เซิร์ฟเวอร์ประทับเวลาการลงนามโค้ดทั่วโลก

ขอบเขตเอกสาร

บทความนี้รวบรวมบริการประทับเวลาที่เหมาะสำหรับการลงนามโค้ด โดยเน้นที่สถานการณ์ Microsoft Authenticode และ RFC 3161

• วันที่ตรวจสอบ: 18-06-2026
• เฉพาะที่อยู่ที่สามารถยืนยันได้จากเอกสารทางการของผู้ให้บริการเท่านั้นที่จะถูกระบุเป็นเอนด์พอยต์สาธารณะ
• บทความนี้ไม่ใช่รายการบริการประทับเวลาทั้งหมดทั่วโลกอย่างละเอียดถี่ถ้วน บริการที่ไม่ได้เปิดเผยเอนด์พอยต์ ต้องเปิดใช้งานเชิงพาณิชย์ หรือให้บริการเฉพาะผลิตภัณฑ์แบบติดตั้งในองค์กรจะอธิบายแยกต่างหาก
• ความพร้อมใช้งาน เชนใบรับรอง และนโยบายการเข้าถึงของบริการประทับเวลาอาจเปลี่ยนแปลงได้ ควรตรวจสอบเอกสารล่าสุดของผู้ให้บริการอีกครั้งก่อนกำหนดค่าการใช้งานจริง

โปรโตคอลการประทับเวลา

การลงนามโค้ดมีโปรโตคอลการประทับเวลาที่พบบ่อยสองประเภท:

โปรโตคอล	คำอธิบาย
Authenticode	โปรโตคอลการประทับเวลาแบบดั้งเดิมของ Microsoft ใช้เป็นหลักเพื่อความเข้ากันได้กับกระบวนการลงนามโค้ด Windows รุ่นเก่า
RFC 3161	โปรโตคอลการประทับเวลาทั่วไป เหมาะสำหรับสถานการณ์การลงนามโค้ดสมัยใหม่ แนะนำให้ใช้เป็นลำดับแรกในสภาพแวดล้อมการใช้งานจริง

คำขอ RFC 3161 ส่งไดเจสต์ของข้อมูลที่ต้องการประทับเวลา ไม่ใช่ไฟล์ต้นฉบับ TSA ส่งคืนโทเค็นการประทับเวลาที่ประกอบด้วยไดเจสต์ เวลาที่ออก นโยบาย และลายเซ็นของ TSA การประทับเวลาสามารถพิสูจน์ได้ว่าลายเซ็นมีอยู่ ณ เวลาใดเวลาหนึ่งแล้ว แต่การที่ลายเซ็นจะยังคงมีผลใช้ได้ในระยะยาวหรือไม่นั้น ยังขึ้นอยู่กับใบรับรองการลงนาม ใบรับรองการประทับเวลา สถานะการเพิกถอน และนโยบายของผู้ตรวจสอบ

เอนด์พอยต์การประทับเวลาการลงนามโค้ดสาธารณะ

ที่อยู่ต่อไปนี้มีเอกสารทางการปัจจุบันระบุอย่างชัดเจน และสามารถใช้เป็นตัวเลือกสำหรับการลงนามโค้ดได้ คำว่า "สาธารณะ" ในตารางเพียงหมายความว่าผู้ให้บริการได้เผยแพร่เอนด์พอยต์แล้ว ไม่ได้หมายความว่าผู้ให้บริการรับประกันการใช้งานแบบไม่จำกัด ไม่มีเงื่อนไข หรือฟรีตลอดไป

