Serveur d’horodatage mondial pour signature de code

Portée du document

Ce document recense les services d’horodatage applicables à la signature de code, en mettant l’accent sur les scénarios Microsoft Authenticode et RFC 3161.

• Date de vérification : 2026-06-18.
• Seules les adresses confirmables via les sources officielles des fournisseurs sont répertoriées comme points d’accès publics.
• Ce document n’est pas une liste exhaustive de tous les services d’horodatage mondiaux. Les services sans point d’accès public, nécessitant une activation commerciale ou uniquement proposés en déploiement local sont traités séparément.
• La disponibilité des services d’horodatage, leurs chaînes de certificats et leurs politiques d’accès peuvent évoluer ; il convient de revérifier la documentation la plus récente du fournisseur avant toute configuration en production.

Protocoles d’horodatage

Deux types de protocoles d’horodatage sont courants pour la signature de code :

Protocole	Description
Authenticode	Protocole d’horodatage traditionnel de Microsoft, principalement utilisé pour la compatibilité avec les anciens flux de signature de code Windows.
RFC 3161	Protocole d’horodatage générique, adapté aux scénarios modernes de signature de code, à privilégier en environnement de production.

Une requête RFC 3161 envoie le condensé des données à horodater, et non le fichier brut. La TSA renvoie un jeton d’horodatage contenant le condensé, l’heure d’émission, la politique et la signature de la TSA. L’horodatage permet de prouver qu’une signature existait à un moment précis, mais la validité à long terme de la signature dépend toujours du certificat de signature, du certificat d’horodatage, de l’état de révocation et des politiques du validateur.

Points d’accès publics d’horodatage pour signature de code

Les adresses suivantes sont explicitement documentées dans les sources officielles actuelles et peuvent servir de candidats pour la signature de code. La mention « public » dans le tableau signifie uniquement que le point d’accès est publié par le fournisseur, sans engagement de gratuité illimitée, inconditionnelle ou permanente.

Fournisseur	Adresse	Authenticode	RFC 3161	Notes d’accès	Source officielle
Microsoft Artifact Signing	http://timestamp.acs.microsoft.com	Non confirmé	✅	Microsoft recommande cette TSA aux utilisateurs d’Artifact Signing. Adapté comme candidat RFC 3161 pour Windows.	Microsoft Artifact Signing
Sectigo	http://timestamp.sectigo.com	✅	✅	La même adresse prend en charge Authenticode et RFC 3161. Exigence officielle : au moins 15 secondes d’intervalle entre chaque requête en cas d’appels groupés.	Sectigo Time Stamp Server
DigiCert	http://timestamp.digicert.com	Non confirmé	✅	Officiellement destiné à l’horodatage Microsoft Authenticode RFC 3161.	DigiCert RFC 3161 TSA
Certum	http://time.certum.pl	✅	✅	La documentation officielle de signature de code de Certum utilise cette adresse pour la signature de code Windows et la signature JAR Java.	Certum Code Signing
GlobalSign	http://timestamp.globalsign.com/tsa/r45standard	Non confirmé	✅	La documentation actuelle de signature de code GlobalSign utilise cette adresse R45.	GlobalSign Code Signing in Windows
SSL.com	http://ts.ssl.com	❌	✅	Prend en charge uniquement RFC 3161. L’horodatage par défaut peut utiliser des clés ECDSA ; les anciens outils ne prenant en charge que les horodatages RSA peuvent évaluer l’adresse /legacy conformément aux instructions officielles.	SSL.com Using Your Code Signing Certificate

Ordre recommandé

Pour la signature de code SHA-2, il est recommandé d’évaluer dans l’ordre suivant :

1. Microsoft : convient comme candidat d’horodatage RFC 3161 pour Windows.
2. Sectigo : prend en charge à la fois Authenticode et RFC 3161.
3. DigiCert : prend officiellement en charge Microsoft Authenticode RFC 3161.
4. Certum : la documentation officielle de signature de code couvre à la fois les scénarios de signature Windows et Java.
5. GlobalSign : utilise l’adresse r45standard de la documentation officielle actuelle.
6. SSL.com : à utiliser uniquement si l’appelant prend en charge RFC 3161 et confirme la capacité à vérifier son certificat d’horodatage et son type de clé.

Cet ordre reflète le degré de compatibilité avec les scénarios courants de signature de code Windows et ne constitue pas une garantie de qualité de service, de validité juridique ou de niveau commercial. En environnement de production, le choix doit être effectué en fonction du système d’exploitation cible, de la connectivité réseau sortante, de la chaîne de validation, de l’accessibilité régionale et des accords de service des fournisseurs.

Services restreints ou spécifiques à un écosystème

QuoVadis

QuoVadis publie les adresses RFC 3161 suivantes :

• http://ts.quovadisglobal.com/eu
• http://ts.quovadisglobal.com/ch

Les exigences officielles imposent d’enregistrer d’abord l’IP sortante de l’appelant auprès de DigiCert ; ces adresses ne peuvent donc pas être utilisées comme TSA publique anonyme. Avant l’intégration, il convient d’obtenir l’autorisation et de confirmer que la politique et la chaîne de certificats sélectionnées sont conformes à l’environnement de validation cible.

