在Windows应用生态中，微软商店（Microsoft Store）已成为开发者触达亿万用户的核心分发渠道。如果您正计划将Win32 MSI/EXE应用程序上架微软商店，除了熟悉上架流程与规范之外，还有一个绕不开的技术刚需——数字证书的配置与应用。它直接决定了你的应用能否顺利通过审核并成功发布。本文将重点介绍微软商店上架必备的两类数字证书：代码签名证书与SSL证书。
一、微软商店对MSI/EXE应用程序上架的核心要求
如果您准备将Win32 MSI或EXE安装程序提交到微软商店，微软官方文档中明确规定了必须满足的两项核心安全要求：
强制性数字签名：.msi或.exe安装程序及其包含的所有可移植可执行PE文件，必须使用由微软受信任根计划CA颁发的代码签名证书进行数字签名。自签名证书或非信任CA颁发的证书均不被接受。
版本控制的HTTPS下载链接：必须在合作伙伴中心提交支持HTTPS加密的、已进行版本控制的直接下载URL。这意味着必须使用SSL证书为应用程序下载域名或子域名启用HTTPS加密访问。
由此可见，代码签名证书与SSL证书两类数字证书是MSI/EXE应用程序上架的技术刚需。前者是为了确保应用程序的源头可信、代码完整；后者则是为了保证下载通道的安全，防止内容在传输过程中被劫持或篡改。
二、代码签名证书，用于对安装程序与PE 文件数字签名
代码签名证书是一种提供给软件开发者，对其开发的可执行脚本、软件代码和内容进行数字签名的数字证书，其支持.msi、.exe，.ocx、.xpi、.dll和.cab等格式文件的应用程序数字签名，可标志开发者真实身份，确保代码完整性。
微软官方文档中列出可使用Sectigo 、DigiCert或 GlobalSign等证书颁发机构（CA）颁发的代码签名证书，对Win32 MSI/EXE应用程序及其所有PE 文件进行数字签名。
小贴士：代码签名证书您可选择物理UKey形式，也可选择远程代码签名服务，其可无缝集成CI/CD，实现自动化签发流水线，使用教程可参阅《远程代码签名服务使用指南》。
三、SSL证书，用于版本控制的下载URL实现 HTTPS
SSL证书是一种用于保护网络传输数据安全的数字证书，它可实现网站HTTPS加密保护及身份可信认证，防止传输数据的泄露或篡改，提高网站可信度与可见性。
为满足微软官方对下载URL的要求，可从锐安信sslTrus、Sectigo、Digicert等可信CA获取SSL证书，并将SSL证书部署于服务器上，使URL实现HTTPS加密访问。
小贴士：Nginx、Tomcat、Apache、IIS、Exchange等服务器部署SSL证书教程可参阅《部署SSL证书》。
对开发者来说，将MSI/EXE应用程序上架微软商店不是简单提交安装包，而是要搭建代码签名+ HTTPS托管的完整合规链路。代码签名证书解决“包可信”问题，是过审与用户信任的核心；SSL证书解决“链安全”问题，是下载URL的强制要求。两类数字证书各司其职、缺一不可。
