Walidacja podpisu elektronicznego
Walidacja podpisu elektronicznego to proces sprawdzenia i potwierdzenia, że podpis na dokumencie jest ważny: plik nie zmienił się po podpisaniu, certyfikat podpisującego pochodzi od zaufanego wystawcy i był ważny w chwili złożenia podpisu. Wynikiem jest raport ze statusem podpisu - ważny, nieważny albo nieokreślony.
Co sprawdza walidacja podpisu
Wygląd podpisu na stronie PDF nic nie dowodzi. Pieczątkę z nazwiskiem da się skopiować do dowolnego pliku. O ważności przesądza dopiero sprawdzenie danych ukrytych w podpisie. Rozporządzenie eIDAS definiuje walidację jako proces weryfikacji i potwierdzania, że dane w postaci elektronicznej są ważne. Dla podpisu kwalifikowanego art. 32 wylicza, co musi zostać potwierdzone. W praktyce walidator sprawdza:
- integralność - czy dokument po podpisaniu nie zmienił się choćby o jeden znak,
- certyfikat - czy prowadzi do zaufanego wystawcy, a przy podpisie kwalifikowanym czy dostawca ma status kwalifikowany na zaufanej liście państwa UE,
- ważność w chwili podpisu - czy certyfikat nie wygasł ani nie został unieważniony przed złożeniem podpisu,
- tożsamość - czyje dane zawiera certyfikat i czy użyto pseudonimu,
- urządzenie - przy podpisie kwalifikowanym, czy złożono go kwalifikowanym urządzeniem.
Nowelizacja eIDAS z 2024 r. dodała art. 32a z podobnymi wymogami dla podpisów zaawansowanych opartych na kwalifikowanym certyfikacie.
Wynik walidacji - ważny, nieważny, nieokreślony
Walidatory zgodne z europejską normą ETSI EN 319 102-1 zwracają jeden z trzech wyników. TOTAL-PASSED oznacza podpis ważny. TOTAL-FAILED - nieważny, na przykład dlatego, że dokument zmieniono po podpisaniu. INDETERMINATE oznacza, że brakuje danych do rozstrzygnięcia: walidator nie zna wystawcy certyfikatu, nie pobrał informacji o unieważnieniu albo nie ma dowodu, kiedy złożono podpis. Komunikat czytnika PDF „ważność podpisu nieznana” zwykle nie świadczy o fałszerstwie, tylko o tym, że program nie ufa wystawcy.
Walidacja ocenia stan z chwili podpisu, nie z dnia sprawdzenia. Certyfikat, który wygasł po podpisaniu, nie unieważnia podpisu, jeśli da się wykazać moment jego złożenia. Służą do tego kwalifikowany znacznik czasu i formaty z danymi walidacyjnymi zapisanymi w pliku.
Jak sprawdzić podpis elektroniczny - bezpłatne narzędzia
- Usługa „Podpisz dokument elektronicznie” na gov.pl - sprawdza podpisy kwalifikowane, zaufane i osobiste. Przyjmuje do 5 plików o łącznym rozmiarze do 25 MB.
- Weryfikator na puesc.gov.pl - dla dokumentów od Krajowej Administracji Skarbowej i Ministerstwa Finansów. Nie jest kwalifikowaną usługą zaufania i nie służy do automatycznej walidacji.
- Aplikacja demonstracyjna DSS Komisji Europejskiej - pokazuje szczegółowy raport, ale Komisja zastrzega, że służy tylko do testów. Nie wysyłaj do niej poufnych umów.
- Kwalifikowana usługa walidacji podpisów kwalifikowanych - może ją świadczyć tylko kwalifikowany dostawca usług zaufania, a wynik opatruje własnym podpisem lub pieczęcią. Przydaje się, gdy wynik ma być dowodem.
Jak rozpoznać podpis kwalifikowany i jego certyfikat, opisuje artykuł kwalifikowany podpis elektroniczny.
Walidacja w obiegu dokumentów - praktyka e-MSI
W systemie IDR® opracowanym przez e-MSI reguły walidacji obejmują weryfikację podpisu: system wykrywa, czy dokument podpisano odręcznie lub elektronicznie oraz czy po podpisaniu nie podmieniono stron lub treści. Dokumenty podpisywane w procesach na platformie JobRouter® obsługuje moduł JobRouter® Sign, który zapisuje status i historię podpisu, a podpisany plik trafia do archiwum. Szczegóły na stronie podpis elektroniczny.
Najczęstsze błędy przy walidacji podpisu
- Ocenianie podpisu po wyglądzie pieczątki na stronie zamiast po raporcie walidacji.
