En los archivos PE, la firma está en una estructura WIN_CERTIFICATE a la que apunta el directorio de seguridad; el hash firmado (el resumen Authenticode) excluye el campo de suma de comprobación, la entrada del directorio de seguridad y la propia firma. Para firmar se usa signtool sign /fd SHA256 /tr, seguido de la URL de un servidor de sellos de tiempo, y /td SHA256; para verificar, signtool verify /pa o Get-AuthenticodeSignature de PowerShell. Se pueden anidar varias firmas (doble firma SHA-1 y SHA-256 para sistemas antiguos).
SmartScreen de Windows construye una reputación para cada certificado y cada archivo; los controladores en modo kernel necesitan además la atestación de Microsoft o la firma WHQL. El descubrimiento, en 2013, de que se podían añadir datos no autenticados a archivos firmados sin invalidar la firma (MS13-098, 2013) dio lugar a una comprobación más estricta opcional. El inspector de Authenticode analiza las firmas y los sellos de tiempo localmente.