メインコンテンツまでスキップ

グローバルコード署名タイムスタンプサーバー

文書の範囲​

本記事では、コード署名に適用可能なタイムスタンプサービスを整理し、主にMicrosoft AuthenticodeおよびRFC 3161のシナリオに焦点を当てます。

  • 確認日：2026年6月18日。
  • プロバイダーの公式情報から確認できるアドレスのみを公開エンドポイントとして記載します。
  • 本記事は、全世界のすべてのタイムスタンプサービスの網羅的なリストではありません。非公開エンドポイント、商用契約が必要なサービス、またはローカルデプロイ製品のみを提供するサービスについては、個別に説明します。
  • タイムスタンプサービスの可用性、証明書チェーン、および接続ポリシーは変更される可能性があるため、本番環境で構成する前にプロバイダーの最新ドキュメントを再確認してください。

タイムスタンププロトコル​

コード署名で一般的な2種類のタイムスタンププロトコル：

プロトコル説明
AuthenticodeMicrosoftの従来のタイムスタンププロトコルで、主に旧式のWindowsコード署名フローとの互換性に使用されます。
RFC 3161汎用タイムスタンププロトコルで、現代のコード署名シナリオに適し、本番環境では優先的に使用されます。

RFC 3161リクエストでは、タイムスタンプ対象の元ファイルではなく、データのダイジェストが送信されます。TSAは、ダイジェスト、発行時間、ポリシー、TSA署名を含むタイムスタンプトークンを返します。タイムスタンプは、特定の時点で署名がすでに存在していたことを証明できますが、署名の長期的な有効性は、署名証明書、タイムスタンプ証明書、失効ステータス、および検証者のポリシーに引き続き依存します。

公開コード署名タイムスタンプエンドポイント​

以下のアドレスは、いずれも現在の公式資料で明確に説明されており、コード署名の候補として使用できます。表中の「公開」は、公式がエンドポイントを公開していることを示すのみであり、プロバイダーが無制限、無条件、または永続的な無料利用を約束するものではありません。

プロバイダーアドレスAuthenticodeRFC 3161接続説明公式資料
Microsoft Artifact Signinghttp://timestamp.acs.microsoft.com未確認✅MicrosoftはArtifact SigningユーザーにこのTSAの使用を推奨しています。Windows RFC 3161の候補として適しています。Microsoft Artifact Signing
Sectigohttp://timestamp.sectigo.com✅✅同じアドレスがAuthenticodeとRFC 3161の両方をサポートします。公式要件として、バッチ呼び出し時には各リクエストの間隔を少なくとも15秒空ける必要があります。Sectigo Time Stamp Server
DigiCerthttp://timestamp.digicert.com未確認✅公式にMicrosoft Authenticode RFC 3161タイムスタンプ用と明記されています。DigiCert RFC 3161 TSA
Certumhttp://time.certum.pl✅✅Certum公式のコード署名ドキュメントでは、このアドレスがWindowsコード署名およびJava JAR署名に使用されています。Certum Code Signing
GlobalSignhttp://timestamp.globalsign.com/tsa/r45standard未確認✅GlobalSign の現在のコードサイニングドキュメントでは、この R45 アドレスが使用されています。Windows における GlobalSign コードサイニング
SSL.comhttp://ts.ssl.com❌✅RFC 3161 のみをサポートします。デフォルトのタイムスタンプは ECDSA 鍵を使用する場合があります。RSA タイムスタンプのみをサポートする既存ツールは、公式ドキュメントに従って /legacy アドレスを評価できます。コードサイニング証明書の利用（SSL.com）

推奨順序​

SHA-2 コードサイニングを対象とする場合、以下の順序で評価することを推奨します：

  1. Microsoft：Windows RFC 3161 タイムスタンプの候補として適しています。
  2. Sectigo：Authenticode と RFC 3161 の両方をサポートしています。
  3. DigiCert：公式に Microsoft Authenticode RFC 3161 を明確にサポートしています。
  4. Certum：公式コードサイニングドキュメントは、Windows と Java の両方の署名シナリオをカバーしています。
  5. GlobalSign：現在の公式ドキュメントの r45standard アドレスを使用します。
  6. SSL.com：呼び出し側が RFC 3161 をサポートし、そのタイムスタンプ証明書と鍵タイプを検証できることを確認した場合にのみ使用します。

この順序は一般的な Windows コードサイニングシナリオとの適合度を示すものであり、サービス品質、法的効力、または商用グレードを保証するものではありません。本番環境では、ターゲット OS、ネットワーク出口、検証チェーン、地域的な到達可能性、およびベンダーのサービス契約に基づいて選択する必要があります。

限定またはエコシステム専用サービス​

QuoVadis​

QuoVadis は以下の RFC 3161 アドレスを公開しています：

  • http://ts.quovadisglobal.com/eu
  • http://ts.quovadisglobal.com/ch

公式の要件として、まず DigiCert に呼び出し側の出口 IP を登録する必要があるため、匿名のパブリック TSA としては使用できません。導入前に関連する許可を取得し、選択したポリシーと証明書チェーンが対象の検証環境に適合することを確認してください。

