CertCentral: DigiCert KeyGen, our new key generation service
DigiCert is happy to announce our new key generation service—KeyGen. Use KeyGen to generate and install your client and code signing certificates from your browser. KeyGen can be used on macOS and Windows and is supported by all major browsers.
With KeyGen, you don't need to generate a CSR to order your client and code signing certificates. Place your order without a CSR. Then after we process the order and your certificate is ready, DigiCert sends a "Generate your Certificate" email with instructions on using KeyGen to get your certificate.
How does KeyGen work?
KeyGen generates a keypair and then uses the public key to create a certificate signing request (CSR). KeyGen sends the CSR to DigiCert, and DigiCert sends the certificate back to KeyGen. Then KeyGen downloads a PKCS12 (.p12) file to your desktop that contains the certificate and the private key. The password you create during the certificate generation process protects the PKCS12 file. When you use the password to open the certificate file, the certificate gets installed in your personal certificate store.
To learn more about generating client and code signing certificates from your browser, see the following instructions:
Verified Mark Certificates (VMC): Three new approved trademark offices
We are happy to announce that DigiCert now recognizes three more intellectual property offices for verifying the logo for your VMC certificate. These new offices are in Korea, Brazil, and India.
New approved trademark offices:
Other approved trademark offices:
What is a Verified Mark Certificate?
Verified Mark Certificates (VMCs) are a new type of certificate that allows companies to place a certified brand logo next to the “sender” field in customer inboxes.
Bugfix: Code Signing (CS) certificate generation email sent only to CS verified contact
We fixed a bug in the Code Signing (CS) certificate issuance process where we were sending the certificate generation email to only the CS verified contact. This bug only happened when the requestor did not include a CSR with the code signing certificate request.
Now, for orders submitted without a CSR, we send the code signing certificate generation email to:
Note: DigiCert recommends submitting a CSR with your Code Signing certificate request. Currently, Internet Explorer is the only browser that supports keypair generation. See our knowledgebase article: Keygen support dropped with Firefox 69.
Industry moves to 3072-bit key minimum RSA code signing certificates
Starting May 27, 2021, to comply with new industry standards for code signing certificates, DigiCert will make the following changes to our code signing certificate process.
See Appendix A in the Baseline Requirements for the Issuance and Management of Publicly-Trusted Code Signing Certificates to learn more about these industry changes,
How do these changes affect my existing 2048-bit key certificates?
All existing 2048-bit key size code signing certificates issued before May 27, 2021, will remain active. You can continue to use these certificates to sign code until they expire.
What if I need 2048-bit key code signing certificates?
Take these actions, as needed, before May 27, 2021:
How do these changes affect my code signing certificate process starting May 27, 2021?
Reissues for code signing certificate
Starting May 27, 2021, all reissued code signing certificates will be:
New and renewed code signing certificates
Starting May 27, 2021, all new and renewed code signing certificates will be:
CSRs for code signing certificates
Starting May 27, 2021, you must use a 3072-bit RSA key or larger to generate all certificate signing requests (CSR). We will no longer accept 2048-bit key CSRs for code signing certificate requests.
eTokens for EV code signing certificates
Starting May 27, 2021, you must use an eToken that supports 3072-bit keys when you reissue, order, or renew an EV code signing certificate.
HSMs for EV code signing certificates
Starting May 27, 2021, you must use an HSM that supports 3072-bit keys. Contact your HSM vendor for more information.
New ICA and root certificates
Starting May 27, 2021, DigiCert will issue all new code signing certificates from our new RSA and ECC intermediate CA and root certificates (new, renewed, and reissued).
RSA ICA and root certificates:
ECC ICA and root certificates:
No action is required unless you practice certificate pinning, hard code certificate acceptance, or operate a trust store.
If you do any of these things, we recommend updating your environment as soon as possible. Stop pinning and hard coding ICAs or make the necessary changes to ensure certificates issued from the new ICA certificates are trusted (in other words, they can chain up to their issuing ICA and trusted root certificates).
References
If you have questions or concerns, please contact your account manager or our support team.
DigiCert dejará de emitir certificados de firma de código SHA-1
El martes 1 de diciembre de 2020 MST, DigiCert dejará de emitir certificados de firma de código SHA-1 y certificados EV de firma de código SHA-1.
