'"قام Windows بحماية الكمبيوتر الخاص بك": ماذا يعني تحذير SmartScreen وكيف تتخلص منه'

تنشر ملف Setup.exe، فينزّله أحد العملاء، ثم يعرض Windows مربعًا أزرق: "قام Windows بحماية الكمبيوتر الخاص بك. منع Microsoft Defender SmartScreen بدء تشغيل تطبيق غير معروف." التطبيق سليم. والمثبّت سليم. فما الذي حدث، وما الذي يمكنك فعله حيال ذلك؟

ما الذي يتحقق منه SmartScreen

SmartScreen خدمة سمعة. عند تشغيل ملف نُزّل من الإنترنت، يسأل Windows شركة Microsoft عمّا إذا كان هذا الملف، أو الشهادة التي وُقّع بها، معروفًا وموثوقًا. ثلاثة عوامل تحدد الإجابة:

1. توقيع التعليمات البرمجية. هل الملف موقّع بشهادة صادرة عن مرجع مصدق يثق به Windows، وهل لهذه الشهادة (أي "الناشر") سجل سابق.
2. سمعة التنزيل. كم عدد الأشخاص الذين نزّلوا هذا الملف بعينه وشغّلوه، وهل أُبلغ عن أي شيء سيئ بشأنه.
3. التهديدات المعروفة. هل يطابق الملف برمجية خبيثة. إن كان كذلك، فإنه يُحظر تمامًا، بشاشة حمراء لا زرقاء.

المثبّت الجديد تمامًا من ناشر صغير يفشل في أول فحصين لمجرد أنه جديد. يقول التحذير "غير معروف"، وهذا صحيح حرفيًا، ويمكن للمستخدمين النقر على مزيد من المعلومات ← التشغيل على أي حال. وكثيرون لن يفعلوا.

ما الذي يُزيل التحذير

السمعة تتراكم مع الوقت

يكتسب المثبّت غير الموقّع سمعة كلما زاد عدد من ينزّلونه ويشغّلونه دون مشاكل. بالنسبة إلى تنزيل شائع، يستغرق ذلك أيامًا أو أسابيع؛ أما الأداة المتخصصة فقد يستغرق الأمر وقتًا طويلًا، وكل إصدار جديد يبدأ من الصفر لأن الملف مختلف.

توقيع التعليمات البرمجية، ولماذا يغيّر الصورة

توقيع المثبّت بشهادة توقيع تعليمات برمجية يربط هويتك به. عندها تتراكم السمعة على الشهادة لا على كل ملف، فيرث الإصدار الجديد الثقة التي اكتسبتها الإصدارات السابقة. هذا هو الحل القياسي.

خياراتك:

• شهادة توقيع تعليمات برمجية قياسية (OV) من مرجع مصدق عام (DigiCert وSectigo وGlobalSign والموزعون). منذ عام 2023 تُصدر هذه الشهادات على رموز أجهزة مميزة أو وحدات HSM سحابية. توقّع بضع مئات من الدولارات سنويًا. تبدأ السمعة منخفضة وتنمو مع التنزيلات، لكنها تنتقل بين الإصدارات.
• شهادة توقيع تعليمات برمجية من نوع EV. تحقق أكثر صرامة من الهوية، وسعر أعلى. تاريخيًا كانت تحصل على سمعة جيدة في SmartScreen بسرعة أكبر. قلّصت Microsoft هذه الميزة مع الوقت، فتعامل مع EV على أنها "تحقق أفضل من الهوية" لا تصريح مرور فوري مضمون.
• Azure Trusted Signing. خدمة التوقيع الخاصة بـ Microsoft، بتسعير شهري ومصممة للأفراد والشركات الصغيرة في المناطق المدعومة. توقّع بشهادات قصيرة الأجل مرتبطة بهويتك المتحقق منها، ويتعامل معها SmartScreen جيدًا.

