Разблокировка издателя в Windows¶
Разблокировка издателя — это процедура снятия ограничения, которое операционная система Windows автоматически накладывает на исполняемые файлы, библиотеки и документы, загруженные из интернета или полученные от сторонних разработчиков без цифровой подписи, признанной доверенной. Ограничение проявляется в виде предупреждения «Издатель этого файла не был проверен» или «Windows заблокировала запуск этого программного обеспечения», а также в свойствах файла — на вкладке «Безопасность» присутствует отметка «Файл заблокирован разработчиком» с кнопкой «Разблокировать».
¶Причины блокировки
Windows помечает файлы, скачанные через браузеры, почтовые клиенты или мессенджеры, атрибутом «Заблокировано» (Zone.Identifier, привязанный к зоне безопасности «Интернет» или «Внешняя сеть»). Система не различает содержимое файла — блокировка накладывается на любые исполняемые файлы (.exe, .dll, .msi, .bat, .cmd, .ps1), а также на документы Office и скрипты. Основные причины:
- отсутствие цифровой подписи разработчика или использование самоподписанного сертификата;
- файл загружен из интернета, а не создан локально;
- цифровая подпись просрочена, отозвана или выпущена неизвестным центром сертификации;
- групповая политика корпоративной сети запуск непроверенного ПО.
¶Способы разблокировки
¶Через свойства файла
Самый распространённый способ для отдельного файла:
- Открыть свойства файла (правый клик — «Свойства»).
- На вкладке «Безопасность» внизу найти строку «Файл заблокирован разработчиком».
- Установить флажок «Разблокировать» и нажать «Применить».
Этот вариант работает в Windows 10 и Windows 11 и снимает атрибут Zone.Identifier.
¶Через PowerShell
Для массовой разблокировки файлов в папке используется команда:
``powershell Get-ChildItem -Path "C:\Путь\К\Папке" -Recurse | Unblock-File ``
Команда Unblock-File снимает отметку Zone.Identifier со всех файлов в указанной директории, включая подпапки.
¶Через реестр Windows
Для полного отключения механизма блокировки для зоны «Интернет» в редакторе реестра (regedit) создаётся или изменяется значение:
`` HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3 ``
где DWORD-параметр 1806 устанавливается в 0. Зона 3 соответствует «Интернету», зона 4 — «Внешней сети». После изменения требуется перезапуск приложений, использующих WinINet.
¶Через групповую политiku
В редакторе локальной групповой политики (gpedit.msc, доступен в редакциях Pro и Enterprise) путь:
«Конфигурация пользователя» → «Административные шаблоны» → «Компоненты Windows» → «Microsoft Edge» (или Internet Explorer) → «Запретить запуск непроверенных элементов».
Значение «Отключено» снимает ограничение для браузеров, работающих через WinINet. В доменной среде аналогичные настройки раздаются через доменную групповую политику.
¶Через PowerShell (политика выполнения скриптов)
Для скриптов PowerShell действует отдельный механизм — политика выполнения (ExecutionPolicy). Проверка текущей политики:
``powershell Get-ExecutionPolicy ``
Смена политики на текущую сессию:
``powershell Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass ``
Значение Bypass отключает все проверки, RemoteSigned разрешает локальные скрипты, но требует подписи для скачанных. Изменение политики на уровне LocalMachine или CurrentUser требует прав администратора.
¶Цифровая подпись
Если блокировка вызвана отсутствием подписи, единственный корректный способ — получить сертификат кода у доверенного центра сертификации и подписать исполняемый файл утилитой signtool из Windows SDK. Для внутреннего использования допустима самоподписанная подпись, но она не снимет предупреждения у конечных пользователей без дополнительной настройки доверия.
¶Особенности Windows 11
В Windows 11 SmartScreen стал агрессивнее: для неподписанных приложений, запущенных впервые, появляется полноэкранное предупреждение «Windows защитила ваш компьютер» с кнопкой «Подробнее» → «Всё равно запустить». В свойствах файла разблокировка реализована так же, как в Windows 10.
¶Меры предосторожности
Снятие блокировки безопасно только для файлов из доверенных источников. Механизм Zone.Identifier — один из базовых уровней защиты от запуска вредоносного ПО, и его отключение для всей зоны «Интернет» существенно повышает риск заражения. Рекомендуется разблокировать только конкретные файлы, а не отключать механизм глобально.
¶Источники
- Документация Microsoft Learn: Unblock-File, Execution Policy, Attachment Manager
- Справка Windows 10 и Windows 11 (подсистема безопасности файлов)