Windows — vérifier la signature et l’empreinte d’un installateur

Périmètre : Fichier local autorisé, notamment installateur ou composant fourni par l’éditeur; lecture sous Windows.

Validation : Outils Microsoft documentés. Vérifications d’intégrité, pas verdict antivirus ni certification de compatibilité Acomba.

Préparer le fichier

Utiliser la livraison de l’éditeur ou un canal approuvé. Noter le produit et la version attendus; conserver l’archive d’origine. Ne pas télécharger une DLL isolée à partir d’un résultat de recherche pour remplacer un composant manquant.

Diagnostic, interprétation ou précaution Uni-Action.

Calculer l’empreinte

Dans PowerShell, fournir le chemin exact du fichier :

$fichier = Read-Host 'Chemin complet du fichier a verifier'
if (-not (Test-Path -LiteralPath $fichier -PathType Leaf)) { throw 'Fichier introuvable.' }
Get-FileHash -LiteralPath $fichier -Algorithm SHA256 -ErrorAction Stop | Format-List

Comparer la valeur à une empreinte attendue obtenue par un canal digne de confiance. SHA-256 est aussi l’algorithme par défaut de l’outil. Deux noms identiques ne suffisent pas à comparer le contenu.

Documentation de plateforme : S611.

Examiner la signature

Pour le même fichier, sans l’exécuter :

$signature = Get-AuthenticodeSignature -LiteralPath $fichier -ErrorAction Stop
$signature | Format-List Path, Status, StatusMessage
$signature.SignerCertificate | Format-List Subject, Issuer, Thumbprint, NotAfter

L’outil est propre à Windows et lit la signature Authenticode. Lorsqu’une signature de catalogue et une signature intégrée existent ensemble, Microsoft indique que la signature de catalogue est utilisée.

Documentation de plateforme : S610.

Décision et limites

Un hash identique à une valeur de provenance inconnue n’authentifie pas l’éditeur. Une signature valide ne garantit ni l’absence de comportement indésirable ni la compatibilité. Un fichier non signé n’est pas automatiquement malveillant : demander confirmation plutôt que l’exécuter ou le bloquer sur ce seul critère. En cas d’empreinte différente, d’émetteur inattendu ou de statut suspect, arrêter l’installation. Pour une erreur COM réelle, revenir à la procédure d’enregistrement des composants; ne pas abaisser l’UAC ou la stratégie d’exécution.

Diagnostic, interprétation ou précaution Uni-Action.

Contrôle et retour arrière

Aucune commande ci-dessus n’installe ou ne modifie le fichier. Conserver le résultat et la référence de comparaison dans le dossier autorisé. Il n’y a pas de changement système à annuler. Le certificat et l’empreinte n’autorisent pas une exception Defender à eux seuls.

Diagnostic, interprétation ou précaution Uni-Action.