Los formatos dependen de la plataforma: Authenticode para los archivos PE de Windows, MSI y PowerShell; las firmas de código de Apple con certificados Developer ID más la notarización; los esquemas de firma de APK (APK Signature Schemes) en Android; la firma JAR en Java; las firmas de repositorios RPM y Debian con OpenPGP; las firmas de imágenes de contenedor con cosign; UEFI Secure Boot, con su propia jerarquía de claves. Los sellos de tiempo permiten que las firmas sobrevivan a los certificados con los que se crearon.
Los certificados de firma de código de confianza pública siguen los Code Signing Baseline Requirements del CA/Browser Forum: desde el 1 de junio de 2023, la clave privada debe generarse y guardarse en un módulo de hardware (como mínimo FIPS 140-2 nivel 2 o Common Criteria EAL 4+), y a partir del 1 de marzo de 2026 la validez máxima del certificado es de 460 días (votación CSC-31).
Las claves de firma robadas son una vía de ataque recurrente (los certificados de controladores de Stuxnet, el compromiso del servidor de compilación de Adobe en 2012), así que las claves guardadas en hardware, los servicios de firma separados y los planes de revocación importan más que la elección del algoritmo.