Una panoramica neutrale e con fonti citate degli strumenti di firma di codice e documenti disponibili per gli sviluppatori Delphi e C++ Builder nel 2026: sgcSign, Microsoft SignTool, osslsigncode, Azure Trusted Signing, DigiCert Software Trust Manager, jsign, Adobe Acrobat e gli SDK PDF iText / Apryse. Ogni affermazione sulle funzionalità rimanda alla documentazione del progetto stesso.
Un riassunto di un paragrafo per ciascuna opzione, con un link alla documentazione o al repository ufficiale. Il confronto dettagliato è nella matrice qui sotto.
eSeGeCe · Commerciale
Suite commerciale di firma digitale per Delphi / C++ Builder / .NET. Disponibile in due form factor complementari che condividono lo stesso core di firma. La libreria di componenti produce firme XAdES, PAdES, CAdES e ASiC in-process da Delphi 7 fino a Delphi 13. Il server sgcSign aggiunge un daemon di firma REST self-hosted che firma Authenticode (binari PE), manifest ClickOnce, pacchetti NuGet, bundle VSIX e script PowerShell oltre ai formati documentali. Dieci provider di chiavi coprono PFX/PEM locali, l'archivio certificati di Windows, token hardware PKCS#11, AWS KMS, Azure Trusted Signing, Google Cloud KMS, HashiCorp Vault, Certum SimplySign e qualsiasi QTSP remoto CSC v2. Ventuno profili per paese preconfigurati guidano la fatturazione elettronica europea e la firma dei contratti di lavoro eIDAS.
Microsoft · EULA Windows SDK (gratuita per lo sviluppo)
Lo strumento di firma del codice da riga di comando di Microsoft incluso con il Windows 10 / Windows 11 SDK. Firma e marca temporalmente file Windows Portable Executable (.exe, .dll, .sys, .cab, .cat) oltre a pacchetti AppX/MSIX, manifest ClickOnce e progetti Microsoft Office Visual Basic for Applications tramite il meccanismo SIP (Subject Interface Package). Legge i certificati dall'archivio certificati di Windows, da file PKCS#12, smart card e provider Cloud Signing Service (CSP). La firma di PDF, XML ed ETSI XAdES / PAdES / CAdES non rientra nelle competenze di SignTool.
Michał Trojnara e collaboratori · GPL-3.0-or-later (open source)
Strumento di firma Authenticode open source multipiattaforma costruito su OpenSSL. Firma binari Microsoft PE (.exe, .dll, .sys, .cab, .cat), archivi CAB, pacchetti AppX/MSIX, pacchetti NuGet e file di script. Funziona su Linux, BSD e macOS oltre a Windows, che è la ragione storica del progetto — consente alle build farm Linux di firmare binari Windows senza eseguire SignTool sotto Wine. Marcatura temporale RFC 3161 e Authenticode legacy; le sorgenti dei certificati includono file PKCS#12 e token hardware PKCS#11.
Microsoft · Commerciale (abbonamento Azure, mensile)
Il servizio di firma del codice completamente gestito di Microsoft su Azure (precedentemente Azure Code Signing). I clienti non possiedono il certificato di firma — Microsoft emette un certificato a breve durata ogni tre giorni e conserva la chiave privata in un HSM Azure. Sono fornite integrazioni per SignTool, GitHub Actions, Azure Pipelines, Trusted Signing PowerShell e una dlib dedicata (Trusted Signing CSP) che espone le chiavi a qualsiasi strumento compatibile con CSP. Firma Windows PE, MSIX, AppX, ClickOnce, script VBScript / JScript / PowerShell; la firma di PDF / XML non rientra nell'ambito.
DigiCert · Commerciale (abbonamento)
La piattaforma cloud di firma del codice di DigiCert. Le chiavi private risiedono in un HSM FIPS 140-2 / 140-3 ospitato da DigiCert. Firma Windows PE, JAR Java, APK Android, RPM / DEB Linux, immagini container, NuGet, binari Apple Mach-O e altro tramite una serie di strumenti dedicati: il client di firma smctl, il plug-in DigiCert KSP / CSP per SignTool, le integrazioni native per Jenkins / GitHub Actions / Azure Pipelines e un'API REST. I documenti (PDF, XAdES) vengono firmati tramite il prodotto separato DigiCert Document Trust Manager.
