Nous avons récemment constaté une augmentation des avertissements Microsoft SmartScreen lorsque les utilisateurs tentent d'exécuter leurs applications signées.
Cet article explique pourquoi cela se produit, comment fonctionne la réputation SmartScreen (sur la base des dernières recommandations de Microsoft) et à quoi vous devez vous attendre à l'avenir.
Qu'est-ce que la réputation SmartScreen ?
Microsoft SmartScreen est un système de sécurité basé sur la réputation qui évalue les applications téléchargées avant de les autoriser à s'exécuter.
Microsoft définit SmartScreen comme permettant d'évaluer les éléments suivants :
- Réputation de l'éditeur → Fiabilité du certificat de signature de code
- Réputation du fichier (hachage) → Si le fichier en question a été largement téléchargé et est considéré comme fiable (Microsoft Learn)
Cela signifie que la confiance n'est pas immédiate, même pour les applications correctement signées.
Pourquoi des avertissements SmartScreen apparaissent-ils ?
Vous pouvez voir des avertissements tels que : « Windows a protégé votre PC »
Cela se produit généralement lorsque :
- L'application est nouvelle ou a été récemment publiée
- Le fichier est peu téléchargé
- Un nouveau certificat est utilisé
- Le fichier binaire a changé (nouvelle version = nouveau hachage de fichier)
Microsoft indique clairement que chaque fichier doit se forger sa propre réputation en fonction de son utilisation réelle (Microsoft Learn)
Même de petites mises à jour réinitialisent la réputation du fichier.
Remarque importante : la signature seule ne suffit pas
Une idée fausse courante est la suivante :
Si mon application est signée, elle ne devrait pas afficher d’avertissements SmartScreen.
Ce n’est pas ainsi que fonctionne SmartScreen.
- La signature de code garantit l'identité et l'intégrité
- SmartScreen évalue la réputation au fil du temps
Une signature valide ≠ confiance immédiate
Certificats de signature de code EV vs standard
Historiquement, les certificats EV permettaient de se forger une réputation plus rapidement. Cependant, d'après les recommandations actuelles de Microsoft :
- Les certificats EV et standard reposent tous deux sur la construction d'une réputation
- Le facteur clé reste l'adoption dans la pratique et les signaux de confiance
La réputation se mérite, elle n'est pas accordée instantanément.
Comment se construit la réputation SmartScreen
La réputation s'améliore au fil du temps lorsque :
- Les utilisateurs téléchargent et installent l'application
- Aucun comportement malveillant n'est détecté
- L'éditeur signe systématiquement ses logiciels
SmartScreen utilise la télémétrie et des signaux pour déterminer si un logiciel est couramment téléchargé et sûr.
Jusqu'à ce moment-là, l'application est considérée comme « inconnue » et signalée avec prudence.
Pourquoi cela est-il important ?
Avec les améliorations continues en matière de sécurité dans l'écosystème Microsoft, SmartScreen devient de plus en plus strict et axé sur la réputation.
Cela signifie que :
- Les nouvelles applications feront presque toujours l'objet d'avertissements initiaux
- Les mises à jour et les nouvelles versions réinitialiseront temporairement la confiance
- Les applications plus petites ou de niche peuvent mettre plus de temps à se forger une réputation
Ce que cela signifie pour les clients de GlobalSign
Il est important de préciser que :
-
Les avertissements SmartScreen n'indiquent PAS :
- Des certificats GlobalSign invalides ou compromis
- Des problèmes avec votre processus de signature
- Des failles de sécurité dans votre application
-
Ils indiquent :
- Que l'application n'a pas encore acquis une réputation suffisante
Meilleures pratiques pour réduire les avertissements SmartScreen
Pour établir une réputation plus rapidement et minimiser les avertissements :
- Maintenez la cohérence des certificats
- Utilisez la même identité d'éditeur pour toutes les versions
- Encouragez les téléchargements à partir de canaux de confiance
- Signez toutes les versions
- Assurez-vous que chaque fichier binaire est correctement signé et horodaté
- Évitez les changements fréquents de certificats
- Les nouveaux certificats nécessitent de rétablir la réputation
- Communiquez avec les utilisateurs
- Informez les utilisateurs que des avertissements initiaux sont à prévoir pour les nouveaux logiciels
Conclusion
SmartScreen est conçu pour protéger les utilisateurs contre les logiciels inconnus, et non pour valider les certificats.
Même en utilisant les certificats de signature de code de confiance de GlobalSign :
- L'établissement d'une réputation prend du temps
- Des avertissements sont à prévoir au début
- La confiance s'établit grâce à l'utilisation en conditions réelles
Comprendre le fonctionnement du modèle de réputation SmartScreen de Microsoft permet de définir des attentes réalistes, tant pour les développeurs que pour les utilisateurs finaux. Si vous avez des questions concernant les avertissements SmartScreen ou la manière dont la réputation s'établit au fil du temps, contactez l'assistance GlobalSign pour obtenir des conseils.
