'"O Windows protegeu o computador": o que significa o aviso do SmartScreen e como eliminá-lo'

Você publica um Setup.exe, um cliente faz o download e o Windows mostra uma caixa azul: "O Windows protegeu o computador. O Microsoft Defender SmartScreen impediu a inicialização de um aplicativo não reconhecido." O aplicativo está bem. O instalador está bem. O que aconteceu e o que você pode fazer a respeito?

O que o SmartScreen verifica

O SmartScreen é um serviço de reputação. Quando um arquivo baixado da internet é executado, o Windows pergunta à Microsoft se aquele arquivo, ou o certificado com que ele foi assinado, é conhecido e confiável. Três fatores determinam a resposta:

1. Assinatura de código. Se o arquivo está assinado com um certificado de uma autoridade certificadora em que o Windows confia, e se esse certificado (o "editor") tem histórico.
2. Reputação de download. Quantas pessoas baixaram e executaram exatamente esse arquivo, e se algo ruim foi relatado sobre ele.
3. Ameaças conhecidas. Se o arquivo corresponde a um malware. Se corresponder, ele é bloqueado de imediato, com uma tela vermelha em vez de azul.

Um instalador recém-criado por um editor pequeno falha nas duas primeiras verificações simplesmente por ser novo. O aviso diz "não reconhecido", o que é literalmente verdade, e os usuários podem clicar em Mais informações → Executar mesmo assim. Muitos não vão clicar.

O que faz o aviso desaparecer

A reputação é construída com o tempo

Um instalador sem assinatura ganha reputação à medida que mais pessoas o baixam e executam sem incidentes. Para um download popular, isso leva dias ou semanas; para uma ferramenta de nicho pode levar muito tempo, e cada nova versão começa do zero porque o arquivo é diferente.

Assinatura de código e por que ela muda o cenário

Assinar o instalador com um certificado de assinatura de código anexa a sua identidade a ele. A reputação passa a se acumular no certificado, não em cada arquivo, então uma nova versão herda a confiança das anteriores. Essa é a solução padrão.

Suas opções:

• Um certificado de assinatura de código padrão (OV) de uma CA pública (DigiCert, Sectigo, GlobalSign e revendedores). Desde 2023 eles são emitidos em tokens de hardware ou HSMs na nuvem. Conte com algumas centenas de dólares por ano. A reputação ainda começa baixa e cresce com os downloads, mas é mantida entre versões.
• Um certificado de assinatura de código EV. Verificação de identidade mais rigorosa, preço mais alto. Historicamente, eles conquistavam uma boa reputação no SmartScreen mais rápido. A Microsoft reduziu essa vantagem ao longo do tempo, então trate o EV como "verificação de identidade melhor", não como um passe livre instantâneo garantido.
• Azure Trusted Signing. O serviço de assinatura da própria Microsoft, com cobrança mensal e voltado a pessoas físicas e pequenas empresas em regiões com suporte. Ele assina com certificados de curta duração vinculados à sua identidade verificada, e o SmartScreen o trata bem.

Seja qual for a escolha, aplique um carimbo de data/hora à assinatura para que ela continue válida depois que o certificado expirar.

Assinando um instalador do ExeTup

O ExeTup constrói o instalador; assiná-lo é a sua etapa, porque o certificado é seu. Depois de baixar o Setup.exe:

No Windows, com o Windows SDK:

signtool sign /fd SHA256 /tr http://timestamp.digicert.com /td SHA256 /a Setup.exe

No macOS ou Linux, com osslsigncode:

osslsigncode sign -pkcs12 cert.pfx -pass "..." -t http://timestamp.digicert.com -h sha256 -in Setup.exe -out Setup-signed.exe

Instaladores NSIS aceitam uma assinatura Authenticode sem nenhum tratamento especial. Assine também o .exe do seu próprio aplicativo, antes de compactá-lo em zip, para que o programa que os usuários abrem também esteja assinado. Clique com o botão direito no arquivo assinado → Propriedades → Assinaturas digitais para confirmar.

O que dizer aos usuários enquanto isso

Se você ainda não assina, uma nota curta na sua página de download ajuda: que o aviso aparece em software novo de editores pequenos, que o instalador é seguro e que clicar em Mais informações → Executar mesmo assim faz a instalação. Publique o hash SHA-256 do arquivo para que usuários cautelosos possam verificar o download. O ExeTup mostra o hash de cada build ao lado do download.

Hospede também o download no seu próprio domínio com HTTPS e mantenha o mesmo arquivo para a mesma versão. Reenviar arquivos alterados zera a reputação de download.

O que não ajuda

• Renomear o arquivo, compactá-lo em zip ou trocar o ícone. A reputação é por hash do arquivo e por certificado.
• Certificados autoassinados. O Windows não confia neles, então o aviso continua e a assinatura passa uma impressão pior do que nenhuma.
• Pedir aos usuários que desativem o SmartScreen. Eles não deveriam, e a maioria não vai.

Perguntas frequentes

Meu instalador está sendo marcado como vírus?

Não. A tela azul "O Windows protegeu o computador" significa "desconhecido", não "malicioso". Uma tela vermelha com "Este aplicativo foi bloqueado para sua proteção" é um veredito de malware, que é um problema diferente.

Toda nova versão vai mostrar o aviso de novo?

Para instaladores sem assinatura, sim, porque cada versão é um arquivo novo. Para instaladores assinados, a reputação acompanha o certificado, então as versões seguintes começam com a confiança que as anteriores conquistaram.

O ExeTup assina os instaladores?

No momento, não. Assine o Setup.exe baixado com o seu próprio certificado usando signtool ou osslsigncode. O instalador aceita a assinatura como qualquer outro executável do Windows.

O aviso também aparece para o desinstalador?

O desinstalador é executado a partir do disco local, não baixado, então o SmartScreen não o verifica. Em instalações para todos os usuários, os usuários podem ver, em vez disso, o prompt padrão do Controle de Conta de Usuário.