Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Windows Defender SmartScreen controleert de reputatie van gedownloade bestanden voordat ze kunnen worden uitgevoerd. Als u begrijpt hoe reputatie werkt, kunt u de juiste verwachtingen voor uw gebruikers instellen en de juiste ondertekeningsstrategie kiezen.
Aanbeveling
De eenvoudigste manier om SmartScreen-waarschuwingen te voorkomen, is door de Microsoft Store te publiceren. Store-gedistribueerde apps bevatten Microsoft certificaat en zijn nooit onderhevig aan SmartScreen-downloadwaarschuwingen. Alles in dit artikel is van toepassing op apps die buiten de Store worden gedistribueerd.
Hoe de Reputatie van SmartScreen werkt
SmartScreen evalueert twee dingen wanneer een gebruiker een bestand downloadt:
- Publisher reputatie — Is het handtekeningcertificaat afkomstig van een bekende, vertrouwde publisher?
- Reputatie van bestands-hash : is dit specifieke bestand gedownload door voldoende gebruikers zonder te worden gerapporteerd als schadelijk?
Beide signalen zijn vereist voor een schone downloadervaring (geen waarschuwing). Een nieuw ondertekend binair bestand van een vertrouwde uitgever ontvangt nog steeds een SmartScreen-prompt totdat de hash voldoende downloadgeschiedenis verzamelt.
De SmartScreen-reputatie is per bestands-hash . Elke nieuwe build van uw app begint met nul reputatie. Reputatie wordt niet overgedragen van eerdere versies.
Wat er in 2024 is gewijzigd: EV-certificaten overslaan SmartScreen niet meer
In het verleden boden Extended Validation (EV) code signing certificaten een onmiddellijke SmartScreen-reputatie. Een binair bestand met EV-ondertekening zou zelfs bij de eerste download geen waarschuwing tonen. Dit gedrag is in 2024 verwijderd toen Microsoft de vereisten voor het vertrouwde basisprogramma heeft bijgewerkt.
Huidig gedrag (vanaf 2024):
| Certificaattype | SmartScreen-gedrag bij eerste download |
|---|---|
| Geen handtekening | ❌ Sterk blok — "Windows heeft uw pc beveiligd"; mogelijk is extra bevestiging van de gebruiker vereist voordat de app kan worden uitgevoerd. Ondernemingsbeleid kan deze bevestiging volledig voorkomen. |
| Zelfondertekend | ❌ Sterk blok - certificaat niet standaard vertrouwd; hetzelfde gedrag als niet-ondertekend |
| OV-certificaat (Organisatie Gevalideerd) | ⚠✏ Waarschuwing: app gemarkeerd als niet herkend totdat de reputatie zich opstapelt; naam van uitgever wordt weergegeven als geverifieerd |
| EV-certificaat (uitgebreide validatie) | ⚠️ Waarschuwing — hetzelfde als OV voor nieuwe bestanden (niet langer een directe bypass) |
| Azure Artefactondertekening (voorheen Vertrouwde Ondertekening) certificaat | ⚠️ Waarschuwing voor nieuwe bestanden; reputatie verzamelt zich normaal |
| Microsoft Store | ✅ Geen waarschuwing, gedekt door het certificaat van Microsoft |
EV-certificaten bieden nog steeds waarde (ze vereisen meer identiteitsvalidatie, wat van belang kan zijn voor aanschaf van ondernemingen), maar ze bieden geen directe SmartScreen-bypass meer. Het betalen van een premie voor EV alleen om SmartScreen-waarschuwingen te voorkomen, is niet langer gerechtvaardigd.
Certificaatopties en de gevolgen van SmartScreen
Microsoft Store (aanbevolen)
Apps die via de Microsoft Store zijn gepubliceerd, worden opnieuw ondertekend door Microsoft en dragen volledige reputatie. Gebruikers zien nooit een SmartScreen-waarschuwing voor een door de Store geïnstalleerde app.
