Baixar um aplicativo de IA não deveria terminar no clique em “Executar”. Antes de abrir um instalador, vale confirmar de onde ele veio, quem o assinou, se o arquivo mudou desde a publicação e como o Windows avalia sua reputação. Essas verificações não transformam um programa em seguro, mas ajudam a separar uma cópia rastreável de um arquivo sem origem clara.
Neste guia, você vai inspecionar um instalador no Windows sem executá-lo. O resultado esperado é um registro curto com URL de origem, nome e tamanho do arquivo, status da assinatura Authenticode, identidade apresentada pelo certificado, SHA-256 e decisão final: prosseguir, pedir confirmação ao fornecedor ou descartar.
Limite importante: assinatura válida, hash correspondente e ausência de alerta não garantem que o software seja apropriado ou livre de risco. Essas evidências respondem perguntas diferentes. A decisão ainda depende da fonte, das permissões solicitadas, da finalidade do programa e das políticas da sua organização.
O que cada verificação realmente responde
Origem: mostra onde você obteve o arquivo. Prefira o site oficial, a loja oficial ou a página de releases mantida pelo fornecedor. Um nome de domínio parecido, um anúncio patrocinado ou um link reenviado não prova que o arquivo veio do projeto correto.
Assinatura digital: permite ao Windows verificar a identidade apresentada pelo signatário e se o conteúdo coberto pela assinatura foi alterado. O PowerShell oferece o cmdlet Get-AuthenticodeSignature para obter essas informações. O cmdlet funciona no Windows e também pode reconhecer uma assinatura fornecida por catálogo.
Hash: funciona como uma impressão do conteúdo do arquivo. O Get-FileHash usa SHA-256 por padrão. Se o fornecedor publicar um SHA-256 e o valor local for idêntico, você confirmou que sua cópia tem o mesmo conteúdo daquela referência. Isso não prova, sozinho, que a referência do fornecedor é confiável.
Reputação: é um sinal adicional do Windows. A documentação do Microsoft Defender SmartScreen explica que a avaliação considera reputação do editor e do hash do arquivo. Uma versão nova e legítima pode ainda não ter reputação suficiente, enquanto uma assinatura não elimina a necessidade de revisar a origem.
Pré-requisitos
- Windows 10 ou Windows 11 com PowerShell;
- o instalador já baixado, mas ainda não executado;
- a página oficial de download ou release aberta separadamente;
- permissão para avaliar e instalar software no computador;
- um local para registrar as evidências, sem incluir dados sensíveis.
Se o computador é corporativo, pare antes da instalação e confirme o processo de homologação. A checagem local não substitui inventário, aprovação de TI, análise de licença, política de dados ou distribuição gerenciada.
Passo 1: confirme a origem sem abrir o instalador
Volte ao site oficial digitando o endereço conhecido ou usando um favorito confiável. Não valide a origem apenas pelo histórico de downloads. Registre a URL exata, o fornecedor, a versão, o nome do arquivo e a data da consulta.
Se o fornecedor direcionar para GitHub, Microsoft Store ou outra plataforma, confira se a organização e o repositório são os que o site oficial indicou. Não use uma cópia enviada por e-mail ou hospedada em um agregador como substituto da origem.
Passo 2: registre nome, tamanho e SHA-256
Abra o PowerShell e defina o caminho literal do arquivo. O exemplo abaixo não executa o instalador:
$instalador = 'C:\Users\SeuUsuario\Downloads\ferramenta-ia-setup.exe'
Get-Item -LiteralPath $instalador |
Select-Object Name, Length, LastWriteTime
Get-FileHash -LiteralPath $instalador -Algorithm SHA256 |
Format-List Algorithm, Hash, PathO SHA-256 terá 64 caracteres hexadecimais. Copie o valor sem espaços e preserve a associação com o nome e a versão. Alterar o nome do arquivo não muda o hash, mas qualquer mudança no conteúdo produz outro resultado.
Se a página oficial publicar um checksum, compare os dois valores de forma explícita:
$hashEsperado = 'COLE_AQUI_O_SHA256_PUBLICADO_PELO_FORNECEDOR'
$hashLocal = (Get-FileHash -LiteralPath $instalador -Algorithm SHA256).Hash
$hashLocal -eq $hashEsperado.Trim().ToUpperInvariant()O resultado esperado é True. Se aparecer False, não execute o arquivo. Baixe novamente pela origem oficial e verifique se a página publicou o hash da mesma versão e arquitetura. Não escolha outro checksum apenas para obter correspondência. A Microsoft alerta que MD5 e SHA-1 não são adequados para proteção contra adulteração; prefira SHA-256 quando o fornecedor o disponibilizar.
Passo 3: leia a assinatura Authenticode
Use o mesmo caminho literal:
$assinatura = Get-AuthenticodeSignature -LiteralPath $instalador
$assinatura |
Select-Object Status, StatusMessage,
@{Name='Assinante'; Expression={$_.SignerCertificate.Subject}},
@{Name='Emissor'; Expression={$_.SignerCertificate.Issuer}},
@{Name='ValidoDe'; Expression={$_.SignerCertificate.NotBefore}},
@{Name='ValidoAte'; Expression={$_.SignerCertificate.NotAfter}},
@{Name='ImpressaoCertificado'; Expression={$_.SignerCertificate.Thumbprint}} |
Format-ListEm um arquivo assinado e reconhecido, você verá o status, a mensagem do Windows e dados do certificado. Compare o campo Assinante com a razão social ou identidade publicada pelo fornecedor. Não presuma que o nome comercial do produto será idêntico ao titular do certificado. Aquisições, subsidiárias e serviços de assinatura podem introduzir nomes diferentes, mas a divergência precisa ser explicada por uma fonte oficial.