Emmanuel Bourg · Apache 2.0 (open source)
Strumento di firma Authenticode open source basato su Java. Funziona come comando standalone, plug-in Maven / Gradle / Ant o API Java programmatica. Firma binari Microsoft PE, installer MSI, file di script Microsoft (.ps1, .vbs, .js), pacchetti MSIX / AppX, archivi CAB e cataloghi CAT. Supporta un'ampia gamma di HSM cloud tramite una singola CLI: AWS KMS, Azure Key Vault, Azure Trusted Signing, Google Cloud KMS, DigiCert ONE, HashiCorp Vault, Oracle Cloud KMS, Yubico YubiHSM, AWS CloudHSM (tramite PKCS#11) e qualsiasi dispositivo PKCS#11.
Adobe · Commerciale (abbonamento)
Adobe Acrobat Pro e Adobe Acrobat Sign sono prodotti per l'utente finale per firmare documenti PDF. Acrobat Pro applica firme digitali e firme certificate con timestamp e convalida le firme PDF in ingresso; Acrobat Sign (precedentemente EchoSign) è un servizio cloud per raccogliere firme elettroniche da parti esterne. Nessuno dei due è una libreria per sviluppatori: non c'è un SDK Delphi / C++ Builder e nemmeno uno strumento di firma da riga di comando nella confezione. La Long-Term Validation PAdES è supportata sul lato della convalida tramite l'Adobe Approved Trust List (AATL) e la European Union Trusted List (EUTL).
iText Group / Apryse Software (PDFTron) · Commerciale (AGPL o licenza commerciale)
Due SDK PDF commerciali ampiamente utilizzati per la firma PDF non presidiata in applicazioni lato server. iText Core (precedentemente iTextSharp) è disponibile per Java e .NET sotto AGPL-3.0 o licenza commerciale; il namespace com.itextpdf.signatures copre PAdES-B-B / B-T / B-LT / B-LTA, certificazioni MDP (modification-detection) e aspetti visibili. Apryse PDFTron è un SDK commerciale multipiattaforma (Java, .NET, C++, Node.js, Python, Go, iOS, Android, web) con un'API PDF.SignatureHandler e supporto PAdES. Nessuno dei due vendor fornisce un binding Delphi nativo.
Un segno di spunta () indica che il progetto documenta il supporto nativo. Un trattino (—) indica che il progetto non lo fornisce nativamente. Una tilde (~) indica supporto parziale / tramite add-on / non esplicitamente documentato — consulta la sezione Fonti per ciò che è stato possibile verificare.
