Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Windows Defender SmartScreen verifica a reputação dos ficheiros descarregados antes de os permitir executar. Compreender como funciona a reputação ajuda-o a definir as expectativas certas para os seus utilizadores e a escolher a estratégia certa de assinatura.
Sugestão
A forma mais simples de evitar avisos de SmartScreen é publicar através da Microsoft Store. As aplicações distribuídas pela loja possuem o certificado da Microsoft e nunca estão sujeitas a avisos de download do SmartScreen. Tudo o que está neste artigo aplica-se a aplicações distribuídas fora da Loja.
Como funciona a reputação do SmartScreen
O SmartScreen avalia duas coisas quando um utilizador descarrega um ficheiro:
- Reputação do Publicador — O certificado de assinatura é de um publicador conhecido e de confiança?
- Reputação do hash do ficheiro — Este ficheiro específico já foi descarregado por utilizadores suficientes sem ser reportado como malicioso?
Ambos os sinais são necessários para uma experiência de download limpa (sem aviso). Um novo binário assinado de um editor de confiança continuará a receber um aviso SmartScreen até que o seu hash acumule histórico de downloads suficiente.
A reputação do SmartScreen é por hash de ficheiro — cada nova construção da sua aplicação começa com reputação nula. A reputação não se transfere das versões anteriores.
O que mudou em 2024: os certificados de veículos elétricos deixaram de contornar o SmartScreen
Historicamente, os certificados de assinatura de código de Validação Estendida (EV) concediam reputação imediata ao SmartScreen — um binário assinado por EV não apresentava qualquer aviso mesmo no primeiro download. Este comportamento foi removido em 2024, quando a Microsoft atualizou os requisitos do Programa Raiz Confiável.
Comportamento atual (em 2024):
| Tipo de certificado | Comportamento do SmartScreen no primeiro download |
|---|---|
| Sem assinatura | ❌ Bloqueio forte — "Windows protegeu o seu PC"; pode ser necessária confirmação adicional do utilizador antes de a aplicação poder funcionar. A política empresarial pode impedir esta confirmação por completo. |
| Auto-assinado | ❌ Bloco forte — certificado não é confiável por defeito; comportamento igual ao de não assinado |
| Certificado OV (Organização Validada) | ⚠️ Aviso — aplicação assinalada como não reconhecida até acumular reputação; O nome do editor é mostrado como verificado |
| Certificado EV (Validação Alargada) | ⚠️ Aviso — igual ao OV para ficheiros novos (já não é bypass instantâneo) |
| Certificado de Assinatura de Artefatos do Azure (anteriormente Assinatura Confiável) | ⚠️ Aviso para novos ficheiros; A reputação acumula-se normalmente |
| Microsoft Store | ✅ Sem aviso — abrangido pelo certificado de Microsoft |
Os certificados EV continuam a fornecer valor (requerem mais validação de identidade, o que pode ser relevante para compras empresariais), mas já não oferecem um bypass instantâneo do SmartScreen. Pagar um prémio por veículos elétricos apenas para evitar avisos do SmartScreen já não é justificado.
Opções de certificados e as suas implicações no SmartScreen
Microsoft Store (recomendado)
As aplicações publicadas na Microsoft Store são reassinadas pela Microsoft e possuem plena reputação. Os utilizadores nunca verão um aviso de SmartScreen para uma aplicação instalada na Store.
Azure Artifact Signing (anteriormente Trusted Signing)
Azure Artifact Signing (anteriormente Trusted Signing) é o serviço de assinatura de código recomendado pela Microsoft para distribuição fora da Loja:
- Custo: Aproximadamente $10/mês — significativamente menos do que os certificados tradicionais da Califórnia
- Não é necessário token de hardware — integra-se diretamente com pipelines CI/CD (GitHub Actions, Azure DevOps)
- Validação de identidade necessária — Microsoft valida a identidade da sua organização antes de emitir certificados
- Comportamento do SmartScreen: Tal como nas certificações OV — a reputação acumula-se ao longo do tempo com base no volume de downloads
Certificados OV e EV de CAs tradicionais
Também são aceites certificados tradicionais de assinatura de código das Autoridades Certificadoras (DigiCert, Sectigo, etc.). Os certificados OV custam tipicamente entre 150 e 300 dólares por ano; Certificados EV $400+ por ano. Ambos têm agora um comportamento SmartScreen equivalente para ficheiros novos.