Como interpretar o status
Valid: o Windows conseguiu validar a assinatura no contexto atual. Confirme ainda o assinante, a origem e o hash, quando houver referência oficial.
NotSigned: o arquivo não apresenta uma assinatura reconhecida pelo cmdlet. Isso não prova que seja malicioso, mas reduz a evidência disponível. Para um instalador que deveria vir de uma empresa conhecida, peça uma explicação oficial antes de prosseguir.
HashMismatch: o conteúdo coberto pela assinatura não corresponde ao que foi assinado. Trate como bloqueio. Exclua a cópia depois de registrar o caso e obtenha outra pela fonte oficial.
NotTrusted ou UnknownError: a cadeia de confiança, o acesso a serviços de validação ou outro componente da verificação não pôde ser confirmado. Não transforme erro técnico em aprovação. Confira conexão, data do sistema, atualização de certificados e orientação do fornecedor.
O documento about_Signing também lembra que uma assinatura não substitui a leitura do código ou a avaliação do que o programa fará. Em instaladores fechados, essa revisão pode depender de TI, fornecedor e controles de execução.
Passo 4: mantenha o SmartScreen ativo
Ao tentar executar um arquivo baixado, o Windows pode consultar sinais de reputação. Não desative o SmartScreen para evitar um aviso. A página de configurações disponíveis do Microsoft Defender SmartScreen mostra que organizações podem impedir que usuários ignorem alertas sobre sites e downloads.
Um aviso de “aplicativo não reconhecido” não é igual a uma detecção confirmada de malware. Pode significar que o arquivo ou editor ainda não acumulou reputação. Mesmo assim, o caminho correto não é clicar em “Executar assim mesmo” automaticamente. Volte às evidências: URL oficial, versão correta, assinatura coerente, SHA-256 correspondente e autorização para instalar.
Se o arquivo for classificado como ameaça ou houver dúvida razoável, não faça upload em serviços públicos sem avaliar confidencialidade e licença. A Microsoft mantém um portal de envio de amostras para análise, mas o envio transfere o arquivo para um terceiro e deve respeitar as regras da organização.
Passo 5: revise permissões e destino da instalação
Depois que origem, assinatura e integridade passarem, avalie o comportamento solicitado. Um instalador de IA pode pedir acesso a microfone, câmera, arquivos, área de transferência, extensões do navegador, contas de nuvem ou execução em segundo plano. Essas permissões não são justificadas apenas porque o arquivo é autêntico.
Antes de aceitar, relacione cada permissão a uma função concreta. Se um cliente de transcrição pede microfone, há uma relação direta. Se um utilitário de texto pede acesso administrativo permanente, integração ampla com o navegador e inicialização automática, exija documentação específica. O guia Como revisar permissões antes de conectar agentes de IA a arquivos e contas ajuda a transformar essa etapa em uma decisão de escopo.
Para arquivos de clientes ou documentos internos, também separe o material de teste do ambiente real. O guia Como separar arquivos e contextos de clientes antes de usar IA explica como reduzir mistura de dados antes do primeiro uso.
Modelo de registro da decisão
Produto:
Versão:
URL oficial:
Arquivo:
Tamanho:
SHA-256 local:
SHA-256 oficial: publicado / não publicado
Comparação: corresponde / não corresponde / não aplicável
Status Authenticode:
Assinante:
Emissor:
SmartScreen: sem alerta / reputação desconhecida / bloqueado
Permissões solicitadas:
Decisão: prosseguir / pedir confirmação / descartar
Responsável e data:Esse registro evita frases vagas como “parecia oficial”. Ele também permite verificar se a equipe analisou exatamente a mesma versão que depois foi instalada.
Erros comuns
Confiar apenas no ícone e no nome: ambos podem ser copiados. Use caminho oficial, assinatura e hash.
Aceitar qualquer assinante: uma assinatura válida identifica um signatário, mas você ainda precisa confirmar se ele está relacionado ao fornecedor esperado.
Comparar hashes de versões diferentes: arquitetura, idioma e atualização podem gerar arquivos distintos. Confira nome, versão e canal antes de concluir que há adulteração.
Tratar NotSigned como malware: ausência de assinatura reduz evidência, mas não é diagnóstico. A decisão deve considerar a política de software e a explicação do mantenedor.
Desativar proteção para terminar mais rápido: contornar SmartScreen, antivírus ou política corporativa remove uma camada justamente quando há incerteza.
Enviar o instalador a qualquer verificador on-line: o arquivo pode ser proprietário, confidencial ou conter componentes licenciados. Avalie a autorização antes do upload.
Checklist antes de executar
- a página de origem é oficial e foi registrada;
- produto, versão, arquitetura e nome do arquivo correspondem;
- o SHA-256 foi calculado com o arquivo ainda fechado;
- o hash corresponde ao oficial, quando publicado;
- a assinatura foi lida e o assinante faz sentido;
- nenhum status de erro foi convertido em aprovação;
- SmartScreen e proteção antimalware permanecem ativos;
- permissões, coleta de dados e execução em segundo plano foram revisadas;
- a instalação está autorizada para aquele computador;
- há uma decisão registrada para a versão exata.
O objetivo não é criar um ritual infalível. É impedir que a pressa transforme um arquivo encontrado na internet em software confiável sem evidência. Origem, assinatura, hash e reputação são camadas complementares. Quando alguma delas não fecha, a ação correta é parar e esclarecer antes de executar.