| Funzionalità | sgcSign | Microsoft SignTool | osslsigncode | Azure Trusted Signing | DigiCert Software Trust Manager | jsign | Adobe Acrobat / Adobe Sign | iText / Apryse |
|---|---|---|---|---|---|---|---|---|
| Firma di binari Windows Authenticode per .exe / .dll / .sys / .ocx | — | — | ||||||
| Firma di manifest ClickOnce File .application / .manifest | ~ | ~ | — | — | ||||
| Firma di pacchetti NuGet / VSIX Container .nupkg / .vsix | ~ | ~ | ~ | ~ | — | — | ||
| Firma di pacchetti mobile (APK / IPA) Bundle Android APK o iOS IPA | — | — | — | — | — | — | — | |
| Firma di documenti PDF (PAdES) ETSI EN 319 142, compatibile con Adobe | — | — | — | ~ | — | |||
| Firma di documenti Office Word / Excel / PowerPoint docx / xlsx / pptx | — | ~ | — | — | — | — | — | — |
| Firma di documenti XML (XAdES) ETSI EN 319 132 | — | — | — | ~ | — | — | ~ | |
| API Delphi / C++ Builder nativa Componenti VCL / FMX di prim'ordine | — | — | — | — | — | — | — | |
| Strumenti multipiattaforma Funziona su Windows, Linux e macOS | ~ | — | ~ | |||||
| Supporto HSM cloud AWS / Azure / GCP / HashiCorp / CSC v2 | ~ | ~ | ~ | ~ | ||||
| Preset eIDAS / profilo per paese Preset di firma per paese (VeriFactu, KSeF, ecc.) | — | — | — | ~ | — | ~ | ~ | |
| CLI standalone Client da riga di comando incluso | ~ | — | — | |||||
| Libreria / SDK API programmatica che un'applicazione può chiamare | — | — | ~ | ~ | ~ | — | ||
| Manutenzione attiva Release o tag negli ultimi 12–18 mesi | ||||||||
| Modello di licenza Tipo di licenza | Commerciale | EULA Windows SDK | GPL-3.0-or-later | Commerciale (abbonamento Azure) | Commerciale (abbonamento) | Apache 2.0 | Commerciale (abbonamento) | AGPL o commerciale (iText) / commerciale (Apryse) |
Ogni opzione qui ha un pubblico reale. La scelta giusta dipende dal fatto che tu firmi codice, documenti o entrambi, dal runtime che ospita la logica di firma, dalla preferenza per la custodia delle chiavi e dalla preferenza di licenza.
Scegli sgcSign quando sviluppi l'applicazione in Delphi 7–13, C++ Builder o .NET e vuoi un'unica suite di componenti che produce sia firme di documenti (XAdES, PAdES, CAdES, ASiC) sia firme di codice (Authenticode, ClickOnce, NuGet, VSIX, PowerShell) dalla stessa astrazione di provider di chiavi. I 21 profili per paese preconfigurati coprono la fatturazione elettronica europea e la firma dei contratti di lavoro eIDAS; il form factor server centralizza la custodia delle chiavi per le build farm.
Scegli Microsoft SignTool quando gli artefatti che firmi sono tutti binari Windows (PE / .cab / AppX / MSIX) e l'host di build è Windows. SignTool è l'interfaccia da riga di comando di riferimento che si accoppia con ogni servizio di firma cloud che fornisce un CSP / KSP (DigiCert KeyLocker, Azure Trusted Signing, GlobalSign Atlas, ecc.) e l'installazione del Windows SDK è gratuita.
Scegli osslsigncode quando il tuo host di build funziona su Linux, BSD o macOS e gli artefatti da firmare sono binari Windows — archivi CAB, file PE, pacchetti MSIX o pacchetti NuGet. La licenza GPL-3.0 si inserisce naturalmente nelle pipeline CI che usano già OpenSSL e token hardware PKCS#11.
Scegli Azure Trusted Signing quando vuoi un servizio di firma di codice Windows completamente gestito in cui Microsoft possiede il certificato e l'HSM, quando il tuo team opera già su Azure e quando gli artefatti da firmare sono Windows PE, MSIX, AppX, ClickOnce o PowerShell. Il modello con certificato a breve durata elimina l'onere di rinnovo e verifica dell'identità che comporta possedere un certificato Code Signing.
Scegli DigiCert Software Trust Manager quando acquisti già il certificato di firma del codice DigiCert e vuoi conservarlo nel loro HSM certificato FIPS con un unico pannello centrale per rinnovi, revoche e audit. Il client smctl nativo e il plug-in KSP per SignTool coprono binari Windows, JAR Java, immagini container e pacchetti mobile in un unico flusso di lavoro.
Scegli jsign quando la pipeline di build gira già su una toolchain JVM (Maven, Gradle, Ant o Jenkins su JDK), quando vuoi una sola CLI che guidi ogni HSM cloud mainstream e quando gli artefatti da firmare sono file Windows PE / MSI / MSIX / script. La licenza Apache 2.0 si integra perfettamente nei flussi di build closed-source.