官方资料：DigiCert/QuoVadis Timestamp Server

Apple

Apple exploite sa propre PKI d’horodatage et publie Apple Timestamp CA ainsi que la documentation CPS associée. http://timestamp.apple.com/ts01 est utilisé dans l’écosystème de signature de code Apple et ne doit pas être considéré comme un candidat générique pour Windows Authenticode.

官方资料：Apple PKI

Services RFC 3161 publics ou d’essai

Les services suivants fournissent des points de terminaison RFC 3161 publics, mais leur portée, leurs quotas d’appels ou leur chaîne de confiance ne conviennent pas comme service de signature de code de production générique. Avant toute utilisation, vérifiez la chaîne de certificats d’horodatage dans l’environnement de validation cible.

Fournisseur	Adresse	Portée	Limites	Documentation officielle
MeSign	http://tsa.mesign.com	Signature de documents, archivage de données électroniques et essai du protocole RFC 3161	Le service d’essai gratuit officiel est destiné à l’horodatage de documents Adobe, avec une limite de 20 requêtes par IP et par jour. La compatibilité avec la signature de code nécessite une validation distincte.	MeSign TSA
FreeTSA	https://freetsa.org/tsr	Test du protocole RFC 3161, données générales et horodatage de code	Service public gratuit utilisant sa propre CA et ses certificats TSA ; il ne faut pas supposer que le système d’exploitation cible ou le validateur de signature de code le reconnaît par défaut.	FreeTSA

Services à ne pas considérer directement comme points de terminaison publics de signature de code

Les types suivants diffèrent d’un « TSA de signature de code public directement configurable » :

• Entrust : la page officielle actuelle présente un produit Timestamping Authority déployé localement basé sur RFC 3161/RFC 5816 ; rien sur cette page ne confirme que http://timestamp.entrust.net/TSS/RFC3161sha2TS est un point de terminaison public de signature de code.
• TSA commerciaux en Chine continentale : GDCA, CFCA, 安信 CA, SmartCert, TrustAsia et d’autres fournisseurs proposent des produits ou outils d’horodatage, mais leurs pages produits publiques ne donnent généralement pas d’URL de production uniforme appelable de manière anonyme. Les points de terminaison, méthodes d’authentification, OID de politique, limites de débit et SLA doivent être obtenus via un achat, un contrat ou le support technique du fournisseur.
• Sigstore Timestamp Authority : il s’agit d’une implémentation open source déployable d’un TSA RFC 3161, et non d’un point de terminaison public mondial fixe.
• Adresses GlobalSign historiques : http://timestamp.globalsign.com/tsa/r6advanced1 et http://rfc3161timestamp.globalsign.com/advanced ne figurent pas dans la documentation actuelle de signature de code GlobalSign ; il convient d’utiliser l’adresse actuellement publiée r45standard.
• StartSSL : http://tsa.startssl.com/rfc3161 ne dispose d’aucune information officielle actuelle confirmable, il ne doit plus être utilisé.
• Adresse d’exemple nCipher : http://dse200.ncipher.com/TSS/HttpTspServer relève davantage d’une démonstration historique ou d’un système de test, sans fondement de service public de production actuel.
• Adresses dont la source et la politique d’exploitation sont floues : https://ca.signfiles.com/tsa/get.aspx, http://services.globaltrustfinder.com/adss/tsa et https://tsp.iaik.tugraz.at/tsp/TspRequest manquent de documentation officielle actuelle suffisante, de politique de confiance ou de garantie de disponibilité, et ne doivent pas être ajoutées à la liste des candidats de production.
• Autres TSA de réseaux de recherche : peuvent être utilisées pour des tests de protocole, mais ne disposent pas de garanties suffisantes pour la production de signature de code, il n’est pas recommandé de les utiliser comme service par défaut en production.

Vérification d’intégration en production

Avant d’ajouter une TSA à la liste par défaut ou à la chaîne de repli en production, vérifier au minimum :

1. La documentation officielle du fournisseur publie clairement le point d’accès et les protocoles pris en charge.
2. Utiliser le bon protocole d’horodatage ; une adresse ne prenant en charge que RFC 3161 ne doit pas être utilisée pour les requêtes Authenticode.
3. Utiliser SHA-256 ou un algorithme de résumé d’horodatage plus fort, et confirmer la compatibilité de la plate-forme cible avec l’algorithme de signature et le type de clé de la TSA.
4. Vérifier la chaîne complète du certificat d’horodatage dans l’environnement cible Windows, macOS ou autre environnement de validation.
5. Confirmer que le réseau sortant, le proxy, le pare-feu et le DNS peuvent accéder de manière stable au point d’accès.
6. Confirmer la méthode d’authentification, les limites de débit, les conditions d’utilisation, les restrictions régionales et le SLA.
7. Effectuer une validation de signature à l’aide d’un artefact de signature réel ; ne pas se fier uniquement à l’accès navigateur ou au code de statut HTTP pour juger de la disponibilité de la TSA.

Normes de référence

• RFC 3161 : Protocole d’horodatage de l’infrastructure à clés publiques X.509 Internet