Cómo firmar digitalmente el ejecutable del cliente de MU Online

Cuando un jugador descarga el cliente de tu servidor de MU Online y Windows muestra "Editor desconocido" o el antivirus bloquea el main.exe sin motivo aparente, la tasa de abandono en el primer contacto se dispara — mucha gente simplemente desiste de instalar. Firmar digitalmente el ejecutable del cliente resuelve gran parte de ese problema: comprueba que el archivo proviene de una fuente identificable y que no fue alterado desde la firma, lo que reduce las alertas de SmartScreen y mejora la confianza percibida por la comunidad. Este tutorial cubre desde la elección del certificado hasta el proceso técnico de firma y el mantenimiento a lo largo del tiempo.

Por qué firmar el ejecutable del cliente

Un ejecutable no firmado, al descargarse por internet, recibe automáticamente el atributo "Mark of the Web" de Windows, que activa el SmartScreen en la primera ejecución, mostrando el aviso amarillo "Windows protegió tu PC". Muchos antivirus también usan la ausencia de firma como una de las señales (entre varias) para decidir si ponen el archivo en cuarentena preventivamente. Firmar el ejecutable con un certificado válido de una autoridad certificadora reconocida elimina la causa más básica de esas alertas y empieza a construir reputación de editor con el tiempo.

Tipos de certificado de firma de código

Para un servidor privado de MU Online con presupuesto limitado, un certificado OV ya trae una ganancia perceptible, sobre todo combinado con un volumen de descargas constante a lo largo del tiempo. Un certificado EV es lo ideal si el proyecto ya tiene ingresos recurrentes (donaciones, VIP, tienda) que justifiquen la mayor inversión.

Dónde obtener el certificado

Las autoridades certificadoras reconocidas por Windows para firma de código incluyen DigiCert, Sectigo (antigua Comodo) y GlobalSign, entre otras revendidas por socios locales en Latinoamérica. El proceso típico implica: registro de la entidad (persona física o jurídica), envío de documentos comprobatorios, validación telefónica (principalmente en EV) y emisión del certificado, generalmente entregado en un token USB físico (obligatorio para EV, recomendado para OV).

Preparando el entorno de firma

Para firmar en Windows, la herramienta estándar es signtool.exe, distribuida con el Windows SDK. Verifica si está instalada:

where signtool

Si no la encuentras, instala el Windows SDK (el componente "Signing Tools for Desktop Apps" es suficiente, sin necesidad del SDK completo).

Firmando el ejecutable con signtool

Con el certificado instalado en el repositorio de certificados de Windows (o en el token conectado), el comando básico de firma es:

signtool sign /n "Nombre de tu Empresa" /t http://timestamp.digicert.com /fd sha256 "C:\Cliente\main.exe"

• /n especifica el nombre del certificado a usar (debe coincidir con el nombre registrado).
• /t apunta a un servidor de timestamp — esencial, ya que garantiza que la firma siga siendo válida incluso después de que el certificado expire.
• /fd sha256 define el algoritmo de hash, el estándar actual recomendado.

Para firmar varios archivos a la vez (launcher, main.exe, DLLs auxiliares), usa un bucle:

for %f in (main.exe launcher.exe patcher.exe) do signtool sign /n "Nombre de tu Empresa" /t http://timestamp.digicert.com /fd sha256 "C:\Cliente\%f"

Verificando la firma

Después de firmar, siempre valida antes de distribuir:

signtool verify /pa /v "C:\Cliente\main.exe"

El parámetro /pa usa la política de verificación estándar de Authenticode. Si la salida muestra "Successfully verified", el archivo está correctamente firmado y con timestamp válido.

Firmando el launcher y el instalador

No firmes solo el main.exe del juego — el launcher (responsable de actualizar archivos e iniciar el cliente) es generalmente el primer ejecutable que corre el jugador, y es en él donde aparece primero la alerta de SmartScreen. Si distribuyes un instalador (Setup.exe generado por Inno Setup, NSIS, etc.), firma también el instalador final, después de compilarlo, no solo los archivos internos.

Automatizando la firma en el proceso de build

Si el servidor lanza actualizaciones de cliente con frecuencia, integra la firma al pipeline de build en vez de hacerlo manualmente cada vez. Un script simple de post-build:

@echo off
signtool sign /n "Nombre de tu Empresa" /t http://timestamp.digicert.com /fd sha256 "%1"
if %errorlevel% neq 0 (
    echo ERROR: fallo al firmar %1
    exit /b 1
)
echo Firmado con éxito: %1

Llama a este script como último paso del build, para cada ejecutable generado, y falla el proceso de release si la firma no funciona — esto evita distribuir por error un binario sin firmar.

Construyendo reputación ante SmartScreen

Incluso con certificado válido, el SmartScreen de Windows usa un sistema de reputación basado en el volumen de descargas y denuncias. En las primeras semanas después de cambiar de certificado (o usar uno nuevo), es normal seguir viendo alguna alerta. La reputación se construye con: volumen constante de descargas del mismo binario firmado, ausencia de denuncias de usuarios, y tiempo. Evita volver a firmar el mismo archivo con hashes diferentes sin necesidad — cada nuevo hash empieza la reputación desde cero.

Errores comunes y soluciones

Lista de verificación de firma del cliente

• Certificado de firma de código (OV o EV) obtenido de una autoridad reconocida.
• signtool instalado y probado localmente.
• main.exe, launcher e instalador firmados, no solo el ejecutable principal.
• Timestamp incluido en todas las firmas.
• Verificación (signtool verify) ejecutada después de cada firma.
• Proceso de firma automatizado en el pipeline de build/release.
• Reputación de SmartScreen monitoreada en las primeras semanas tras el lanzamiento.

Con el cliente firmado y más confiable para que el jugador lo descargue, vale la pena complementar esta capa de seguridad revisando también los puntos de entrada web del proyecto (sitio, launcher online, área de descargas) mediante la guía de auditoría de vulnerabilidades web.

Preguntas frecuentes