horodatage pour la signature de code

Les adresses suivantes sont toutes explicitement documentées dans les documents officiels actuels et peuvent être utilisées comme candidats pour la signature de code. Dans le tableau, « public » signifie uniquement que le fournisseur a publié le point de terminaison, et ne constitue pas un engagement du fournisseur à une utilisation illimitée, inconditionnelle ou gratuite à perpétuité.

Fournisseur	Adresse	Authenticode	RFC 3161	Instructions d'accès	Documentation officielle
Microsoft Artifact Signing	http://timestamp.acs.microsoft.com	Non confirmé	✅	Microsoft recommande aux utilisateurs d'Artifact Signing d'utiliser cette AC d'horodatage. Convient comme candidat RFC 3161 pour Windows.	Microsoft Artifact Signing
Sectigo	http://timestamp.sectigo.com	✅	✅	La même adresse prend en charge Authenticode et RFC 3161. Le fournisseur exige un intervalle d'au moins 15 secondes entre chaque requête lors d'appels en masse.	Sectigo Time Stamp Server
DigiCert	http://timestamp.digicert.com	Non confirmé	✅	Officiellement documenté pour l'horodatage RFC 3161 Microsoft Authenticode.	DigiCert RFC 3161 TSA
Certum	http://time.certum.pl	✅	✅	La documentation officielle de signature de code Certum utilise cette adresse pour la signature de code Windows et la signature de JAR Java.	Certum Code Signing
GlobalSign	http://timestamp.globalsign.com/tsa/r45standard	Non confirmé	✅	La documentation actuelle de signature de code GlobalSign utilise cette adresse R45.	GlobalSign Code Signing in Windows
SSL.com	http://ts.ssl.com	❌	✅	Prend uniquement en charge RFC 3161. L’horodatage par défaut peut utiliser une clé ECDSA ; les anciens outils ne prenant en charge que les horodatages RSA peuvent évaluer l’adresse /legacy selon les instructions officielles.	SSL.com Using Your Code Signing Certificate

Ordre recommandé

Pour la signature de code SHA-2, il est conseillé d’évaluer dans l’ordre suivant :

1. Microsoft : adapté comme candidat d’horodatage RFC 3161 sous Windows.
2. Sectigo : prend en charge à la fois Authenticode et RFC 3161.
3. DigiCert : prend officiellement en charge Microsoft Authenticode RFC 3161.
4. Certum : la documentation officielle de signature de code couvre à la fois les scénarios de signature Windows et Java.
5. GlobalSign : utilisez l’adresse r45standard figurant dans la documentation officielle actuelle.
6. SSL.com : à utiliser uniquement lorsque l’appelant prend en charge RFC 3161 et après avoir confirmé qu’il peut valider le certificat d’horodatage et le type de clé.

L’ordre reflète le degré de correspondance avec les scénarios courants de signature de code Windows et ne constitue pas une garantie de qualité de service, de validité juridique ou de niveau commercial. En environnement de production, le choix doit être effectué en fonction du système d’exploitation cible, de la sortie réseau, de la chaîne de validation, de l’accessibilité régionale et du contrat de service du fournisseur.

Services restreints ou dédiés à un écosystème

QuoVadis

QuoVadis a publié les adresses RFC 3161 suivantes :

• http://ts.quovadisglobal.com/eu
• http://ts.quovadisglobal.com/ch

Les instructions officielles exigent d’enregistrer au préalable l’IP de sortie de l’appelant auprès de DigiCert ; ce service ne peut donc pas être utilisé comme TSA public anonyme. Avant l’intégration, il convient d’effectuer l’autorisation et de confirmer que la politique et la chaîne de certificats choisies sont conformes à l’environnement de validation cible.

Documentation officielle : DigiCert/QuoVadis Timestamp Server

Apple

Apple exploite sa propre PKI d'horodatage et publie l'Apple Timestamp CA ainsi que les CPS associées. http://timestamp.apple.com/ts01 est utilisé pour l'écosystème de signature de code Apple et ne doit pas être considéré comme un candidat universel pour Windows Authenticode.

Documentation officielle : Apple PKI

Services RFC 3161 publics ou d'essai

Les services suivants proposent des points de terminaison RFC 3161 publics, mais leur portée d'utilisation, leur quota d'appels ou leur chaîne de confiance ne conviennent pas comme service général de signature de code en production. Avant toute utilisation, il convient de vérifier la chaîne de certificats d'horodatage dans l'environnement de validation cible.

