Les formats dépendent de la plateforme : Authenticode pour les fichiers PE Windows, MSI et PowerShell ; les signatures de code Apple avec des certificats Developer ID, plus la notarisation ; les schémas de signature APK (APK Signature Schemes) pour Android ; la signature JAR pour Java ; les signatures de dépôts RPM et Debian avec OpenPGP ; les signatures d’images de conteneurs avec cosign ; UEFI Secure Boot avec sa propre hiérarchie de clés. Les horodatages permettent aux signatures de survivre aux certificats qui les ont produites.
Les certificats de signature de code de confiance publique suivent les Code Signing Baseline Requirements du CA/Browser Forum : depuis le 1er juin 2023, la clé privée doit être générée et conservée dans un module matériel (au minimum FIPS 140-2 niveau 2 ou Critères communs EAL 4+), et à partir du 1er mars 2026, la validité maximale d’un certificat est de 460 jours (vote CSC-31).
Les clés de signature volées sont une voie d’attaque récurrente (les certificats de pilotes de Stuxnet, la compromission du serveur de build d’Adobe en 2012), si bien que les clés conservées dans du matériel, des services de signature séparés et des plans de révocation comptent davantage que le choix de l’algorithme.