PyInstallerでビルドしたexeをInno Setupのインストーラーにして、AV誤検知を16/66から0/66まで落とした話は以前書きました。

→ PyInstallerで作ったexe、ウイルス扱いされる問題をInno Setupで解決した話

一旦は落ち着いたんですが、配布を続けるうちに気になってきたことがあります。「次のバージョンリリースで検知が復活したとき、次の手は何か」と「そもそもどんな選択肢があって、何がまだ解決されていないのか」が、調べてみるまでよくわからなかった。

2024〜2025年にかけてコード署名まわりの状況が変わっていたりもしたので、今時点での整理として書いておきます。実際に試したのはInno Setupまでで、それ以外は調べた話です。

今の配布方法

Pythonで作った設計データの比較ツールをGitHub Releasesに置いています。Inno Setupで作ったインストーラー版と、ZIP版の両方です。

インストーラー版は今のところVirusTotalで0/66を維持できています。ただ次のリリースでどうなるかは毎回わからない。この「毎回わからない」が地味に落ち着かない。

ZIP版はそのまま投げると誤検知が出るので、ダウンロードページに「ウイルスソフトを一時無効にするか、ファイルの信頼を手動で許可してください」と書いています。インストーラーに抵抗ある人がいるので両方残していますが、説明文が必要なのは理想的ではないとは思っています。

「次の手」として思い浮かんだもの

Inno Setupを試した後に候補として思い浮かんだのは、こんな感じでした。

コード署名（OV/EV証明書）、AVベンダーへの誤検知申請、bootloaderの自前ビルド、Nuitkaへの移行、Microsoft Storeへの申請——それぞれについて一通り調べてみました。

コード署名の状況（2024〜2026年版）

Windowsのコード署名にはOV（組織認証）とEV（拡張認証）があります。EV証明書を持っていると初回ダウンロードからSmartScreen警告が出なくなる、という情報が以前からありましたが、この動作は2024年に廃止されています。

Microsoftの公式ドキュメントを確認したところ、「Extended Validation (EV) certificates previously bypassed SmartScreen entirely on first download. That behavior was removed in 2024.」と書いてありました。今はEVとOVでSmartScreen挙動の差はほぼなくなっています。

無料でOSSアプリに署名できるSignPath（signpath.io）も調べました。個人開発者向けの無料プランがあります。ただ署名後に開発者名がパッケージに表示されないという仕様で、ユーザーから見て「誰が作ったか」がわからない形になる。信頼感という観点では微妙なところがあります。

有料のOV証明書（DigiCert、Sectorなど）は取得に年間数万円〜かかります。「個人ツールの配布コストとして見合うか」という問いに対して、今の自分にはまだNoかなと思っています。

bootloaderの自前ビルドとNuitkaへの移行は、前の記事でも触れましたが、試していません。VisualStudioの環境構築と毎リリースの管理コストを考えると、今は優先度を下げています。

AVベンダーへの申請

誤検知が出たベンダーのサポートページから申請する方法です。

各ベンダー（Microsoft Security Intelligence、Kaspersky、Bitdefender、ESET等）がそれぞれ申請フォームや報告窓口を持っています。調べてみると申請を自動化するツールやAPIは今のところ存在しません。英語・日本語両方で探しましたが、統合した自動申請パスは見当たらない。ベンダーごとにフォームの構成も違うので、全部手動で送ることになります。

英語圏の事例を読んでも、ベンダーによっては数日で対応するものもあれば、まったく返答がないまま誤検知フラグが残ることもあるようです。手動申請が続いているのは自分だけではなさそう。

66ベンダー全部に毎リリース手動申請するのは現実的ではないので、今は対応していません。誤検知が復活したときにいくつかの主要ベンダーに絞って試すかどうか、という感じです。

Microsoft Storeの状況が変わっていた

これは調べるまで知らなかったんですが、Microsoft Storeへの個人開発者登録が2025年に無料になっていました。以前は$19かかっていたのが、政府発行IDとセルフィーによる本人確認フローに変わって無料化されています。

SmartScreen問題の解決手段としては一番確実で、Microsoftがパッケージを再署名してくれるため警告がゼロになります。

ただ実際に自分のツールでやろうとすると詰まりそうな点がいくつかありました。

まずMSIXというパッケージ形式への変換が必要です。AppxManifest.xmlを書いて、Windows SDKのmakeappx.exeでパッケージ化する手順が発生します。GitHub Actionsで自動化している事例はあるようですが、整備のコストがそれなりにかかりそう。

バグ修正のたびに審査が入ります（数時間〜最大3営業日）。ホットフィックスを即日配布したい場面と噛み合わない。

CLIツールやコマンドライン系の小ツールはStoreのエコシステムと相性が悪く、ユーザーが探しにくい。今の自分はGitHub Releasesのダウンロード数でフィードバックを見ている運用なので、Storeに移るとその流れが変わります。プライバシーポリシーのURLも別途用意する必要があって、小さなツール向けには余分な準備が増えます。

「選択肢としてある」のはわかりましたが、今の運用スタイルには合わないと思いました。

統合ツールがないのを確認した

「PyInstallerでビルド→コード署名→インストーラー生成→AVベンダー申請」をまとめてやってくれるCLIがあれば、と思って探しました。

Briefcaseというツールが一番近くて、ビルド・署名・インストーラー生成まではカバーしています。ただBeeWare/Togaというフレームワーク向けに最適化されていて、PyInstallerで作ったCLIツールへの適用は設計意図が違う。

他にpup（Mu Editor向け）、winsign（Mozillaのコード署名専用ツール）なども見ましたが、どれかひとつで「AV誤検知まで含めて解決できる」というものはなかった。特に「AVベンダー申請」のステップだけ、どのツールでも手動のままになっています。

こういうツール、誰かが作っていそうなんですが、まだないんですね。需要はあると思うんですが。

調べてわかったこと、今のスタンス

手段	状態	今の判断
Inno Setup インストーラー化	実施中（0/66維持）	継続
コード署名（有料OV）	調べた・未実施	今は見送り
コード署名（SignPath無料）	調べた・未実施	開発者名非表示が引っかかる
AVベンダー手動申請	調べた・未実施	誤検知復活時に検討
bootloader自前ビルド	調べた・未実施	環境コストで見送り
Nuitka移行	調べた・未実施	ビルド管理コストで見送り
Microsoft Store	調べた・未実施	運用スタイルと合わない
統合CLIツール	探した・不在を確認	代替なし

今はInno Setupで凌いでいます。次のリリースで検知が戻ってきたときにどうするか、というのは引き続き悩み中です。

「完全に解決できる手段はない」「各手段に固有のトレードオフがある」というのが、調べてみてわかったことです。個人開発者がどこで折り合いをつけるかは、ツールの規模とユーザー数によって変わりそう。今の自分にはInno SetupとZIP両方置いておく形がまだ現実的かなと思っています。

参考

EV証明書のSmartScreen変更: https://learn.microsoft.com/en-us/windows/apps/package-and-deploy/code-signing-options
Microsoft Store 個人開発者向け新フロー: https://learn.microsoft.com/en-us/windows/apps/publish/whats-new-individual-developer
SignPath（OSSコード署名）: https://signpath.io
Briefcase（BeeWare/Toga向けパッケージングツール）: https://briefcase.readthedocs.io
AVベンダー申請の実例（Code4Lib 2024）: https://journal.code4lib.org/articles/18136