Dans les fichiers PE, la signature se trouve dans une structure WIN_CERTIFICATE référencée par le répertoire de sécurité ; le condensat signé (appelé condensat Authenticode) exclut le champ de somme de contrôle, l’entrée du répertoire de sécurité et la signature elle-même. signtool sign /fd SHA256 /tr, suivi de l’URL d’un serveur d’horodatage et de /td SHA256, signe le fichier, et signtool verify /pa ou Get-AuthenticodeSignature de PowerShell le vérifie. Plusieurs signatures peuvent être imbriquées (double signature SHA-1 et SHA-256 pour les anciens systèmes).
Windows SmartScreen établit une réputation par certificat et par fichier ; les pilotes en mode noyau nécessitent en outre l’attestation de Microsoft ou une signature WHQL. La découverte, en 2013, que des données non authentifiées pouvaient être ajoutées à des fichiers signés sans invalider la signature (MS13-098, 2013) a conduit à une vérification plus stricte, facultative. L’inspecteur Authenticode analyse les signatures et les horodatages en local.