Глобальные серверы штампов времени для подписи кода
Область применения документа
В этом документе собраны службы штампов времени, применимые для подписи кода, с особым вниманием к сценариям Microsoft Authenticode и RFC 3161.
- Дата проверки: 2026-06-18.
- В качестве публичных конечных точек перечислены только адреса, которые удалось подтвердить по официальным материалам поставщиков.
- Этот документ не является исчерпывающим списком всех служб штампов времени в мире. Службы с неопубликованными конечными точками, требующие коммерческого подключения или предоставляющие только локально развертываемые продукты, описаны отдельно.
- Доступность служб штампов времени, цепочки сертификатов и политики подключения могут изменяться. Перед настройкой в рабочей среде следует заново проверить актуальную документацию поставщика.
Протоколы штампов времени
При подписи кода чаще всего используются два протокола штампов времени:
| Протокол | Описание |
|---|---|
| Authenticode | Традиционный протокол штампов времени Microsoft, в основном используемый для совместимости с устаревшими процессами подписи кода Windows. |
| RFC 3161 | Универсальный протокол штампов времени, подходящий для современных сценариев подписи кода; в рабочей среде следует отдавать ему предпочтение. |
В запросе RFC 3161 отправляется не исходный файл, а дайджест данных, для которых запрашивается штамп времени. TSA возвращает токен штампа времени, содержащий дайджест, время выдачи, политику и подпись TSA. Штамп времени может подтвердить, что подпись уже существовала в определённый момент, однако возможность длительного сохранения действительности подписи по-прежнему зависит от сертификата подписи, сертификата штампа времени, статуса отзыва и политики проверяющей стороны.
Публичные конечные точки штампов времени для подписи кода
Все перечисленные ниже адреса явно указаны в актуальных официальных материалах и могут рассматриваться как кандидаты для подписи кода. Термин «публичный» в таблице означает лишь то, что поставщик официально опубликовал конечную точку, и не является обещанием неограниченного, безусловного или постоянного бесплатного использования.
| Поставщик | Адрес | Authenticode | RFC 3161 | Условия подключения | Официальные материалы |
|---|---|---|---|---|---|
| Microsoft Artifact Signing | http://timestamp.acs.microsoft.com | Не подтверждено | ✅ | Microsoft рекомендует этот TSA пользователям Artifact Signing. Подходит как кандидат RFC 3161 для Windows. | Microsoft Artifact Signing |
| Sectigo | http://timestamp.sectigo.com | ✅ | ✅ | Один и тот же адрес поддерживает Authenticode и RFC 3161. При пакетных вызовах официально требуется интервал не менее 15 секунд между запросами. | Sectigo Time Stamp Server |
| DigiCert | http://timestamp.digicert.com | Не подтверждено | ✅ | Официально предназначен для штампов времени Microsoft Authenticode по RFC 3161. | DigiCert RFC 3161 TSA |
| Certum | http://time.certum.pl | ✅ | ✅ | В официальной документации Certum по подписи кода этот адрес используется для подписи кода Windows и подписи Java JAR. | Certum Code Signing |
| GlobalSign | http://timestamp.globalsign.com/tsa/r45standard | Не подтверждено | ✅ | Текущая документация GlobalSign по подписи кода использует этот адрес R45. | GlobalSign Code Signing in Windows |
| SSL.com | http://ts.ssl.com | ❌ | ✅ | Поддерживается только RFC 3161. Стандартная метка времени может использовать ключ ECDSA; старые инструменты, поддерживающие только RSA-метки времени, могут оценить адрес /legacy согласно официальным инструкциям. | SSL.com Using Your Code Signing Certificate |
Рекомендуемый порядок
При подписании кода SHA-2 рекомендуется оценивать варианты в следующем порядке:
- Microsoft: подходит в качестве кандидата на метку времени Windows RFC 3161.
- Sectigo: поддерживает одновременно Authenticode и RFC 3161.
- DigiCert: официально заявлена поддержка Microsoft Authenticode RFC 3161.
- Certum: официальная документация по подписи кода охватывает сценарии подписи как для Windows, так и для Java.
- GlobalSign: использовать адрес
r45standardиз текущей официальной документации. - SSL.com: использовать только в случае, если вызывающая сторона поддерживает RFC 3161 и подтверждена возможность проверки сертификата метки времени и типа ключа.
Порядок отражает степень соответствия распространённым сценариям подписи кода Windows и не является гарантией качества обслуживания, юридической силы или коммерческого уровня. В производственной среде выбор следует делать с учётом целевой операционной системы, сетевого доступа, цепочки проверки, региональной доступности и соглашения об уровне обслуживания поставщика.
Ограниченные или специализированные сервисы экосистем
QuoVadis
QuoVadis опубликовал следующие адреса RFC 3161:
http://ts.quovadisglobal.com/euhttp://ts.quovadisglobal.com/ch
Официально требуется предварительная регистрация исходящего IP-адреса вызывающей стороны в DigiCert, поэтому данный сервис нельзя использовать как анонимный публичный TSA. Перед подключением необходимо пройти авторизацию и убедиться, что выбранная политика и цепочка сертификатов соответствуют целевой среде проверки.
