内部使用的Outlook Add In是否需代码签名证书？有无替代方案？

是否必须使用代码签名证书？ #

Windows 11默认安全策略比Win10严格，对Office插件这类可执行扩展，默认要求必须使用受信任的代码签名证书。但内部使用场景下，不必强制购买商业证书，有多种内部信任的替代方案。

可行解决办法 #

1. 企业内部CA证书签名（推荐，适合正式内部部署） #

如果公司有内部证书颁发机构（CA）：

• 将内部CA的根证书批量部署到所有Win11设备的「受信任根证书颁发机构」存储
• 用内部CA颁发的代码签名证书为Add-in安装包/程序文件签名
• 签名后的插件会被Win11和Office信任，正常完成安装

2. 临时放宽系统/Office安全策略（小范围临时使用） #

仅适合可控的内部小范围场景，会降低局部安全性：

• 打开本地组策略编辑器：按下Win + R输入gpedit.msc，导航到计算机配置 > 管理模板 > Windows组件 > Windows Defender SmartScreen > Explorer，启用「配置Windows Defender SmartScreen」并设置为关闭
• 调整Office信任设置：Outlook中进入文件 > 选项 > 信任中心 > 信任中心设置 > 加载项，取消勾选「禁用所有应用程序加载项」，或把插件安装路径添加到受信任位置

3. ClickOnce部署+内部证书信任（.NET开发插件适用） #

若插件基于.NET开发：

• Visual Studio发布时选择「内部部署」，用内部CA证书签名；测试场景可选择不签名，但需在目标设备手动信任
• 目标设备打开命令提示符，执行certutil -addstore "TrustedPublisher" <证书文件路径>，将证书加入受信任发布者存储

4. Office旁加载模式（开发/测试阶段） #

仅适合开发团队内部测试：

• Outlook中进入文件 > 选项 > 高级，找到「开发者」区域勾选「启用开发者工具」
• 通过Office开发者工具直接旁加载插件，无需签名，但不能用于正式内部推广

内容的提问来源于stack exchange，提问作者Utility Monster