Windows 安装包询价时，EV 往往比 OV 贵一截，销售还爱甩「首下就过 SmartScreen」「企业更认」这类承诺。签完包、挂到官网，用户第一次下载照样可能弹「未识别的应用」。过几个月账单上又多出一笔按次费，合同里次数和超额单价当初没人念出声。买之前想问清的其实就几件事：SmartScreen 还认不认 EV 特权、非商店分发还有没有更省事的路径、证书合同里有没有次数帽。
SmartScreen 现在怎么看 OV / EV
Microsoft Learn 的《SmartScreen reputation for Windows app developers》写得很明白：EV 不再带来首下即信任。多年前用 EV 签过的文件默认就有正向声誉，这套行为已经没了。OV 和 EV 都要靠下载量和干净运行去攒发布者与文件哈希的声誉。新二进制即使用合法证书签过，仍可能先弹警告，直到声誉够了才消停。页面还写：仅为了躲 SmartScreen 去付 EV 溢价，已经说不通。走 Microsoft Store 分发的应用由微软证书重签，用户侧通常看不到下载阶段的 SmartScreen 警告——这是文中反复推荐的路径。
同站《Code signing options for Windows app developers》把几条路摆成对照表。Store 的 MSIX 提交一般由微软代签，开发者不必自购证书。若走 MSI/EXE 安装包进 Store，安装包仍须自己用 Trusted Root 链上的证书签好。非商店分发，微软推荐 Azure Artifact Signing（原 Trusted Signing）：Learn 页写起步价大约每月 9.99 美元，不强制插硬件令牌，可挂进常见 CI。地区限制也写在同一页：组织目前是美国、加拿大、欧盟、英国。个人目前仅美国和加拿大。个人开发者若在这些地区外，文中指向传统 OV。OV 常见年费区间页上给的是大约 150–300 美元。EV 写的是大约 400 美元起/年，并注明自 2024 年起对 SmartScreen 不再有即时放行，仅为躲警告买 EV 不再划算。自签名或不签名只适合本机或已部署信任根的企业内网，不适合公网分发。
内核驱动是另一条线。《Driver signing》写明：从 Windows 10 / Windows Server 2016 起，内核模式驱动要走 Windows Hardware Developer Center，流程需要 EV 证书。普通桌面安装包和驱动不要混着选型。
证书产品页和合同里该盯什么
拿 SSL.com 公开的代码签名产品页举例（别家 CA 结构类似，具体数字回各家产品页核对）：IV（个人）、OV（组织）、Sole Proprietor EV、组织 EV 四档。内核驱动相关能力写在 EV / EV SP 上。私钥须放在硬件令牌、HSM 或 eSigner 一类云 HSM，不能导出。建议签名时打时间戳，证书过期后已签名文件仍可验证。FAQ 也写了：自 2024 年 3 月起，EV 与 OV 在 SmartScreen 上按同等的下载量积累声誉，不再靠校验等级送即时信任。
「超额按次收费、开始超额没邮件」这类说法，目前主要来自用户报告。打开上述产品页和 Azure Artifact Signing 公开价目，没有核到某家固定的「超次每次 10 美元」官方单价。Azure 价目表上的具体美元数字在公开页里也可能被占位符藏掉，只能回到 Learn 上的约 9.99 美元/月口径，以及合同/用量邮件里写死的配额。收到意外账单时，先核对合同次数、控制台用量和客服说明，再决定续费、换 SKU 或迁签发通道，不要把传闻单价写进采购单当官方价。
别用破解工具、来路不明的「代签」服务碰生产安装包。证书私钥一旦外泄，声誉可以跟着整条发布者身份一起坏掉。
你们现在走 Store、Artifact Signing 还是传统 OV/EV？合同里次数帽和超额条款是怎么写的，有没有人被超额通知漏过？