Azure Artifact Signing (voorheen Trusted Signing)
Azure Artifact Signing (voorheen Trusted Signing) is de door Microsoft aanbevolen service voor het ondertekenen van programmacode voor niet-Store-distributie:
- Kosten: Ongeveer $ 10 per maand - aanzienlijk lager dan traditionele CA-certificaten
- No hardwaretoken vereist — kan rechtstreeks worden geïntegreerd met CI/CD-pijplijnen (GitHub Actions, Azure DevOps)
- Identiteitsvalidatie vereist — Microsoft valideert de identiteit van uw organisatie voordat certificaten worden uitgegeven
- Gedrag van SmartScreen: Hetzelfde als OV-certificaten : reputatie wordt in de loop van de tijd opgebouwd op basis van het downloadvolume
OV- en EV-certificaten van traditionele CA's
Traditionele certificaten voor ondertekening van programmacode van certificeringsinstanties (DigiCert, Sectigo, enzovoort) worden ook geaccepteerd. OV-certificaten kosten doorgaans $ 150-300 per jaar; EV-certificaten $ 400 + / jaar. Beide hebben nu gelijkwaardig SmartScreen-gedrag voor nieuwe bestanden.
Als u al een OV- of EV-certificaat hebt, blijft het geldig en functioneel. Als u een nieuw certificaat aanschaft, is Azure Artifact Signing (voorheen Vertrouwde ondertekening) doorgaans de betere keuze voor Windows app-distributie.
Wat u kunt verwachten wanneer u een nieuwe app publiceert
- Eerste downloads: Gebruikers zien mogelijk een SmartScreen-prompt die aangeeft dat de app niet wordt herkend. Voor ondertekende apps wordt de naam van de uitgever weergegeven: de waarschuwing gaat over een lage bestandsreputatie, niet over een onbekende uitgever. Gebruikers moeten alleen doorgaan nadat ze de bron hebben geverifieerd.
- Naarmate downloads zich verzamelen: SmartScreen-reputatie wordt automatisch opgebouwd. De prompt wordt niet meer weergegeven zodra de bestands-hash voldoende downloadgeschiedenis heeft. Op basis van ontwikkelaarsrapporten duurt dit doorgaans severale weken en honderden schone installaties: er is geen exacte drempelwaarde Microsoft publiceert.
- Nieuwe versie: Elke nieuwe build begint nieuw: de reputatie wordt niet overgedragen van de hash van de vorige versie.
Er is geen manier om handmatig een bestand in te dienen voor de reputatiebeoordeling van SmartScreen voor consumenteneindpunten. Reputatie wordt organisch opgebouwd door het aantal downloads.
Aanbeveling
Voor bedrijfsomgevingen kunnen IT-beheerders bestanden indienen om ze te controleren via de Microsoft Beveiliging Intelligence-portal. Dit kan de vertrouwensrelatie voor interne of beheerde implementaties versnellen, maar heeft geen invloed op het SmartScreen-gedrag van consumenten.
Opmerking
Bedrijfsomgevingen die worden beheerd door Microsoft Defender voor Eindpunt of Windows Defender Application Control (WDAC) hebben mogelijk een ander SmartScreen-gedrag, afhankelijk van de beleidsconfiguratie. IT-beheerders kunnen specifieke uitgeverscertificaten of bestands-hashes toestaan om SmartScreen-controles voor beheerde apparaten te omzeilen.
SmartScreen-waarschuwingen in de praktijk minimaliseren
- Publiceren naar de Microsoft Store waar mogelijk, is dit de meest betrouwbare manier om waarschuwingen volledig te voorkomen
- Elke release ondertekenen : niet-ondertekende bestanden tonen een sterkere SmartScreen-waarschuwing dan ondertekende bestanden en ondernemingen kunnen niet-ondertekende binaire bestanden volledig blokkeren
- Gebruik een consistente ondertekeningsidentiteit : het wijzigen van uw handtekeningcertificaat is van invloed op het vertrouwenssignaal van de uitgever; houd er rekening mee dat de hash van elke nieuwe build ook begint zonder bestandsreputatie, ongeacht de certificaatcontinuïteit
- Gebruik Azure Artifact Signing (voorheen Trusted Signing) voor distributie buiten de Store — het is kosteneffectief en kan worden geïntegreerd met geautomatiseerde build-pijplijnen.
- Communiceren met early adopters : voor nieuwe apps, laat bètagebruikers weten dat ze mogelijk een SmartScreen-prompt zien bij het eerste downloaden en dat ze alleen moeten doorgaan nadat ze de uitgever hebben geverifieerd en bevestigen dat ze de downloadbron vertrouwen
Verwante inhoud
Met ons samenwerken op GitHub
De bron voor deze inhoud vindt u op GitHub, waar u ook problemen en pull-aanvragen kunt maken en controleren. Bekijk onze gids voor inzenders voor meer informatie.
Windows developer