공식 문서에 박혀 있는 한 줄
[외부 공식자료] Microsoft Artifact Signing(구 Trusted Signing) 퀵스타트의 사전 준비 항목은 이렇게 적어 뒀다. 공개 신뢰(Public Trust) 인증서는 미국·캐나다·EU·영국·호주·뉴질랜드·일본·한국·싱가포르·스위스·노르웨이·이스라엘의 조직에 제공된다. 그리고 바로 다음 문장. "개인 개발자는 미국 또는 캐나다에 있어야 한다."
읽는 법은 하나다. 한국에서 윈도우용 설치 파일에 공개 신뢰 서명을 붙이려면 사업자·법인 명의의 조직 신원 검증이 유일한 길이다. 개인 명의 우회로는 문서상 닫혀 있다.
옛날처럼 인증서 파일을 사서 끝낼 수도 없다. [외부 공식자료] CA/Browser Forum 코드서명 기준 요구사항은 2023년 6월 1일부터 서명용 개인키를 FIPS 140-2 레벨 2 이상(또는 동급) 하드웨어 암호모듈에 보관하도록 CA에 의무화했다. 키를 메일로 받아 노트북에 두는 시대는 3년 전에 끝났다. 그래서 관리형 서명 서비스가 사실상 기본 경로가 됐고, 그 서비스의 입구가 위의 신원 검증이다.
맥도 공짜가 아니다. [외부 공식자료] Apple 문서에 따르면 Developer ID로 서명한 뒤 Apple 공증 서비스에 올려야 Gatekeeper가 첫 실행 대화상자에 공증 사실을 표시한다. Developer Program 멤버십은 연 $99다.
| 구분 | macOS | Windows |
|---|---|---|
| 필요한 것 | Developer ID 서명 + 공증 | 조직 신원 검증 + 관리형 서명 |
| 한국 개인 자격 | 가능 | 불가(미국·캐나다 한정) |
| 비용 구조 | 연 $99 | 월 과금(Basic 월 5,000 서명) |
왜 이게 영업 문제인가
[구현 확인] 우리 제품 제약은 "데스크톱 설치와 GUI 설정이 기본, macOS 우선 검증, Windows 지원 경로 설계"다. [제안] 그러면 우리 퍼널의 첫 화면은 랜딩페이지가 아니라 내려받은 파일을 처음 실행하는 순간의 OS 대화상자다. 거기에 우리 상호가 뜨는지 "확인되지 않은 개발자"가 뜨는지는 제품 코드가 아니라 서명 체계가 결정한다.
[미검증 가설] 그 경고 한 장이 설치 포기로 이어진다는 숫자는 우리에게 없다. 다만 brand-context가 적어 둔 도입자 가설은 "설정이 어려운 실무자·팀 책임자"다. 그 사람에게 "우클릭한 다음 열기를 누르세요"를 안내해야 하는 제품을, 우리는 차분하고 유능한 제품이라고 소개할 참이다.
반대 의견
세 가지 반론이 있고, 전부 일리가 있다.
"기획 단계에 서명이 사치다." 맞다. 지금 돈 쓸 일은 아니다. 다만 조직 신원 검증은 돈이 아니라 달력을 쓰는 일이다. 사업자등록·주소·대표자명이 증빙과 글자 단위로 맞아야 하고, 심사 대기가 끼어든다. 내부 빌드로 쓰는 동안은 보이지 않다가, 파일럿 팀에 설치 파일을 보내는 날 한 번에 보인다.
"파일럿은 압축파일로 보내면 된다." 서넛이면 통한다. 하지만 그렇게 받은 팀은 설치 경험을 근거로 한 평가를 우리에게 돌려줄 수 없다. 우리 핵심 지표에는 "4주 반복 사용 팀"이 들어 있는데, 설치가 예외 취급된 환경에서 나온 4주는 그 지표가 아니다.
"맥만 먼저 하면 된다." 제품 제약이 그렇게 적혀 있긴 하다. 그런데 맥 경로도 공증이라는 절차를 요구한다. 결국 두 OS 모두 "심사를 기다리는 일"이고, 둘 다 코딩으로 단축되지 않는다.
[창업자 경험] 우리는 이미 비슷한 걸 겪었다. 도메인·인증서처럼, 이름만 정해지면 하루면 되는 줄 알았던 일이 실제로는 발급 순서와 대기 때문에 며칠을 먹었다.
이번 주에 할 일
- 조직 신원 검증에 필요한 증빙 목록을 한 장으로 만든다. 사업자등록증의 법인명·주소와, 서명 프로필에 노출될 이름을 같은 문자열로 맞춰 적는다. 브랜드명이 아직 미정이라도 서명에 쓸 법적 상호는 오늘 확정할 수 있다.
- 설치 첫 화면을 데모 자산으로 취급한다. 다운로드 → 첫 실행 → 워크스페이스 생성까지 화면을 그대로 녹화해, 경고 대화상자가 나오는 지점을 표시한다. 고칠 대상이 거기 있다.
- 파일럿 모집 문서에 "지원 OS와 설치 방식"을 한 줄 넣는다. 못 하는 것을 먼저 적는 우리 규율에 맞다. 압축파일 배포라면 그렇다고 쓰고, 그 조건으로 받아 줄 팀만 모은다.
축적을 파는 제품이다. 그런데 축적은 설치가 끝난 다음에 시작된다.