官方資料：DigiCert/QuoVadis Timestamp Server

Apple​

Apple は独自のタイムスタンプ PKI を運用し、Apple Timestamp CA および関連 CPS を公開しています。http://timestamp.apple.com/ts01 は Apple コード署名エコシステム向けであり、Windows Authenticode の汎用候補として使用すべきではありません。

公式資料：Apple PKI

公開または試用型 RFC 3161 サービス​

以下のサービスは公開 RFC 3161 エンドポイントを提供しますが、利用範囲、呼び出し限度、または信頼チェーンが汎用の本番コード署名サービスには適していません。使用前に、対象の検証環境でタイムスタンプ証明書チェーンを確認してください。

プロバイダーアドレス適用範囲制限公式資料
MeSignhttp://tsa.mesign.comドキュメント署名、電子データ保存、および RFC 3161 プロトコルの試用公式無料試用サービスは Adobe ドキュメントのタイムスタンプ向けで、各 IP あたり日次 20 回に制限されています。コード署名との互換性は個別に検証する必要があります。MeSign TSA
FreeTSAhttps://freetsa.org/tsrRFC 3161 プロトコルテスト、汎用データおよびコードのタイムスタンプ無料の公開サービスで、独自の CA および TSA 証明書を使用します。対象 OS やコード署名検証ツールがデフォルトで信頼すると想定すべきではありません。FreeTSA

公開コード署名エンドポイントとして直接列挙すべきでないサービス​

以下の種類は「直接設定可能な公開コード署名 TSA」とは異なります：

  • Entrust：現在の公式ページでは RFC 3161/RFC 5816 に基づくオンプレミス展開の Timestamping Authority 製品を紹介しており、そのページでは http://timestamp.entrust.net/TSS/RFC3161sha2TS が公開コード署名エンドポイントであることは確認されていません。
  • 中国本土の商業 TSA：GDCA、CFCA、安信 CA、SmartCert、TrustAsia などのベンダーはタイムスタンプ製品や署名ツールを提供していますが、公開製品ページでは匿名で呼び出せる統一された本番 URL が示されていないことが一般的です。エンドポイント、認証方法、ポリシー OID、レート制限、SLA は、調達、契約、またはベンダーのテクニカルサポートを通じて取得する必要があります。
  • Sigstore Timestamp Authority：これは展開可能な RFC 3161 TSA のオープンソース実装であり、固定されたグローバル公開エンドポイントと同義ではありません。
  • 過去のGlobalSignアドレス：http://timestamp.globalsign.com/tsa/r6advanced1 と http://rfc3161timestamp.globalsign.com/advanced は現在のGlobalSignコードサイニング文書に記載されておらず、現在公開されている r45standard アドレスを使用すべきです。
  • StartSSL：http://tsa.startssl.com/rfc3161 には確認可能な現在の公式サービス情報がなく、使用を継続すべきではありません。
  • nCipher の例アドレス：http://dse200.ncipher.com/TSS/HttpTspServer は過去のデモまたはテストシステムに近く、現在の公開本番サービス根拠はありません。
  • 出所や運用方針が不明確なアドレス：https://ca.signfiles.com/tsa/get.aspx、http://services.globaltrustfinder.com/adss/tsa、https://tsp.iaik.tugraz.at/tsp/TspRequest には、十分な現在の公式サービス説明、信頼ポリシー、可用性保証が欠けており、本番候補リストに追加すべきではありません。
  • その他の研究ネットワークTSA：プロトコルテストには使用できますが、コードサイニングの本番保証に関する十分な情報がないため、本番デフォルトサービスとして推奨されません。

本番導入チェック​

TSAをデフォルトリストまたは本番フォールバックチェーンに追加する前に、少なくとも以下を確認してください：

  1. プロバイダーの公式情報がエンドポイントと対応プロトコルを明確に公開していること。
  2. 正しいタイムスタンププロトコルを使用すること。RFC 3161のみをサポートするアドレスをAuthenticodeリクエストに使用しないこと。
  3. SHA-256またはそれ以上に強いタイムスタンプダイジェストアルゴリズムを使用し、対象プラットフォームがTSAの署名アルゴリズムと鍵タイプと互換性があることを確認すること。
  4. 対象のWindows、macOS、またはその他の検証環境で完全なタイムスタンプ証明書チェーンを確認すること。
  5. 送信ネットワーク、プロキシ、ファイアウォール、DNSがエンドポイントへ安定的にアクセスできることを確認すること。
  6. 認証方式、レート制限、利用規約、地域制限、SLAを確認すること。
  7. 実際の署名成果物を使用して検証を実行すること。ブラウザでのアクセスやHTTPステータスコードだけでTSAの可用性を判断しないこと。

参考標準​

に最終更新