ผู้ให้บริการ	ที่อยู่	Authenticode	RFC 3161	คำอธิบายการเข้าถึง	เอกสารทางการ
Microsoft Artifact Signing	http://timestamp.acs.microsoft.com	ยังไม่ยืนยัน	✅	Microsoft แนะนำให้ผู้ใช้ Artifact Signing ใช้ TSA นี้ เหมาะเป็นตัวเลือก RFC 3161 สำหรับ Windows	Microsoft Artifact Signing
Sectigo	http://timestamp.sectigo.com	✅	✅	ที่อยู่เดียวกันรองรับทั้ง Authenticode และ RFC 3161 ทางการกำหนดให้เว้นระยะห่างระหว่างคำขอแต่ละครั้งอย่างน้อย 15 วินาทีเมื่อเรียกใช้แบบกลุ่ม	Sectigo Time Stamp Server
DigiCert	http://timestamp.digicert.com	ยังไม่ยืนยัน	✅	ทางการระบุอย่างชัดเจนว่าใช้สำหรับการประทับเวลา Microsoft Authenticode RFC 3161	DigiCert RFC 3161 TSA
Certum	http://time.certum.pl	✅	✅	เอกสารการลงนามโค้ดอย่างเป็นทางการของ Certum ใช้ที่อยู่นี้สำหรับการลงนามโค้ด Windows และการลงนาม Java JAR	Certum Code Signing
GlobalSign	http://timestamp.globalsign.com/tsa/r45standard	ยังไม่ยืนยัน	✅	เอกสารการลงนามโค้ดปัจจุบันของ GlobalSign ใช้ที่อยู่ R45 นี้	GlobalSign Code Signing in Windows
SSL.com	http://ts.ssl.com	❌	✅	รองรับเฉพาะ RFC 3161 เท่านั้น การประทับเวลาเริ่มต้นอาจใช้คีย์ ECDSA เครื่องมือรุ่นเก่าที่รองรับเฉพาะการประทับเวลาแบบ RSA สามารถประเมินที่อยู่ /legacy ตามคำแนะนำอย่างเป็นทางการได้	SSL.com Using Your Code Signing Certificate

ลำดับที่แนะนำ

เมื่อมุ่งเน้นการลงนามโค้ดแบบ SHA-2 แนะนำให้ประเมินตามลำดับต่อไปนี้:

1. Microsoft: เหมาะเป็นตัวเลือกสำหรับการประทับเวลา RFC 3161 บน Windows
2. Sectigo: รองรับทั้ง Authenticode และ RFC 3161
3. DigiCert: ระบุอย่างเป็นทางการว่ารองรับ Microsoft Authenticode RFC 3161
4. Certum: เอกสารการลงนามโค้ดอย่างเป็นทางการครอบคลุมทั้งสถานการณ์การลงนามบน Windows และ Java
5. GlobalSign: ใช้ที่อยู่ r45standard จากเอกสารทางการปัจจุบัน
6. SSL.com: ใช้เฉพาะเมื่อฝั่งผู้เรียกใช้รองรับ RFC 3161 และยืนยันว่าสามารถตรวจสอบใบรับรองการประทับเวลาและประเภทคีย์ได้

ลำดับนี้แสดงระดับความสอดคล้องกับสถานการณ์การลงนามโค้ดบน Windows ทั่วไป ไม่ใช่การรับประกันคุณภาพบริการ ผลทางกฎหมาย หรือระดับเชิงพาณิชย์ สภาพแวดล้อมการใช้งานจริงควรเลือกตามระบบปฏิบัติการเป้าหมาย ช่องทางออกเครือข่าย ห่วงโซ่การตรวจสอบ ความสามารถในการเข้าถึงตามภูมิภาค และข้อตกลงระดับบริการของผู้ให้บริการ

บริการเฉพาะระบบนิเวศหรือแบบจำกัดการใช้งาน

QuoVadis

QuoVadis ได้เผยแพร่ที่อยู่ RFC 3161 ต่อไปนี้:

• http://ts.quovadisglobal.com/eu
• http://ts.quovadisglobal.com/ch

ข้อกำหนดอย่างเป็นทางการกำหนดให้ต้องลงทะเบียน IP ขาออกของฝั่งผู้เรียกใช้กับ DigiCert ก่อน ดังนั้นจึงไม่สามารถใช้เป็น TSA สาธารณะแบบไม่ระบุตัวตนได้ ควรดำเนินการอนุญาตให้เสร็จสิ้นก่อนเชื่อมต่อ และยืนยันว่านโยบายและห่วงโซ่ใบรับรองที่เลือกสอดคล้องกับสภาพแวดล้อมการตรวจสอบเป้าหมาย

