Alle EXE- en DLL-bestanden van Mercator zijn digitaal ondertekend met een Thawte-certificaat en een Verisign-timestamp. Sinds 15 juli 2008 wordt deze timestamp gecreëerd op basis van een SHA-1-sleutel die de MD5-sleutel vervangt die tot dan van kracht was.
Microsoft heeft bevestigd dat Windows Vista, Windows 2008, Windows 2003, Windows XP en Windows 2000 deze nieuwe digitale handtekening correct zullen kunnen lezen. Dit betekent dat deze handtekening niet langer correct zal worden gelezen op oudere besturingssystemen. Dat zou het gebruik van Mercator echter niet verhinderen.