Nota: Todos los certificados de firma de código SHA-1/certificados EV de firma de código existentes seguirán activos hasta que caduquen.
¿Por qué DigiCert está haciendo estos cambios?
Para cumplir con los nuevos estándares de la industria, las autoridades de certificados (CA) deben hacer los siguientes cambios antes del 1 de enero de 2021:
Consulte el Apéndice A en los Requisitos básicos para la emisión y administración de certificados de firma de código con confianza pública.
¿Cómo me afectan los cambios a los certificados de firma de código SHA-1?
Si se basa en los certificados de firma de código SHA-1, tome estas medidas según sea necesario antes del 1 de diciembre de 2020:
Para obtener más información sobre los cambios del 1 de diciembre de 2020, consulte nuestro artículo de la base de conocimientos DigiCert dejará de emitir certificados de firma de código SHA-1.
Si tiene preguntas adicionales, póngase en contacto con su gestor de cuenta o con nuestro equipo de asistencia.
Microsoft dejará de ser compatible con las firmas digitales de encapsulados de controladores en modo kernel de terceros
El proceso de firma de sus encapsulados de controladores en modo kernel cambiará. A partir de 2021, Microsoft será el único proveedor de firmas de código en modo kernel de producción. Deberá comenzar a seguir las instrucciones de actualización de Microsoft para firmar cualesquier encapsulados de controladores en modo kernel nuevos en lo sucesivo. Consulte el Centro de socios para soporte lógico de Windows.
¿Qué hará DigiCert al respecto de esto?
Como primer paso del proceso de extinción de la compatibilidad, DigiCert ha eliminado la opción plataforma de código en modo kernel de Microsoft de los formularios de solicitud de certificados de firma de código: nuevos, reemisiones y renovaciones.
Esto significa que, en lo sucesivo, no podrá pedir, reemitir ni renovar un certificado de firma de código para una plataforma en modo kernel.
¿Cómo se verán afectados mis certificados de firma de código en modo kernel?
Puede seguir usando sus certificados que ya existen para firmar encapsulados de controladores en modo kernel hasta que venza la raíz cofirmada con la que están enlazados. Los certificados raíz cofirmados de la marca DigiCert vencen en 2021.
Para obtener más información, consulte nuestro artículo de consulta, Microsoft dejará de ser compatible con los certificados raíz cofirmados con las capacidades de firma en modo kernel.
CertCentral: Administración de validación de dominios para todos los tipos de cuentas
Estamos felices de anunciar que todas las cuentas de CertCentral ya vienen con una administración de validación de dominios de manera predeterminada. Todos los tipos de cuentas ya tienen acceso a estas características de administración de dominios:
Para usar las nuevas características de la administración de validación de dominios, vaya a la página Dominios (en el menú principal izquierdo, vaya a Certificados > Dominios).
* Para obtener más información sobre el envío de dominios para la validación previa, consulte Validación previa de dominios.
Nota: Antes solo con las cuentas empresariales y para socios se podían enviar dominios para la validación previa y se podían administrar sus validaciones de dominios (validación de control de dominio).
CertCentral: La configuración del alcance de la validación de dominios vale solo para los pedidos TLS
En la página Preferencias de la división, en Validación de control de dominio (DCV), hemos actualizado la configuración Alcance de la validación de dominios: Enviar un dominio exacto para la validación y Enviar dominios base para la validación. Estas configuraciones actualizadas le dejan definir el comportamiento de validación del dominio predeterminado a la hora de enviar nuevos dominios por medio del proceso de pedido de certificados TLS: OV, EV y DV. Estas configuraciones ya no valen para el proceso de validación previa del dominio*.
* ¿Cómo afectan estos cambios el proceso de validación previa de dominio?
Al enviar dominios para la validación previa, puede validar un dominio en cualquier nivel o dominio base o en cualesquiera de los subdominios de nivel inferior: ejemplo.com, sub1.ejemplo.com, sub2.sub1.ejemplo.com, etc. Consulte Validación previa de dominios.
Opción "Reenviar correo electrónico de creación de certificado" para pedidos de certificados de firma de código generados por el navegador
Hemos agregado la opción Reenviar correo electrónico de creación de certificado a nuestro proceso de certificados de firma de código para los pedidos en los cuales el certificado haya sido generado en un navegador compatible: IE 11, Safari, Firefox 68 y Firefox portable.