เอกสารอย่างเป็นทางการ: DigiCert/QuoVadis Timestamp Server

Apple

Apple ดำเนินการ PKI การประทับเวลา (Timestamp) ของตนเอง และเผยแพร่ Apple Timestamp CA รวมถึง CPS ที่เกี่ยวข้อง http://timestamp.apple.com/ts01 ใช้สำหรับระบบนิเวศการลงนามโค้ดของ Apple ไม่ควรใช้เป็นตัวเลือกทั่วไปสำหรับ Windows Authenticode

เอกสารอย่างเป็นทางการ: Apple PKI

บริการ RFC 3161 แบบสาธารณะหรือแบบทดลองใช้

บริการต่อไปนี้มี endpoint RFC 3161 แบบสาธารณะ แต่ขอบเขตการใช้งาน โควตาการเรียกใช้ หรือสายความเชื่อถือ (trust chain) ไม่เหมาะสมที่จะใช้เป็นบริการการประทับเวลาสำหรับการลงนามโค้ดในระบบงานจริงทั่วไป ควรตรวจสอบสายใบรับรองการประทับเวลาในสภาพแวดล้อมการตรวจสอบเป้าหมายก่อนใช้งาน

ผู้ให้บริการ	ที่อยู่	ขอบเขตการใช้งาน	ข้อจำกัด	เอกสารอย่างเป็นทางการ
MeSign	http://tsa.mesign.com	การลงนามเอกสาร การเก็บหลักฐานข้อมูลอิเล็กทรอนิกส์ และการทดลองใช้โปรโตคอล RFC 3161	บริการทดลองใช้ฟรีอย่างเป็นทางการมุ่งเน้นการประทับเวลาเอกสาร Adobe จำกัด 20 ครั้งต่อ IP ต่อวัน ความเข้ากันได้กับการลงนามโค้ดต้องตรวจสอบแยกต่างหาก	MeSign TSA
FreeTSA	https://freetsa.org/tsr	การทดสอบโปรโตคอล RFC 3161 การประทับเวลาข้อมูลทั่วไปและโค้ด	บริการสาธารณะฟรี ใช้ CA และใบรับรอง TSA ของตนเอง ไม่ควรสันนิษฐานว่าระบบปฏิบัติการเป้าหมายหรือตัวตรวจสอบการลงนามโค้ดจะเชื่อถือโดยค่าเริ่มต้น	FreeTSA

บริการที่ไม่ควรระบุเป็น endpoint การลงนามโค้ดสาธารณะโดยตรง

ประเภทต่อไปนี้แตกต่างจาก "TSA การลงนามโค้ดสาธารณะที่สามารถกำหนดค่าได้โดยตรง":