Se já tiver um certificado OV ou EV, ele continua válido e funcional. Se estiver a comprar um novo certificado, o Azure Artifact Signing (anteriormente Trusted Signing) é normalmente a melhor escolha para distribuição de aplicações no Windows.
O que esperar ao publicar uma nova aplicação
- Primeiros downloads: Os utilizadores podem ver um aviso do SmartScreen a indicar que a aplicação não é reconhecida. Para aplicações assinadas, o nome do editor é mostrado — o aviso refere-se à baixa reputação do ficheiro, não a um editor desconhecido. Os utilizadores devem avançar apenas após verificarem a fonte.
- À medida que os downloads se acumulam: A reputação do SmartScreen constrói-se automaticamente. O prompt deixa de aparecer assim que o hash do ficheiro tiver histórico de downloads suficiente. Com base nos relatórios dos programadores, isto normalmente demora várias semanas e centenas de instalações limpas — não existe um limiar exato que a Microsoft publique.
- Nova versão: Cada nova build começa do zero — a reputação não se mantém do hash da versão anterior.
Não há forma de submeter manualmente um ficheiro para revisão de reputação do SmartScreen para endpoints de consumidores. A reputação constrói-se organicamente através do volume de downloads.
Sugestão
Para ambientes empresariais, os administradores de TI podem submeter ficheiros para revisão através do portal Microsoft Security Intelligence. Isto pode acelerar a confiança em implementações internas ou geridas, mas não afeta o comportamento do SmartScreen dos consumidores.
Observação
Ambientes empresariais geridos pela Microsoft Defender para Endpoint ou Windows Defender Application Control (WDAC) podem apresentar comportamentos diferentes do SmartScreen dependendo da configuração da política. Os administradores de TI podem adicionar certificados de editores específicos ou hashes de ficheiros a uma lista de permissões para contornar as verificações do SmartScreen em dispositivos geridos.
Minimizar os avisos do SmartScreen na prática
- Publicar para a Microsoft Store sempre que possível — esta é a forma mais fiável de evitar avisos por completo
- Assinar cada lançamento — ficheiros não assinados apresentam um aviso SmartScreen mais forte do que os assinados, e as empresas podem bloquear completamente os binários não assinados.
- Use uma identidade de assinatura consistente — alterar o seu certificado de assinatura afeta o sinal de confiança do editor; Note que o hash de cada nova build também começa sem reputação de ficheiro, independentemente da continuidade do certificado
- Utilize Azure Assinatura de Artefatos (anteriormente Trusted Signing) para distribuição fora da Store — é económica e integra-se com pipelines de compilação automatizados
- Comunique com os primeiros utilizadores — para novas aplicações, informe os utilizadores beta que podem ver um aviso SmartScreen no primeiro download, e que só devem avançar depois de verificarem o editor e confirmarem que confiam na fonte do download
Conteúdo relacionado
- Escolha um caminho de distribuição para a sua aplicação de Windows
- Estado atual das funcionalidades de distribuição de Windows aplicações
- Assinar um pacote de aplicação usando o SignTool
- Documentação de Assinatura de Artefactos do Azure (anteriormente Assinatura Confiável)
- Requisitos do Programa de Raízes Fidedignas da Microsoft
Colabore connosco no GitHub
A origem deste conteúdo pode ser encontrada no GitHub, onde também pode criar e rever problemas e pedidos Pull. Para mais informações, consulte o nosso guia do contribuidor.
Windows developer