امضای الکترونیکی چگونه کار می‌کند در سال 2026

مقدمه

امضای الکترونیک امروزه در قلب تحول دیجیتال کسب‌وکارها قرار دارد: سازمان‌های بیشتری آن را در فرآیندهای قراردادی خود ادغام می‌کنند. با این حال، تصمیم‌گیرانی که مکانیسم‌های دقیقی که آن را از نظر حقوقی معتبر و از نظر فنی غیرقابل جعل می‌سازند را به‌درستی درک کنند، کم‌شمارند. درک اینکه امضای الکترونیک از نظر فنی چگونه کار می‌کند — رمزنگاری، زیرساخت کلید عمومی (PKI)، گواهی‌ها — امکان انتخاب راهکار مناسب، کاهش ریسک‌های حقوقی و تسریع پذیرش داخلی را فراهم می‌کند. این مقاله شما را گام‌به‌گام در معماری فنی و استانداردهایی که امضای الکترونیک را در سال ۲۰۲۶ تنظیم می‌کنند، راهنمایی می‌کند.

---

مبانی رمزنگاری امضای الکترونیکی

امضای الکترونیکی بر پایه‌های رمزنگاری اثبات‌شده استوار است. درک مکانیسم‌های آن به معنای درک این است که چرا بیشتر از تصویر دیجیتالی امضای دست‌خط قابل اعتماد است.

رمزنگاری نامتقارن: کلید عمومی و کلید خصوصی

اصل بنیادی رمزنگاری نامتقارن است، که در دهه 1970 اختراع شده و توسط الگوریتم‌هایی مانند RSA (Rivest–Shamir–Adleman) یا منحنی‌های بیضوی (ECDSA) استاندارد شده است. هر امضاکننده دو کلید ریاضی به هم مرتبط دارد:

• کلید خصوصی: توسط امضاکننده به صورت محرمانه نگهداری می‌شود، بر روی یک دستگاه ایمن (کارت هوشمند، نشانه HSM، یا ماژول نرم‌افزاری محافظت‌شده). این کلید برای ایجاد امضا استفاده می‌شود.

• کلید عمومی: به آزادی توزیع می‌شود، در گواهینامه دیجیتال گنجانده می‌شود. این کلید برای تایید امضا استفاده می‌شود.

اصل امنیتی بر اساس عدم تقارن محاسباتی است: تایید یک امضا با کلید عمومی از لحاظ ریاضی بسیار ساده است، اما عملاً غیرممکن است که کلید خصوصی را از روی کلید عمومی بازسازی کنید (مسئله لگاریتم گسسته یا فاکتورسازی اعداد بزرگ).

توابع هش: اثر انگشت دیجیتالی سند

قبل از امضاء، سیستم اثر انگشت رمزنگاری سند را به کمک یک تابع هش (SHA-256 یا SHA-3 در سال 2026) محاسبه می‌کند. این اثر، که hash یا condensat نامیده می‌شود، زنجیره‌ای از کاراکترهای اندازه ثابت است (256 بیت برای SHA-256) که محتوای سند را به طور منحصر به فرد نشان می‌دهد.

ویژگی ضروری: تغییر یک تک کاراکتر از سند hash کاملاً متفاوتی ایجاد می‌کند. این همان چیزی است که تمامیت سند امضا شده را تضمین می‌کند: هرگونه تغییر بعد از امضا بلافاصله قابل تشخیص است.

امضای الکترونیکی خود بنابراین رمزنگاری این hash با کلید خصوصی امضاکننده است. هنگام تایید، گیرنده:

• امضا را با کلید عمومی رمزگشایی می‌کند تا hash اصلی را بازیابی کند؛

• خود hash سند دریافت شده را دوباره محاسبه می‌کند؛

• این دو را مقایسه می‌کند: اگر یکسان باشند، امضا معتبر است.

