«Система Windows защитила ваш компьютер»: что означает предупреждение SmartScreen и как от него избавиться

Вы выпускаете Setup.exe, клиент его скачивает, и Windows показывает синее окно: «Система Windows защитила ваш компьютер. Фильтр SmartScreen в Microsoft Defender предотвратил запуск неопознанного приложения.» С приложением всё в порядке. С установщиком тоже. Что произошло и что с этим делать?

Что проверяет SmartScreen

SmartScreen — это служба репутации. Когда запускается файл, скачанный из интернета, Windows спрашивает у Microsoft, известен ли этот файл или сертификат, которым он подписан, и можно ли ему доверять. Ответ определяют три фактора:

1. Подпись кода. Подписан ли файл сертификатом от центра сертификации, которому доверяет Windows, и есть ли у этого сертификата (у «издателя») история.
2. Репутация загрузки. Сколько людей скачали и запустили именно этот файл и сообщал ли кто-нибудь о проблемах с ним.
3. Известные угрозы. Совпадает ли файл с известным вредоносным ПО. Если да, он блокируется полностью, с красным экраном вместо синего.

Совершенно новый установщик от небольшого издателя не проходит первые две проверки просто потому, что он новый. В предупреждении сказано «неопознанное», и это буквально так: пользователи могут нажать Подробнее → Выполнить в любом случае. Многие этого не сделают.

Что убирает предупреждение

Репутация накапливается со временем

Неподписанный установщик набирает репутацию по мере того, как всё больше людей скачивают и запускают его без инцидентов. Для популярной загрузки это занимает дни или недели; для нишевого инструмента может растянуться надолго, и каждая новая версия начинает с нуля, потому что файл другой.

Подпись кода и почему она всё меняет

Подпись установщика сертификатом подписи кода привязывает к нему вашу личность. Репутация тогда накапливается у сертификата, а не у каждого файла, поэтому новая версия наследует доверие предыдущих. Это стандартное решение.

Ваши варианты:

• Стандартный сертификат подписи кода (OV) от публичного ЦС (DigiCert, Sectigo, GlobalSign и реселлеры). С 2023 года они выдаются на аппаратных токенах или в облачных HSM. Рассчитывайте на несколько сотен долларов в год. Репутация всё равно начинается с низкой и растёт с загрузками, но переносится между версиями.
• EV-сертификат подписи кода. Более строгая проверка личности, более высокая цена. Исторически такие сертификаты быстрее получали хорошую репутацию в SmartScreen. Microsoft со временем уменьшила это преимущество, так что считайте EV «более серьёзной проверкой личности», а не гарантированным мгновенным пропуском.
• Azure Trusted Signing. Собственная служба подписи Microsoft с помесячной оплатой, рассчитанная на частных лиц и небольшие компании в поддерживаемых регионах. Она подписывает краткосрочными сертификатами, привязанными к вашей проверенной личности, и SmartScreen относится к ней хорошо.

Что бы вы ни выбрали, добавьте к подписи метку времени, чтобы она оставалась действительной после истечения срока сертификата.

Подпись установщика ExeTup

ExeTup собирает установщик; подписать его — ваш шаг, потому что сертификат принадлежит вам. После скачивания Setup.exe:

В Windows, с помощью Windows SDK:

signtool sign /fd SHA256 /tr http://timestamp.digicert.com /td SHA256 /a Setup.exe

В macOS или Linux, с помощью osslsigncode:

osslsigncode sign -pkcs12 cert.pfx -pass "..." -t http://timestamp.digicert.com -h sha256 -in Setup.exe -out Setup-signed.exe

Установщики NSIS принимают подпись Authenticode без какой-либо специальной обработки. Подпишите также .exe самого приложения, прежде чем упаковывать его в zip, чтобы программа, которую запускают пользователи, тоже была подписана. Для проверки: правый клик по подписанному файлу → Свойства → Цифровые подписи.

Что сказать пользователям на время

Если вы пока не подписываете, поможет короткая заметка на странице загрузки: предупреждение появляется для нового ПО от небольших издателей, установщик безопасен, а нажатие Подробнее → Выполнить в любом случае запускает установку. Опубликуйте хеш SHA-256 файла, чтобы осторожные пользователи могли проверить загрузку. ExeTup показывает хеш каждой сборки рядом с её загрузкой.

Кроме того, размещайте загрузку на собственном домене по HTTPS и сохраняйте один и тот же файл для одной и той же версии. Повторная загрузка изменённых файлов сбрасывает репутацию загрузки.

Что не помогает

• Переименование файла, упаковка в zip или смена значка. Репутация считается по хешу файла и по сертификату.
• Самоподписанные сертификаты. Windows им не доверяет, поэтому предупреждение остаётся, а такая подпись выглядит хуже, чем её отсутствие.
• Просьбы к пользователям отключить SmartScreen. Им не следует этого делать, и большинство не станет.

Частые вопросы

Мой установщик помечен как вирус?

Нет. Синий экран «Система Windows защитила ваш компьютер» означает «неизвестно», а не «вредоносно». Красный экран с надписью «Это приложение заблокировано в целях защиты» — это вердикт о вредоносном ПО, и это другая проблема.

Каждая новая версия снова покажет предупреждение?

Для неподписанных установщиков — да, потому что каждая версия является новым файлом. Для подписанных установщиков репутация следует за сертификатом, так что следующие версии начинают с доверия, заработанного предыдущими.

ExeTup подписывает установщики?

Пока нет. Подпишите скачанный Setup.exe собственным сертификатом с помощью signtool или osslsigncode. Установщик принимает подпись, как любой другой исполняемый файл Windows.

Появляется ли предупреждение и для деинсталлятора?

Деинсталлятор запускается с локального диска, а не скачивается, поэтому SmartScreen его не проверяет. Вместо этого при установке для всех пользователей пользователи могут увидеть стандартный запрос контроля учётных записей.