Ahora, si el estado de un pedido de certificado de firma de código es Enviado por correo electrónico al destinatario,, puede reenviar el correo electrónico de generación del certificado.
Para obtener más información, consulte el correo electrónico Reenviar "Crear su certificado de firma de código de DigiCert".
Hemos solucionado un error por el que la opción Cancelar pedido no aparecía en los pedidos de certificados de firma de código (CS) con el estado Enviado por correo electrónico al destinatario. En la página Información del pedido, no aparecía la opción Cancelar pedido en el menú desplegable Acciones de certificados.
Nota: Para cancelar el pedido, tenía que ponerse en contacto con nuestro Equipo de asistencia.
Ahora, para cancelar un pedido de certificado de firma de código (CS) que tenga el estado Enviado por correo electrónico al destinatario,, vaya a la página Información del pedido del certificado y cancele el pedido.
Para obtener más información, consulte Cancelar un pedido de certificado.
CertCentral: Modificar la información de una organización
Hemos agregado una nueva característica al proceso de administración de una organización en CertCentral: Modificar la información de una organización. Ahora, para actualizar la información de la organización, vaya a la página Información de la organización y haga clic en Modificar organización.
Qué debe hacer antes de modificar los detalles de una organización
Cambiar los detalles de la organización para una organización validada anula todas las validaciones existentes para la organización. Esta acción no se puede deshacer. Esto significa que DigiCert deberá validar la organización "actualizada/nueva" antes de poder emitir certificados para ella. Antes de comenzar, vele por entender y aceptar lo que sucede cuando cambia la información de una organización.
Para obtener más información, vea Modificar la información de una organización.
Firefox pone coto a su compatibilidad con la creación de claves
A partir del lanzamiento de Firefox 69, Firefox finalmente dejará de ser compatible con Keygen. Firefox usa Keygen para facilitar la creación de materiales clave para enviar la clave pública a la hora de crear certificados de firma de código, de cliente y de SMIME en su navegador.
Nota: Chrome ya había eliminado su compatibilidad con la creación de claves, y Edge y Opera nunca fueron compatibles con ella.
¿Cómo lo afecta esto?
Luego de que DigiCert emita su certificado de firma de código, de cliente o de SMIME, le enviaremos un correo electrónico con un enlace para crear e instalar su certificado.
Cuando se lance Firefox 69, solo podrá usar dos navegadores para crear estos certificados: Internet Explorer y Safari. Si la política de la empresa le exige que use Firefox, puede usar Firefox ESR o una copia portátil de Firefox.
Para obtener más información, consulte Keygen no será compatible con Firefox 69.
Consejos y trucos
Agregamos un nuevo estado, Enviado por correo electrónico al destinatario,, a las páginas Pedidos e Información del pedido, para los pedidos de certificados de firma de código y del cliente, lo que hace que sea más fácil reconocer en qué etapa del proceso de emisión están estos pedidos.
Con este nuevo estado se indica que DigiCert ha validado el pedido, y el certificado está a la espera de que el usuario/destinatario del correo electrónico lo genere en uno de los navegadores compatibles: IE 11, Safari, Firefox 68 y Firefox portable.
(En el menú lateral, haga clic en Certificados > Pedidos. Luego, en la página Pedidos, haga clic en el número de pedido del pedido de certificado de firma de código o del cliente).
Hemos actualizado nuestros procesos de reemisión de certificados de firma de código (CS) con validación extendida (EV) y de firma de documento (DS) para que pueda volver a emitir esos certificados sin revocar de manera automática el certificado actual (certificado original o ya reemitido).
Nota: Si no necesita el certificado actual (certificado original o ya reemitido), deberá comunicarse con el servicio técnico para que lo revoquen por usted.
Ahora, la próxima vez que vuelva a emitir un certificado EV CS o DS, podrá hacer que el certificado ya emitido se mantenga activo hasta que termine su período de validez vigente (o durante el período que lo necesite).
DigiCert continuará siendo compatible con la firma SHA1 para certificados de firma de código. Eliminaremos la restricción máxima de vencimiento del 30 de diciembre de 2019.