- Uznanie podpisu za nieważny tylko dlatego, że certyfikat wygasł po dacie podpisu.
- Edycja podpisanego PDF, nawet dodanie komentarza, przed zachowaniem oryginału.
- Brak raportu walidacji w aktach sprawy - po latach trudno go odtworzyć.
- Wysyłanie poufnych dokumentów do przypadkowych walidatorów online.
Przykłady zastosowania
Księgowa otrzymuje umowę podpisaną kwalifikowanym podpisem kontrahenta. Przed księgowaniem sprawdza plik w usłudze na gov.pl i odnotowuje przy dokumencie, że podpis jest ważny.
Kancelaria dostaje pełnomocnictwo w pliku PDF. Czytnik pokazuje „ważność podpisu nieznana”, więc aplikant sprawdza plik w walidatorze, który korzysta z zaufanych list UE, i otrzymuje wynik pozytywny.
Dział zamówień publicznych sprawdza podpisy na ofertach. Jedna z nich ma podpis złożony po unieważnieniu certyfikatu - walidator nie potwierdza jego ważności, a komisja odnotowuje to w protokole.
Archiwista zakładowy weryfikuje umowę sprzed kilku lat. Certyfikat podpisującego już wygasł, ale kwalifikowany znacznik czasu potwierdza, że podpis złożono w okresie jego ważności.
Informatyk konfiguruje w obiegu dokumentów regułę, która kieruje do ręcznej kontroli każdy przychodzący plik z wynikiem walidacji innym niż ważny.
Najczęstsze pytania
Co to jest walidacja podpisu elektronicznego?
To sprawdzenie, czy podpis elektroniczny jest ważny. Walidator bada, czy dokument nie zmienił się po podpisaniu, czy certyfikat pochodzi od zaufanego wystawcy i czy był ważny w chwili podpisu. Wynikiem jest raport ze statusem ważny, nieważny albo nieokreślony, który można zachować jako dowód.
Na czym polega weryfikacja podpisu elektronicznego?
Weryfikacja polega na sprawdzeniu, czy podpis matematycznie pasuje do dokumentu i klucza publicznego z certyfikatu, czyli czy plik nie zmienił się po podpisaniu. Tak rozumie się ją w węższym znaczeniu, bo potocznie weryfikacja i walidacja to synonimy. Pełna walidacja obejmuje dodatkowo certyfikat, jego status w chwili podpisu, wystawcę z zaufanej listy i wymogi eIDAS.
Jak zwalidować podpis elektroniczny?
Wystarczy wgrać podpisany plik do walidatora, najprościej do bezpłatnej usługi „Podpisz dokument elektronicznie” na gov.pl, która sprawdza podpisy kwalifikowane, zaufane i osobiste. Dokumenty od Krajowej Administracji Skarbowej zweryfikujesz na puesc.gov.pl. Programy dostawców podpisu kwalifikowanego też zwykle mają funkcję weryfikacji. Poufnych plików nie wysyłaj do przypadkowych serwisów.
Co oznacza błąd weryfikacji podpisu?
Zwykle oznacza, że program nie zna wystawcy certyfikatu albo nie mógł pobrać informacji o jego statusie, i wtedy pokazuje komunikat typu „ważność podpisu nieznana”. Nie świadczy to jeszcze o fałszerstwie. Sprawdź plik w walidatorze korzystającym z zaufanych list UE. Wynik nieważny pojawia się zwykle wtedy, gdy dokument zmieniono lub certyfikat był nieważny w chwili podpisu.
Czy podpis jest ważny, gdy certyfikat wygasł?
Tak, jeśli certyfikat był ważny w chwili złożenia podpisu. Walidacja ocenia moment podpisu, a nie dzień sprawdzenia. Trzeba jednak umieć ten moment wykazać, najlepiej kwalifikowanym znacznikiem czasu. Bez niego walidator może zwrócić wynik nieokreślony, bo nie wie, kiedy podpis złożono.
Czy walidator online Komisji Europejskiej jest wiarygodny?
Aplikacja DSS Komisji Europejskiej pokazuje szczegółowy raport z walidacji, ale sama Komisja zastrzega, że to demonstracja do testów, a nie usługa. Przesłanych plików nie przechowuje, mimo to nie wysyłaj do niej poufnych umów. Gdy wynik ma być dowodem, lepsza jest kwalifikowana usługa walidacji.
Powiązane hasła
Zobacz, jak wygląda to w systemach, które wdrażamy w polskich firmach.
