« Windows a protégé votre ordinateur » : comprendre l'avertissement SmartScreen et s'en débarrasser

Vous livrez un Setup.exe, un client le télécharge, et Windows affiche une boîte bleue : « Windows a protégé votre ordinateur. Microsoft Defender SmartScreen a empêché le démarrage d'une application non reconnue. » L'application est saine. L'installateur est sain. Que s'est-il passé, et que pouvez-vous y faire ?

Ce que SmartScreen vérifie

SmartScreen est un service de réputation. Quand un fichier téléchargé depuis Internet est exécuté, Windows demande à Microsoft si ce fichier, ou le certificat avec lequel il est signé, est connu et digne de confiance. Trois éléments déterminent la réponse :

1. La signature de code. Le fichier est-il signé avec un certificat émis par une autorité de certification à laquelle Windows fait confiance, et ce certificat (l'« éditeur ») a-t-il un historique ?
2. La réputation du téléchargement. Combien de personnes ont téléchargé et exécuté ce fichier précis, et quelque chose de suspect a-t-il été signalé à son sujet ?
3. Les menaces connues. Le fichier correspond-il à un logiciel malveillant ? Si oui, il est bloqué purement et simplement, avec un écran rouge et non bleu.

Un installateur tout neuf d'un petit éditeur échoue aux deux premières vérifications simplement parce qu'il est nouveau. L'avertissement parle d'application « non reconnue », ce qui est littéralement vrai, et les utilisateurs peuvent cliquer sur Informations complémentaires → Exécuter quand même. Beaucoup ne le feront pas.

Ce qui fait disparaître l'avertissement

La réputation se construit avec le temps

Un installateur non signé gagne en réputation à mesure que des gens le téléchargent et l'exécutent sans incident. Pour un téléchargement populaire, cela prend des jours ou des semaines ; pour un outil de niche, cela peut être très long, et chaque nouvelle version repart de zéro parce que le fichier est différent.

La signature de code, et pourquoi elle change la donne

Signer l'installateur avec un certificat de signature de code y attache votre identité. La réputation s'accumule alors sur le certificat, et non sur chaque fichier : une nouvelle version hérite de la confiance acquise par les précédentes. C'est la solution standard.

Vos options :

• Un certificat de signature de code standard (OV) auprès d'une AC publique (DigiCert, Sectigo, GlobalSign et leurs revendeurs). Depuis 2023, ils sont délivrés sur des jetons matériels ou des HSM cloud. Comptez quelques centaines de dollars par an. La réputation part toujours de bas et grandit avec les téléchargements, mais elle se transmet d'une version à l'autre.
• Un certificat de signature de code EV. Vérifications d'identité plus strictes, prix plus élevé. Historiquement, ils obtenaient plus vite une bonne réputation SmartScreen. Microsoft a réduit cet avantage au fil du temps : considérez l'EV comme une « meilleure vérification d'identité », pas comme un laissez-passer immédiat garanti.
• Azure Trusted Signing. Le service de signature de Microsoft, facturé mensuellement et conçu pour les particuliers et les petites entreprises dans les régions prises en charge. Il signe avec des certificats de courte durée liés à votre identité vérifiée, et SmartScreen le traite favorablement.

Quel que soit votre choix, horodatez la signature pour qu'elle reste valide après l'expiration du certificat.

Signer un installateur ExeTup

ExeTup construit l'installateur ; le signer est votre étape, parce que le certificat est le vôtre. Après avoir téléchargé Setup.exe :

Sur Windows, avec le Windows SDK :

signtool sign /fd SHA256 /tr http://timestamp.digicert.com /td SHA256 /a Setup.exe

Sur macOS ou Linux, avec osslsigncode :

osslsigncode sign -pkcs12 cert.pfx -pass "..." -t http://timestamp.digicert.com -h sha256 -in Setup.exe -out Setup-signed.exe

Les installateurs NSIS acceptent une signature Authenticode sans traitement particulier. Signez aussi le .exe de votre application, avant de le compresser en zip, pour que le programme lancé par les utilisateurs soit lui aussi signé. Clic droit sur le fichier signé → Propriétés → Signatures numériques pour vérifier.

Quoi dire aux utilisateurs en attendant

Si vous ne signez pas encore, une courte note sur votre page de téléchargement aide : l'avertissement apparaît pour les nouveaux logiciels de petits éditeurs, l'installateur est sûr, et cliquer sur Informations complémentaires → Exécuter quand même l'installe. Publiez le hachage SHA-256 du fichier pour que les utilisateurs prudents puissent vérifier le téléchargement. ExeTup affiche le hachage de chaque build à côté de son téléchargement.

Hébergez aussi le téléchargement sur votre propre domaine en HTTPS, et conservez le même fichier pour la même version. Re-téléverser des fichiers modifiés remet la réputation de téléchargement à zéro.

Ce qui n'aide pas

• Renommer le fichier, le compresser en zip ou changer l'icône. La réputation est liée au hachage du fichier et au certificat.
• Les certificats auto-signés. Windows ne leur fait pas confiance : l'avertissement reste, et la signature fait plus mauvaise impression qu'aucune signature.
• Demander aux utilisateurs de désactiver SmartScreen. Ils ne devraient pas, et la plupart ne le feront pas.

Questions fréquentes

Mon installateur est-il signalé comme un virus ?

Non. L'écran bleu « Windows a protégé votre ordinateur » signifie « inconnu », pas « malveillant ». Un écran rouge avec « Cette application a été bloquée pour votre protection » est un verdict de logiciel malveillant, ce qui est un problème différent.

Chaque nouvelle version affichera-t-elle de nouveau l'avertissement ?

Pour les installateurs non signés, oui, parce que chaque version est un nouveau fichier. Pour les installateurs signés, la réputation suit le certificat : les versions suivantes démarrent avec la confiance gagnée par les précédentes.

ExeTup signe-t-il les installateurs ?

Pas pour le moment. Signez le Setup.exe téléchargé avec votre propre certificat à l'aide de signtool ou osslsigncode. L'installateur accepte la signature comme n'importe quel autre exécutable Windows.

L'avertissement apparaît-il aussi pour le désinstallateur ?

Le désinstallateur est exécuté depuis le disque local, pas téléchargé, donc SmartScreen ne le contrôle pas. Les utilisateurs peuvent voir à la place une invite standard du Contrôle de compte d'utilisateur pour les installations destinées à tous les utilisateurs.