Scegli Adobe Acrobat / Adobe Sign quando il flusso di firma è interattivo e guidato dall'utente — una persona apre un PDF in Acrobat, posiziona una firma visibile e invia il file. Acrobat Sign estende questo schema a flussi di firma multi-parte raccolti tramite e-mail. Non è richiesta alcuna automazione lato build o server.
Scegli iText o Apryse PDFTron quando l'applicazione è costruita su Java, .NET, C++ o uno degli altri runtime supportati e il PDF è il formato di documento dominante. Entrambi gli SDK hanno un supporto PAdES maturo, un'ampia copertura delle funzionalità PDF al di fuori della firma (form, redaction, rendering) e note referenze enterprise.
Brevi note sulle differenze se stai passando da una delle opzioni sopra. Non polemiche — solo la mappatura pratica.
SignTool copre solo la firma di codice Windows. Se la tua applicazione chiama già SignTool da uno script di build, il server sgcSign espone un endpoint di firma REST che riceve un binario e un nome di provider e restituisce l'artefatto firmato — lo stesso flusso, ma l'operazione Authenticode viene eseguita centralmente e l'audit trail risultante, il flusso di approvazione e le quote per progetto vivono in un unico posto. La firma dei documenti (XAdES / PAdES / CAdES / ASiC) è poi disponibile dallo stesso daemon.
Se la tua pipeline di build utilizza osslsigncode per firmare con Authenticode i binari Windows da agenti di build Linux, il server sgcSign ti offre lo stesso flusso su un'API HTTPS e aggiunge driver di prim'ordine per AWS KMS, Azure Trusted Signing, Google Cloud KMS e HashiCorp Vault sopra il percorso PKCS#11 che potresti già usare. I formati documentali (PDF / XML / CMS) sono poi disponibili dallo stesso endpoint.
sgcSign espone Azure Trusted Signing come uno dei suoi dieci provider di chiavi (TsgcAzureTrustedSigningProvider), così un'applicazione Delphi o C++ Builder può guidare Azure Trusted Signing direttamente — la stessa chiave privata, lo stesso certificato public-trust emesso da Microsoft, ma il signer viene eseguito in-process. Se hai bisogno anche della firma di documenti PDF / XAdES / CAdES, lo stesso provider di chiavi serve i document signer.
Se oggi firmi binari Windows con smctl, il server sgcSign può guidare lo stesso certificato di firma del codice tramite il provider PKCS#11 esposto da DigiCert e aggiunge sopra la firma di documenti XAdES / PAdES / CAdES di prim'ordine — utile quando un'applicazione necessita sia di firme di codice sia di firme di documenti da un unico daemon.
jsign copre la firma del codice Windows su un'ampia gamma di HSM cloud. Il server sgcSign si sovrappone sulla matrice degli HSM cloud (AWS KMS, Azure Trusted Signing, Google Cloud KMS, HashiCorp Vault) e aggiunge la firma di documenti ETSI (PAdES, XAdES, CAdES, ASiC) più i 21 profili per paese — utile quando la stessa chiave deve produrre sia firme di codice sia firme di documenti.
Adobe Acrobat è uno strumento per l'utente finale, non una libreria per sviluppatori. Se attualmente chiedi agli utenti finali di firmare PDF in Acrobat e ora desideri firme PAdES lato server non presidiate, sgcSign fornisce il PDF signer (TsgcPAdESSigner) più i client timestamp e OCSP per produrre firme PAdES-T e PAdES-LT da una pipeline di build o da un servizio backend.
iText e Apryse non forniscono un binding nativo per Delphi, quindi le applicazioni Delphi tipicamente incapsulano il loro SDK .NET o Java dietro un sottile bridge. sgcSign produce firme PAdES-B-B / B-T / B-LT da codice Delphi e C++ Builder nativo — il livello bridge scompare e la stessa catena di provider di chiavi che firma PDF firma anche artefatti XML, CMS e Authenticode.
Ogni cella nella matrice sopra rimanda a una di queste pagine di documentazione ufficiale, repository o note di rilascio. Tutti gli URL sono stati verificati con HEAD al momento della scrittura.