Fournisseur	Adresse	Portée d'utilisation	Restrictions	Documentation officielle
MeSign	http://tsa.mesign.com	Signature de documents, conservation de preuves électroniques et essai du protocole RFC 3161	Le service d'essai gratuit officiel est destiné à l'horodatage de documents Adobe, avec une limite quotidienne de 20 requêtes par IP. La compatibilité avec la signature de code doit être vérifiée séparément.	MeSign TSA
FreeTSA	https://freetsa.org/tsr	Test du protocole RFC 3161, horodatage générique de données et de code	Service public gratuit utilisant sa propre CA et son propre certificat TSA ; il ne faut pas supposer que le système d'exploitation cible ou le validateur de signature de code lui fait confiance par défaut.	FreeTSA

Services à ne pas lister directement comme points de terminaison publics de signature de code

Les types suivants diffèrent d'une « TSA publique de signature de code directement configurable » :

• Entrust : la page officielle actuelle présente un produit Timestamping Authority déployable localement, basé sur RFC 3161/RFC 5816 ; elle ne confirme pas que http://timestamp.entrust.net/TSS/RFC3161sha2TS soit un point de terminaison public de signature de code.
• TSA commerciales de Chine continentale : des fournisseurs comme GDCA, CFCA, Anxin CA, SmartCert et TrustAsia proposent des produits d'horodatage ou des outils de signature, mais leurs pages produit publiques ne fournissent généralement pas d'URL de production unifiée pouvant être appelée de manière anonyme. Il convient d'obtenir le point de terminaison, la méthode d'authentification, l'OID de politique, les limites de débit et le SLA par le biais d'un achat, d'un contrat ou du support technique du fournisseur.
• Sigstore Timestamp Authority : il s'agit d'une implémentation open source déployable de TSA RFC 3161, qui n'équivaut pas à un point de terminaison public mondial fixe.
• Adresses GlobalSign historiques : http://timestamp.globalsign.com/tsa/r6advanced1 et http://rfc3161timestamp.globalsign.com/advanced ne figurent pas dans la documentation actuelle de signature de code GlobalSign ; utilisez l'adresse actuellement publiée r45standard.
• StartSSL : http://tsa.startssl.com/rfc3161 ne dispose d'aucune documentation de service officielle actuelle vérifiable et ne doit plus être utilisé.
• Adresse d'exemple nCipher : http://dse200.ncipher.com/TSS/HttpTspServer s'apparente davantage à une démonstration historique ou à un système de test, sans fondement actuel de service public en production.
• Adresses dont l'origine et la stratégie d'exploitation sont incertaines : https://ca.signfiles.com/tsa/get.aspx, http://services.globaltrustfinder.com/adss/tsa et https://tsp.iaik.tugraz.at/tsp/TspRequest manquent de documentation de service officielle actuelle suffisante, de politique de confiance ou de garantie de disponibilité ; elles ne doivent pas être ajoutées à la liste des candidates en production.
• Autres TSA de réseaux de recherche : utilisables pour des tests de protocole, mais sans garantie suffisante de production pour la signature de code ; déconseillés comme service par défaut en production.

Contrôles d'intégration en production

Avant d'ajouter une TSA à la liste par défaut ou à la chaîne de secours en production, vérifiez au minimum :

1. La documentation officielle du fournisseur publie explicitement le point de terminaison et les protocoles pris en charge.
2. Le protocole d'horodatage correct est utilisé ; une adresse prenant en charge uniquement RFC 3161 ne doit pas être utilisée pour les requêtes Authenticode.
3. Un algorithme de résumé d'horodatage SHA-256 ou plus fort est utilisé, et la compatibilité de la plateforme cible avec l'algorithme de signature et le type de clé de la TSA est confirmée.
4. La chaîne complète des certificats d'horodatage est vérifiée dans l'environnement de validation Windows, macOS ou autre concerné.
5. L'accès stable au point de terminaison est confirmé via le réseau de sortie, les proxys, les pare-feu et le DNS.
6. La méthode d'authentification, les limites de débit, les conditions de service, les restrictions régionales et le SLA sont confirmés.
7. La vérification de signature est effectuée à l'aide d'artefacts réellement signés ; la disponibilité d'une TSA ne peut pas être jugée uniquement par un accès navigateur ou un code d'état HTTP.

Normes de référence

• RFC 3161 : Protocole d'horodatage de l'infrastructure à clé publique X.509 Internet