---

زیرساخت کلیدهای عمومی (PKI): زنجیره اعتماد

تنها رمزنگاری کافی نیست: همچنین باید ثابت کرد که کلید عمومی متعلق به شخصی است که ادعا می‌کند آن را دارد. این نقش PKI (Infrastructure زیرساخت کلیدهای عمومی) است.

مراجع تصدیق (CA)

مرجع صدور گواهینامه (AC یا CA) یک طرف ثالث معتمد است که توسط قانون مجاز است و گواهینامه‌های دیجیتال صادر می‌کند. گواهینامه دیجیتال فایلی استاندارد (قالب X.509) است که شامل:

• هویت دارنده (نام، سازمان، ایمیل)؛

• کلید عمومی وی؛

• دوره اعتبار؛

• امضای دیجیتالی خود AC است.

در اروپا، مراجع صدور گواهینامه واجد شرایط در Trusted Lists منتشر شده توسط هر کشور عضو اتحادیه اروپا طبق قانون eIDAS فهرست‌شده‌اند. در فرانسه، ANSSI این لیست را منتشر و نگهداری می‌کند. تامین‌کنندگان خدمات اعتماد واجد شرایط (QTSP) — مانند CertSign، Certigna، یا Universign — مطابق استاندارد ETSI EN 319 401 مشمول حسابرسی منظم هستند.

زنجیره گواهینامه و لغو

PKI بر مدل سلسله‌مراتبی کار می‌کند:

• AC ریشه (Root CA) خود‌امضا، که در شرایط امنیتی فیزیکی حداکثری آفلاین نگهداری می‌شود؛

• AC واسطه که گواهینامه‌های کاربران نهایی را صادر می‌کنند.

لغو گواهینامه‌ها یک مکانیسم حیاتی است: اگر کلید خصوصی به خطر بیفتد، AC لغو آن را از طریق CRL (Certificate Revocation List) یا از طریق پروتکل OCSP (Online Certificate Status Protocol) منتشر می‌کند، اجازه تایید بلادرنگ را فراهم می‌کند.

برای امضای الکترونیکی واجد شرایط بر اساس eIDAS، کلید خصوصی باید در QSCD (Qualified Signature Creation Device) تولید و نگهداری شود — سخت‌افزاری تصدیق‌شده CC EAL4+ یا بالاتر، مانند کارت هوشمند یا HSM (Hardware Security Module).

---

سه سطح امضا بر اساس eIDAS

قانون اروپایی eIDAS شماره 910/2014 (و تحول آن eIDAS 2.0 در حال استقرار) سه سطح امضا را تعریف می‌کند، که هر یک بر اساس تضمین‌های فنی متزاید استوار است. برای اطلاعات بیشتر این چارچوب نظارتی، مراجعه کنید به راهنمای کامل قانون eIDAS.

امضای الکترونیکی ساده (SES)

امضای ساده کمترین شکل محدود‌کننده از لحاظ فنی است. می‌تواند به سادگی کادر نشانه، کد OTP (کلمه عبور یک‌بار) ارسال شده توسط SMS، یا تصویر امضای دست‌خط باشد. نیاز به گواهینامه واجد شرایط ندارد.

استفاده معمول: تایید پیشنهاد‌های قیمت، رضایت‌نامه‌های بازاریابی، قرارداد‌های با ریسک پایین.

خطر: ارزش اثبات محدود در صورت اختلاف قضایی. عبء اثبات بر عهده‌ای است که امضا را مطرح می‌کند.

امضای الکترونیکی پیشرفته (AdES)

امضای پیشرفته به چهار الزام فنی دقیق پاسخ می‌دهد (ماده 26 eIDAS):

• به طور منحصر به فرد با امضاکننده مرتبط است؛

• امکان شناسایی امضاکننده را فراهم می‌کند؛

• از داده‌هایی تحت کنترل انحصاری امضاکننده ایجاد می‌شود؛

• امکان تشخیص هرگونه تغییر بعدی سند را فراهم می‌کند.

