ラピットくん 
この記事で分かること
- SmartScreen の「Windows によって PC が保護されました」は何を見て出るのか
- コード署名の選び方（Azure Artifact Signing・OV・EV・署名しない）と、2024年に変わった EV 証明書の扱い
- 小さな会社の私たちが、証明書を買わずに Microsoft Store（MSIX）を主な配り方にした理由
はじめに — 署名のない installer を、どうするか
私たちは FolderOS という Windows アプリを作っています。直接配布しているインストーラーには、コード署名がありません。
signature=NotSigned署名の無いインストーラーを初めて開くと、Windows は「Windows によって PC が保護されました」という青い画面（SmartScreen）を出すことがあります。会社の PC にアプリを入れてもらう立場では、この画面は小さくない壁です。
いろいろ調べて、私たちは証明書は買わず、一般の人への配り方を Microsoft Store（MSIX）に寄せると決めました。この記事は、その判断の材料と理由です。
SmartScreen は何を見ているか
SmartScreen の警告は「このファイルは危険だ」という判定ではなく、「この発行元・このファイルを、まだあまり見たことがない」という知らせに近いものです。見ているのは大きく2つです。
- だれが作ったか: コード署名（Authenticode）があれば、発行元の名前が出る
- どれだけ使われてきたか: そのファイルがどれだけ安全にダウンロードされてきたか（評判）
つまり、署名をしても評判が積み上がるまでは警告が出ることがあります。小さな会社が新しいアプリを配ると、まさにここに当たります。
「署名」は2種類ある
混同しやすいのが、自動更新の署名です。FolderOS は Tauri の更新の仕組みを使っていて、更新ファイルには署名を付けています。これは「途中で中身をすり替えられていないか」をアプリ自身が確かめるためのもので、Windows の SmartScreen には効きません。
| 何のためか | SmartScreen に効くか | |
|---|---|---|
| 自動更新の署名（Tauri など） | 更新ファイルのすり替えを防ぐ | 効かない |
| コード署名（Authenticode） | 発行元を Windows に示す・評判を積む | 効く |
コード署名の選択肢（2026年10月時点）
| 内容 | 費用の目安 | 小さな会社から見て | |
|---|---|---|---|
| A. Azure Artifact Signing（旧 Trusted Signing） | Microsoft が証明書を管理し、署名のたびに呼ぶ。CI から使いやすい | 月額の定額（公式の価格ページで確認） | 手軽。ただし利用できる国・組織に条件がある（公式の案内で確認が要る） |
| B. OV コード署名証明書 | 認証局から買う。鍵はハードウェア（USB・クラウド HSM）に置く | 年 数万円〜 | 評判が付くまで警告が残ることがある |
| C. EV コード署名証明書 | B の厳格版 | 年 十数万円〜 | 2024年の Microsoft のルール変更で、EV でも最初から警告が消えるわけではなくなった（下で説明） |
| D. 署名しない | 配り方で補う | 0円 | 一般の人が自分で落として入れるのには向かない |
EV 証明書でも、最初から警告は消えない
以前は「EV 証明書なら、最初から SmartScreen の警告が出ない」と言われていました。ところが Microsoft は 2024年に、EV 証明書だけを特別に扱うのをやめるとルールを改め、EV も OV も、ダウンロードの実績で評判を積む扱いになりました（効き始めた時期は、資料によって3月・8月と書き方が分かれています）。
EV には、組織の確認が厳しい・カーネルドライバーの署名に要る、といった利点は残ります。ただ「SmartScreen を消すため」に高い EV を買う理由は、小さな会社にとっては弱くなりました。
- Microsoft Q&A: Program Requirements – Microsoft Trusted Root Program（EV code signing）
- ToDesktop: EV certs do not grant immediate reputation anymore
私たちの判断 — Microsoft Store（MSIX）を主にする
決め手は3つでした。
- Store から入れる人には、署名の問題が無い。 MSIX という形式で Store に出すと、Store 側が署名してくれます。証明書を買う必要がありません
- 証明書を買っても、すぐには警告が消えない。 上のとおり、OV でも EV でも評判を積むまで時間がかかります。お金を払っても、最初の利用者の体験はあまり変わりません
- 私たちの配り方に合っている。 一般の人は Store から入れてもらい、会社への導入は私たちが立ち会って入れます。立ち会いの場なら、警告が出ても、その場で説明できます
最初はうまくいかなかった
実は最初、EXE のインストーラーをそのまま Store に出しました。結果は署名が無いことを理由に不合格。そこで MSIX に作り直して出し直しました。EXE で Store に出すなら署名が要る、MSIX なら Store が署名する、という違いは、出してみるまで分かりませんでした。
決めたことの中身
- 一般の人は Microsoft Store から入れる。製品サイトのダウンロードの入口も Store だけにした
- 直接配布の installer（署名なし）は残す。 用途は、すでに使っている人の自動更新と、私たちが立ち会って入れるとき
- リリースの仕組みには、署名の「受け皿」だけ用意してある。 署名の設定がそろったときだけ署名し、出来上がった installer の署名が有効かを確かめて、だめならリリースを止める。いまは動かしていない。お客様が増えて直接配布が要るようになったら、A〜C を改めて考える
代わりに引き受けたこと
Store を主にすると、更新は Store が配ることになります。Store の外で自分を更新するアプリは審査に通らないので、Store 版にはアプリ自身の自動更新を付けていません。
その結果、Store に新しい版を出さない限り、Store から入れた人には新しい版が届きません。直接配布の版だけ先に進んでしまわないよう、節目の版ごとに Store へ出す手順をリリースの決まりに入れました。
まとめ
- SmartScreen は「発行元」と「評判」を見ている。署名しても、評判が積み上がるまでは警告が出ることがある
- 2024年から、EV 証明書でも最初から警告が消えるわけではない
- 小さな会社の私たちは、証明書を買わずに Microsoft Store（MSIX）を主な配り方にした。代わりに、Store へ版を出し続ける手間を引き受けた
FolderOS について
FolderOS は、会社の共有フォルダを、エクスプローラーと同じ手つきで見て・探せる Windows アプリです。Word・Excel の中身まで1秒かからずに探せ、AI に頼むときも会社フォルダの外は読みません。Microsoft Store から無料で入れられます。
AppTalentHub では、こうした「小さく作って、確かめながら出す」アプリづくりを、中小企業や新規事業の現場で支援しています。ご相談は AppTalentHub のサイト からどうぞ。
