コードサイニング証明書で署名したのにSmartScreen警告が消えないのはなぜですか？

多くはレピュテーション（評判）の蓄積不足が原因です。OV・EVのどちらで署名しても、Microsoft SmartScreenのレピュテーションが蓄積されるまで警告が出ることがあり、ダウンロード数が増えるにつれて減っていきます。以前あったEV証明書への即時信頼の優遇は、Microsoftが現在は行っていないと公表しています。同じ証明書で継続して署名を続けることが有効です。

署名したのに「発行元不明」と表示されます。

署名されていない、署名後にファイルを編集して署名が壊れた、中間証明書が不足してチェーンが繋がらない、ハッシュアルゴリズムが古い（SHA-1）などが原因です。まず署名検証ツールで署名の有無と状態を確認し、ビルド→署名の順序（署名は最後）を守り、/fd SHA256 を指定してください。

証明書の有効期限が切れると、署名済みのソフトウェアも無効になりますか？

タイムスタンプ付きで署名していれば、証明書の有効期限が切れた後も既存の署名は有効なままです。タイムスタンプは証明書が有効だった時点で署名されたことを証明します。ただし新しいリリースへの署名には有効な証明書が必要です。タイムスタンプを付け忘れると期限切れとともに署名も無効とみなされるため、署名時は必ずタイムスタンプを付けてください。

signtool が証明書を見つけられません。

USBトークンが挿さっているか、SafeNet Authentication Client（SAC）が起動しトークンを認識しているかを確認してください。別のUSBポートへの差し替えやSACの再インストールも有効です。signtool の /a（自動選択）や /n "サブジェクト名" で証明書を明示指定する方法もあります。

☎ 048-837-7778

SSL証明書 > FAQ／情報 > 署名したのに SmartScreen 警告が消えない？コードサイニングのトラブル解決

【SSL証明書】FAQ／情報

署名したのに SmartScreen 警告が消えない？コードサイニングのトラブル解決

ページ更新日：2026/10/10

コードサイニング証明書で署名したのに Windows SmartScreen の警告が消えない、signtool でエラーが出る、「発行元不明」と表示される——こうしたトラブルを原因別に整理しました。
まず現状把握として、署名済みファイルの状態を Authenticode 署名検証ツールで確認することをおすすめします（署名の有無・改ざん・署名者・OV/EV・タイムスタンプをブラウザで検証できます）。

① まず署名の状態を確認する

トラブル対応の第一歩は「そもそも署名が正しく付いているか」の確認です。
Authenticode 署名検証ツールに実行ファイル（.exe / .dll）をアップロードすると、次が分かります。

署名が付いているか（未署名なら SmartScreen は必ず警告します）
署名後にファイルが改ざんされていないか（改ざんされると署名は無効になります）
署名者が誰か・OV か EV か・証明書が有効期限内か
タイムスタンプが付いているか（付いていないと期限切れ後に署名が無効化されます）

Windows 上では signtool verify /pa /v yourapp.exe または PowerShell の Get-AuthenticodeSignature yourapp.exe | Format-List * でも確認できます。

② 署名したのに SmartScreen 警告が消えない

署名は正しく付いているのに「WindowsによってPCが保護されました」の警告が出る場合、多くはレピュテーション（評判）の蓄積不足が原因です。

状況	対処
署名した直後（OV・EV 共通）	Microsoft SmartScreen のレピュテーションが蓄積されるまで警告が出ることがあります。ダウンロード数が増えるにつれて警告は自然に減っていきます。
EV に替えれば消える？	消えません。以前は EV コードサイニング証明書に評判を即時付与する優遇がありましたが、Microsoft は現在その扱いを行っていないと公表しています。OV・EV とも評判の蓄積が必要で、EV の差はカーネルモードドライバーの Microsoft への提出に使えることと審査の厳格さです。
新バージョンで再び警告が出た	レピュテーションは発行元単位で蓄積されますが、大きく変わったバイナリでは一時的に警告が出ることがあります。同一証明書で継続的に署名を続けることが有効です。

※ SmartScreen の警告有無は Microsoft 側のレピュテーション判定に依存し、証明書の種類（OV・EV）で差はありません。

③「発行元不明」と表示される

そもそも署名されていない：署名検証ツールで署名の有無を確認してください。未署名なら発行元は表示されません。
署名の暗号検証に失敗している：署名後にファイルを編集・再圧縮すると署名が壊れます。ビルド → 署名の順序（署名は最後）を守ってください。
チェーンが繋がらない：中間証明書が不足していると信頼されません。証明書チェーン全体を含めて署名してください。
ハッシュアルゴリズムが古い：/fd SHA256 を指定してください（SHA-1 は現在信頼されません）。署名コマンドは signtool コマンド生成ツールで作成できます。

④ signtool のエラー別対処

症状	対処
signtool が証明書を見つけられない（No certificates were found…）	USB トークンが挿さっているか、SafeNet Authentication Client（SAC）が起動しトークンを認識しているかを確認。別の USB ポートへの差し替え、SAC の再インストールも有効です。`/a`（自動選択）や `/n "サブジェクト名"` で明示指定も試してください。
トークンがロックされた	PIN を規定回数間違えるとトークンはロックされます。SAC の管理者パスワード（Admin PIN）でロック解除できる場合があります。解除できない場合は再発行が必要です。
タイムスタンプサーバーに接続できない	署名実行 PC から HTTP（80番ポート）で外部に接続できるか、プロキシ・ファイアウォールの設定を確認してください。別の TSA（DigiCert / Sectigo / GlobalSign / SSL.com）に切り替えるのも有効です。
SignerSign() failed	証明書の秘密鍵にアクセスできていない可能性があります。トークンのログイン状態、証明書ストアの権限を確認してください。

⑤ 証明書の期限切れと既存署名（タイムスタンプの意味）

タイムスタンプ付きで署名したソフトウェアは、証明書の有効期限が切れた後も既存の署名は有効なままです。タイムスタンプは「証明書が有効だった時点で署名された」ことを証明するためです。
ただし、新しいリリース（新バージョン）への署名には有効な証明書が必要です。期限が近づいたら早めに更新してください。タイムスタンプを付け忘れると、証明書の期限切れとともに既存の署名も無効とみなされるため、署名時は必ずタイムスタンプ（/tr）を付けてください。

⑥ カーネルモードドライバーの署名

現行 Windows 向けの新規カーネルモードドライバーは、原則として Microsoft による署名（ハードウェアデベロッパーセンターでのアテステーション署名または WHQL）が必要です。Microsoft への提出には、パートナーセンターのアカウントに有効な EV コードサイニング証明書を登録する必要があります。提出パッケージの署名には、同アカウントに登録済みの通常のコードサイニング証明書（OV）も使用できます。EV で署名しただけでは配布できません。詳しくは EV コードサイニング証明書とは？をご覧ください。

解決しない場合は

弊社（エスロジカル）で取り扱うデジサートコードサイニング証明書をご購入いただいたお客様には、署名環境の設定・トラブル対応も丁寧にサポートいたします。

種類	ご注文
OV コードサイニング証明書（一般的なソフトウェア配布・スクリプト署名）
EV コードサイニング証明書（カーネルドライバーの Microsoft への提出に必須）
ご不明な点・お見積もり