MS Defender SmartScreen schadet Indie-Entwicklern

1. Um Apps für Windows zu vertreiben, muss man für 100 $ pro Jahr ein Code-Signing-Zertifikat kaufen

2. Selbst mit Zertifizierung erscheint SmartScreen weiterhin, wenn keine Reputation vorhanden ist

→ Der WinGet-Paketmanager stuft es als Malware ein, wenn SmartScreen erscheint. Eine Verteilung ist also nicht möglich

3. Selbst wenn man Reputation aufgebaut hat, wird sie bei einer Zertifikatsaktualisierung wieder zurückgesetzt. Deshalb muss man ein langfristiges Zertifikat kaufen …

4. App-Publisher können SmartScreen umgehen, wenn sie ein teures "Extended Validation Code Signing Certificate" für 289 bis 699 $ pro Jahr kaufen

[xguru]

App-Entwickler entscheiden sich offenbar oft dafür, ein EV-Zertifikat zu kaufen, um SmartScreen zu passieren, aber dagegen wirkt selbst die Apple-Entwickler-Mitgliedschaft für 100 US-Dollar noch günstig. Es heißt allerdings, dass es auch Fälle gibt, in denen man selbst mit einem EV-Zertifikat keinen Bypass bekommt..

Der Entwickler von Glyphfinder hat den Prozess zum Kauf eines EV-Zertifikats ausführlich beschrieben.

https://twitter.com/hanspagel/status/1262317935898566658