• Entrust: หน้าอย่างเป็นทางการปัจจุบันแนะนำผลิตภัณฑ์ Timestamping Authority แบบติดตั้งในองค์กรตามมาตรฐาน RFC 3161/RFC 5816 โดยไม่ได้ยืนยันในหน้านั้นว่า http://timestamp.entrust.net/TSS/RFC3161sha2TS เป็น endpoint การลงนามโค้ดสาธารณะ
• TSA เชิงพาณิชย์ในจีนแผ่นดินใหญ่: ผู้ให้บริการ เช่น GDCA, CFCA, Anxin CA, SmartCert, TrustAsia มีผลิตภัณฑ์การประทับเวลาหรือเครื่องมือลงนาม แต่หน้าผลิตภัณฑ์สาธารณะโดยทั่วไปไม่ระบุ URL การใช้งานจริงแบบรวมศูนย์ที่สามารถเรียกใช้โดยไม่ระบุตัวตน ควรขอรับ endpoint วิธีการยืนยันตัวตน OID ของนโยบาย ขีดจำกัดอัตราการเรียกใช้ และ SLA ผ่านการจัดซื้อ สัญญา หรือฝ่ายสนับสนุนทางเทคนิคของผู้ให้บริการ
• Sigstore Timestamp Authority: นี่คือการนำ RFC 3161 TSA แบบโอเพนซอร์สที่สามารถติดตั้งใช้งานได้ ไม่เทียบเท่ากับ endpoint สาธารณะระดับโลกแบบคงที่
• ที่อยู่ GlobalSign ในอดีต: http://timestamp.globalsign.com/tsa/r6advanced1 และ http://rfc3161timestamp.globalsign.com/advanced ไม่ปรากฏในเอกสารการลงนามโค้ด GlobalSign ปัจจุบัน ควรใช้ที่อยู่ r45standard ที่ประกาศในปัจจุบัน
• StartSSL: http://tsa.startssl.com/rfc3161 ไม่มีข้อมูลบริการอย่างเป็นทางการในปัจจุบันที่ยืนยันได้ ไม่ควรใช้ต่อไป
• ที่อยู่ตัวอย่าง nCipher: http://dse200.ncipher.com/TSS/HttpTspServer ใกล้เคียงกับระบบสาธิตหรือทดสอบในอดีตมากกว่า ไม่มีหลักฐานว่าเป็นบริการการผลิตสาธารณะในปัจจุบัน
• ที่อยู่ซึ่งแหล่งที่มาและนโยบายการดำเนินงานไม่ชัดเจน: https://ca.signfiles.com/tsa/get.aspx, http://services.globaltrustfinder.com/adss/tsa และ https://tsp.iaik.tugraz.at/tsp/TspRequest ขาดเอกสารบริการอย่างเป็นทางการปัจจุบัน นโยบายความน่าเชื่อถือ หรือการรับประกันความพร้อมใช้งานอย่างเพียงพอ ไม่ควรเพิ่มเข้าในรายชื่อตัวเลือกสำหรับการผลิต
• TSA เครือข่ายวิจัยอื่นๆ: ใช้สำหรับการทดสอบโปรโตคอลได้ แต่ไม่มีเอกสารรับประกันการผลิตสำหรับการลงนามโค้ดเพียงพอ จึงไม่แนะนำให้ใช้เป็นบริการเริ่มต้นสำหรับการผลิต

การตรวจสอบก่อนนำเข้าใช้งานจริง

ก่อนเพิ่ม TSA ลงในรายชื่อเริ่มต้นหรือห่วงโซ่สำรองสำหรับการผลิต อย่างน้อยต้องยืนยันว่า:

1. เอกสารอย่างเป็นทางการของผู้ให้บริการระบุ endpoint และโปรโตคอลที่รองรับไว้อย่างชัดเจน
2. ใช้โปรโตคอลการประทับเวลาที่ถูกต้อง ไม่สามารถใช้ที่อยู่ซึ่งรองรับเฉพาะ RFC 3161 กับคำขอ Authenticode ได้
3. ใช้อัลกอริทึมย่อยข้อมูลการประทับเวลาแบบ SHA-256 หรือแข็งแกร่งกว่า และยืนยันว่าแพลตฟอร์มเป้าหมายเข้ากันได้กับอัลกอริทึมการลงนามและชนิดกุญแจของ TSA
4. ตรวจสอบห่วงโซ่ใบรับรองการประทับเวลาทั้งหมดในสภาพแวดล้อมการตรวจสอบ Windows, macOS หรืออื่นๆ ตามเป้าหมาย
5. ยืนยันว่าเครือข่ายขาออก พร็อกซี ไฟร์วอลล์ และ DNS สามารถเข้าถึง endpoint ได้อย่างเสถียร
6. ยืนยันวิธีการรับรองความถูกต้อง การจำกัดอัตรา เงื่อนไขการให้บริการ ข้อจำกัดตามภูมิภาค และ SLA
7. ดำเนินการตรวจสอบลายเซ็นโดยใช้ผลลัพธ์การลงนามจริง ไม่สามารถตัดสินว่า TSA ใช้งานได้จากการเข้าถึงผ่านเบราว์เซอร์หรือรหัสสถานะ HTTP เพียงอย่างเดียว

มาตรฐานอ้างอิง

• RFC 3161: Internet X.509 Public Key Infrastructure Time-Stamp Protocol