Официальные материалы: DigiCert/QuoVadis Timestamp Server
Apple
Apple управляет собственной PKI для меток времени и публикует Apple Timestamp CA и соответствующие CPS. http://timestamp.apple.com/ts01 используется в экосистеме подписи кода Apple и не должен рассматриваться как универсальный кандидат для Windows Authenticode.
Официальные материалы: Apple PKI
Публичные или пробные службы RFC 3161
Следующие службы предоставляют публичные конечные точки RFC 3161, однако область использования, квоты вызовов или цепочка доверия не подходят в качестве универсального производственного сервиса подписи кода. Перед использованием необходимо проверить цепочку сертификатов службы меток времени в целевой среде проверки.
| Провайдер | Адрес | Область применения | Ограничения | Официальные материалы |
|---|---|---|---|---|
| MeSign | http://tsa.mesign.com | Подпись документов, хранение электронных доказательств и тестирование протокола RFC 3161 | Официальный бесплатный пробный сервис предназначен для меток времени документов Adobe, лимит 20 вызовов в день на IP. Совместимость с подписью кода необходимо проверять отдельно. | MeSign TSA |
| FreeTSA | https://freetsa.org/tsr | Тестирование протокола RFC 3161, универсальные метки времени для данных и кода | Бесплатный публичный сервис, использующий собственный CA и сертификат TSA; не следует предполагать, что целевые операционные системы или средства проверки подписи кода доверяют ему по умолчанию. | FreeTSA |
Службы, которые не следует напрямую относить к публичным конечным точкам подписи кода
Следующие типы отличаются от «публичной TSA подписи кода с возможностью прямой настройки»:
- Entrust: текущая официальная страница описывает локально развёртываемый продукт Timestamping Authority на основе RFC 3161/RFC 5816; на этой странице не подтверждено, что
http://timestamp.entrust.net/TSS/RFC3161sha2TSявляется публичной конечной точкой подписи кода. - Коммерческие TSA в материковом Китае: такие поставщики, как GDCA, CFCA, Anxin CA, SmartCert и TrustAsia, предлагают продукты меток времени или инструменты подписи, однако на публичных страницах продуктов обычно не указан единый производственный URL для анонимных вызовов. Конечную точку, способ аутентификации, OID политики, ограничения скорости и SLA следует получать через закупку, договор или техническую поддержку поставщика.
- Sigstore Timestamp Authority: это развёртываемая реализация TSA с открытым исходным кодом по RFC 3161, которая не эквивалентна фиксированной глобальной публичной конечной точке.
- Исторические адреса GlobalSign:
http://timestamp.globalsign.com/tsa/r6advanced1иhttp://rfc3161timestamp.globalsign.com/advancedне встречаются в текущей документации GlobalSign по подписи кода, следует использовать текущий опубликованный адресr45standard. - StartSSL:
http://tsa.startssl.com/rfc3161— нет подтверждаемых актуальных официальных сервисных материалов, продолжать использовать не следует. - Примерный адрес nCipher:
http://dse200.ncipher.com/TSS/HttpTspServerбольше похож на историческую демонстрационную или тестовую систему, оснований для текущего публичного производственного сервиса нет. - Адреса с неясным происхождением и эксплуатационной политикой:
https://ca.signfiles.com/tsa/get.aspx,http://services.globaltrustfinder.com/adss/tsaиhttps://tsp.iaik.tugraz.at/tsp/TspRequest— недостаточно актуальных официальных описаний сервиса, доверительной политики или гарантий доступности, не следует включать в производственный список кандидатов. - Прочие TSA исследовательских сетей: могут использоваться для тестирования протоколов, но недостаточно материалов о производственных гарантиях для подписи кода, не рекомендуется использовать как производственный сервис по умолчанию.
Проверка производственного подключения
Перед добавлением TSA в список по умолчанию или в производственную цепочку отката необходимо как минимум подтвердить:
- Официальные материалы поставщика явно публикуют конечную точку и поддерживаемые протоколы.
- Используется правильный протокол timestamping, нельзя использовать адреса, поддерживающие только RFC 3161, для запросов Authenticode.
- Используется алгоритм дайджеста timestamping SHA-256 или более стойкий, и подтверждена совместимость целевой платформы с алгоритмом подписи и типом ключа TSA.
- В целевой среде проверки Windows, macOS или иной проверена полная цепочка сертификатов timestamping.
- Подтверждён стабильный доступ к конечной точке через исходящую сеть, прокси, межсетевой экран и DNS.
- Подтверждены способ аутентификации, ограничения скорости, условия обслуживания, региональные ограничения и SLA.
- Проверка подписи выполнена на реальном подписанном артефакте; нельзя судить о доступности TSA только по доступу через браузер или HTTP-коду состояния.