Die Formate sind plattformspezifisch: Authenticode für Windows-PE-Dateien, MSI und PowerShell; Codesignaturen von Apple mit Developer-ID-Zertifikaten plus Notarisierung; APK-Signaturverfahren für Android; JAR-Signaturen für Java; Repository-Signaturen von RPM und Debian mit OpenPGP; Signaturen von Container-Images mit cosign; UEFI Secure Boot mit einer eigenen Schlüsselhierarchie. Zeitstempel lassen Signaturen die Zertifikate überdauern, mit denen sie erstellt wurden.
Öffentlich vertrauenswürdige Codesignatur-Zertifikate unterliegen den Code Signing Baseline Requirements des CA/Browser Forums: Seit dem 1. Juni 2023 muss der private Schlüssel in einem Hardwaremodul erzeugt und aufbewahrt werden (mindestens FIPS 140-2 Level 2 oder Common Criteria EAL 4+), und ab dem 1. März 2026 beträgt die maximale Gültigkeitsdauer eines Zertifikats 460 Tage (Ballot CSC-31).
Gestohlene Signaturschlüssel sind ein wiederkehrender Angriffsweg (die Treiberzertifikate von Stuxnet, die Kompromittierung des Build-Servers von Adobe 2012); daher zählen Schlüssel in Hardware, getrennte Signaturdienste und Pläne für den Widerruf mehr als die Wahl des Algorithmus.