Observamos recentemente um aumento nos avisos do Microsoft SmartScreen quando os usuários tentam executar seus aplicativos assinados.
Este post explica por que isso acontece, como funciona a reputação SmartScreen (com base na orientação mais recente da Microsoft) e o que você deve esperar daqui para frente.
O que é a Reputação da SmartScreen?
O Microsoft SmartScreen é um sistema de segurança baseado em reputação que avalia aplicativos baixados antes de permitir que eles sejam executados.
A Microsoft define o SmartScreen para permitir o seguinte:
- Reputação do editor → Confiabilidade do certificado de assinatura de código
- Reputação do arquivo (hash) → Se o arquivo específico foi amplamente baixado e é confiável (Microsoft Learn)
Isso significa que a confiança não é instantânea — mesmo para aplicações devidamente assinadas.
Por que os avisos da SmartScreen estão aparecendo?
Você pode ver avisos como: "O Windows protegeu seu PC"
Isso normalmente ocorre quando:
- O aplicativo é novo ou lançado recentemente
- O arquivo tem baixa prevalência de downloads
- Um novo certificado está sendo utilizado
- O binário mudou (nova versão = novo hash de arquivo)
A Microsoft afirma claramente que cada arquivo deve construir sua própria reputação baseada no uso real (Microsoft Learn)
Até pequenas atualizações reiniciam a reputação do arquivo.
Informações importante: Assinar sozinho não é suficiente
Um equívoco comum é:
"Se meu app estiver assinado, ele não deve mostrar avisos de SmartScreen."
Não é assim que o SmartScreen funciona.
- Assinatura de código garante identidade e integridade
- O SmartScreen avalia a reputação ao longo do tempo
Uma assinatura válida ≠ confiança imediata
EV vs Certificados de Assinatura de Código Padrão
Historicamente, os certificados de veículos elétricos ajudaram a impulsionar a reputação mais rapidamente. No entanto, com base nas orientações atuais da Microsoft:
- Tanto os certificados EV quanto os certificados padrão dependem da construção de reputação
- O fator-chave continua sendo a adoção real e os sinais de confiança
Reputação é conquistada, não concedida instantaneamente.
Como a Reputação da SmartScreen é construída
A reputação melhora com o tempo quando:
- Usuários baixam e instalam o aplicativo
- Nenhum comportamento malicioso é detectado
- A editora assina softwares de forma consistente
O SmartScreen utiliza telemetria e sinais para determinar se o software é comumente baixado e seguro.
Até lá, o pedido é tratado como "desconhecido" e sinalizado com cautela.
Por que isso importa agora
Com as melhorias contínuas de segurança no ecossistema da Microsoft, o SmartScreen está se tornando cada vez mais rigoroso e orientado pela reputação.
Isso significa:
- Novas inscrições quase sempre recebem avisos iniciais
- Atualizações e novas versões vão resetar temporariamente a confiança
- Aplicações menores ou de nicho podem demorar mais para construir reputação
O que isso significa para os clientes da GlobalSign
É importante esclarecer:
-
Avisos do SmartScreen NÃO indicam:
- Certificados GlobalSign inválidos ou comprometidos
- Problemas com seu processo de assinatura
- Falhas de segurança na sua aplicação
-
Eles indicam:
- A aplicação ainda não construiu reputação suficiente
Melhores Práticas para Reduzir Avisos de SmartScreen
Para construir reputação mais rápido e minimizar avisos:
- Mantenha a Consistência dos Certificados
- Use a mesma identidade de editora em diferentes lançamentos
- Aumente a Distribuição
- Incentive downloads de canais confiáveis
- Assine Todas as Autorizações
- Certifique-se de que cada binário esteja devidamente assinado e com carimbo de data e hora
- Evite mudanças frequentes de certificado
- Novos certificados exigem reconstrução de reputação
- Comunique os usuários
- Informe os usuários que avisos iniciais são esperados para novos softwares
Conclusão final
O SmartScreen foi projetado para proteger os usuários de softwares desconhecidos, não para validar certificados.
Mesmo ao usar os certificados de assinatura de código confiáveis do GlobalSign:
- Reputação leva tempo
- Avisos são esperados inicialmente
- A confiança é construída por meio do uso no mundo real
Entender como funciona o modelo de reputação SmartScreen da Microsoft ajuda a estabelecer as expectativas corretas — tanto para desenvolvedores quanto para usuários finais. Se você tiver dúvidas sobre avisos do SmartScreen ou sobre como a reputação se constrói ao longo do tempo, entre em contato com o Suporte da GlobalSign para obter orientações.
