Em arquivos PE, a assinatura fica em uma estrutura WIN_CERTIFICATE referenciada pelo diretório de segurança; o hash assinado (o digest Authenticode) ignora o campo de checksum, a entrada do diretório de segurança e a própria assinatura. signtool sign /fd SHA256 /tr seguido da URL de um servidor de carimbo do tempo e de /td SHA256 assina, e signtool verify /pa ou o Get-AuthenticodeSignature do PowerShell verifica. Várias assinaturas podem ser aninhadas (assinatura dupla SHA-1 e SHA-256 para sistemas antigos).
O SmartScreen do Windows constrói a reputação por certificado e por arquivo; os drivers de modo kernel precisam, além disso, da assinatura de atestado da Microsoft ou da assinatura WHQL. A descoberta, em 2013, de que dados não autenticados podiam ser anexados a arquivos assinados sem quebrar a assinatura (MS13-098, 2013) levou a uma verificação mais rigorosa opcional. O inspetor de Authenticode analisa assinaturas e carimbos do tempo localmente.