أيًا كان اختيارك، أضف طابعًا زمنيًا إلى التوقيع ليبقى صالحًا بعد انتهاء صلاحية الشهادة.

توقيع مثبّت ExeTup

يبني ExeTup المثبّت؛ أما توقيعه فخطوتك أنت، لأن الشهادة ملكك. بعد تنزيل Setup.exe:

على Windows، باستخدام Windows SDK:

signtool sign /fd SHA256 /tr http://timestamp.digicert.com /td SHA256 /a Setup.exe

على macOS أو Linux، باستخدام osslsigncode:

osslsigncode sign -pkcs12 cert.pfx -pass "..." -t http://timestamp.digicert.com -h sha256 -in Setup.exe -out Setup-signed.exe

تقبل مثبّتات NSIS توقيع Authenticode دون أي معالجة خاصة. وقّع أيضًا ملف .exe الخاص بتطبيقك نفسه قبل ضغطه في zip، ليكون البرنامج الذي يشغّله المستخدمون موقّعًا بدوره. انقر بزر الفأرة الأيمن على الملف الموقّع ← خصائص ← التوقيعات الرقمية للتأكد.

ما الذي تخبر به المستخدمين في هذه الأثناء

إن لم تكن توقّع بعد، فإن ملاحظة قصيرة على صفحة التنزيل تساعد: أن التحذير يظهر للبرامج الجديدة من الناشرين الصغار، وأن المثبّت آمن، وأن النقر على مزيد من المعلومات ← التشغيل على أي حال يثبّته. انشر تجزئة SHA-256 للملف ليتمكن المستخدمون الحذرون من التحقق من التنزيل. يعرض ExeTup تجزئة كل بناء بجوار رابط تنزيله.

استضف التنزيل أيضًا على نطاقك الخاص عبر HTTPS، وحافظ على الملف نفسه للإصدار نفسه. إعادة رفع ملفات معدّلة تعيد سمعة التنزيل إلى الصفر.

ما الذي لا يفيد

• إعادة تسمية الملف أو ضغطه في zip أو تغيير الأيقونة. السمعة مرتبطة بتجزئة الملف وبالشهادة.
• الشهادات الموقّعة ذاتيًا. لا يثق بها Windows، فيبقى التحذير ويبدو التوقيع أسوأ من عدمه.
• مطالبة المستخدمين بإيقاف SmartScreen. لا ينبغي لهم ذلك، ومعظمهم لن يفعل.

الأسئلة الشائعة

هل يُصنَّف المثبّت الخاص بي على أنه فيروس؟

لا. الشاشة الزرقاء "قام Windows بحماية الكمبيوتر الخاص بك" تعني "غير معروف" لا "خبيث". أما الشاشة الحمراء مع عبارة "تم حظر هذا التطبيق لحمايتك" فهي حكم ببرمجية خبيثة، وتلك مشكلة مختلفة.

هل سيظهر التحذير مجددًا مع كل إصدار جديد؟

للمثبّتات غير الموقّعة، نعم، لأن كل إصدار ملف جديد. أما للمثبّتات الموقّعة، فالسمعة تتبع الشهادة، لذا تبدأ الإصدارات اللاحقة بالثقة التي اكتسبتها الإصدارات السابقة.

هل يوقّع ExeTup المثبّتات؟

ليس في الوقت الحالي. وقّع ملف Setup.exe الذي نزّلته بشهادتك الخاصة باستخدام signtool أو osslsigncode. يقبل المثبّت التوقيع مثل أي ملف تنفيذي آخر في Windows.

هل يظهر التحذير أيضًا لبرنامج إلغاء التثبيت؟

يُشغَّل برنامج إلغاء التثبيت من القرص المحلي ولا يُنزَّل، لذلك لا يفحصه SmartScreen. وقد يرى المستخدمون بدلًا من ذلك مطالبة "التحكم في حساب المستخدم" القياسية في عمليات التثبيت لجميع المستخدمين.