به طور عملی، این مستلزم استفاده از گواهینامه دیجیتالی شخصی و مکانیسم تأیید هویت قوی است. قالب‌های استاندارد توسط ETSI تعریف شده‌اند: PAdES (برای PDF)، XAdES (XML)، CAdES (داده‌های دودویی) و JAdES (JSON)، همه استاندارد‌شده در سری ETSI EN 319 100.

امضای الکترونیکی واجد شرایط (QES)

امضای واجد شرایط بالاترین سطح است. نیاز دارد به:

• گواهینامه واجد شرایط صادر‌شده توسط QTSP تأیید‌شده eIDAS؛

• QSCD برای ایجاد امضا.

از فرض قانونی قابلیت اعتماد و معادلات حقوقی با امضای دست‌خط در سراسر اتحادیه اروپا بهره‌مند است (ماده 25 eIDAS). این سطح برای اسناد احراز هویت الکترونیکی، برخی اسناد کاتبی، یا بازارهای عمومی حساس مورد نیاز است.

مقایسه راه‌حل‌های امضای الکترونیکی ما تفاوت‌های عملی بین این سطوح را تحلیل می‌کند تا به شما کمک کند انتخاب کنید.

---

فرایند کامل یک امضای الکترونیکی مرحله به مرحله

در اینجا نحوه انجام یک تراکنش امضای الکترونیکی بر روی پلتفرم SaaS مانند Certyneo است:

مرحله 1: آماده‌سازی و ارسال سند

ابتدایی‌کننده امضا سند (قرارداد، اصلاحیه، سفارش خرید) را به پلتفرم آپلود می‌کند. سیستم فوراً hash SHA-256 فایل اصلی را تولید می‌کند، زمان‌بندی شده و نگهداری‌شده به صورت تغییر‌ناپذیر. این اثر به عنوان مرجع برای هرگونه تایید آینده استفاده خواهد شد.

مرحله 2: احراز هویت امضاکننده

بسته به سطح امضا انتخاب‌شده، احراز هویت متفاوت است:

• SES: ایمیل + پیوند امضا؛

• AdES: احراز هویت قوی (OTP SMS، برنامه موبایل FIDO2)؛

• QES: تأیید هویت قبلی (رودرویی یا IDV ویدئویی)، صدور گواهینامه واجد شرایط برای استفاده یک‌بار یا پایدار.

مرحله 3: ایجاد امضای رمزنگاری

امضاکننده عمل امضا را آغاز می‌کند. پلتفرم (یا QSCD):

• Hash سند را محاسبه می‌کند؛

• این hash را با کلید خصوصی امضاکننده رمزنگاری می‌کند؛

• امضا و گواهینامه را در سند (PDF امضا‌شده در قالب PAdES-LTV برای نگهداری طولانی‌مدت) ادغام می‌کند.

مرحله 4: زمان‌بندی واجد شرایط

خدمت زمان‌بندی واجد شرایط (TSA) مطابق با استاندارد RFC 3161 timestamp رمزنگاری را اعمال می‌کند، ثابت کردن اینکه امضا در لحظه‌ای دقیق وجود داشت. این از تقلب تاریخ محافظت می‌کند و ارزش اثبات را در طول زمان تضمین می‌کند — حتی اگر گواهینامه امضاکننده بعداً منقضی شود.

مرحله 5: بایگانی اثبات‌پذیر

سند امضا‌شده با پیگیری حسابرسی کامل آن بایگانی می‌شود: هویت امضاکننده، آدرس IP، زمان‌بندی، hash سند، گواهینامه‌های مورد استفاده. این پروندهٔ اثبات (audit trail) در صورت اختلاف قضایی ضروری است. راه‌حل‌های مطابق eIDAS این اثبات‌ها را در قالب PAdES-LTV (Long-Term Validation) که داده‌های اعتباری را برای تایید سال‌ها بعد از امضا یکپارچه می‌کند، نگهداری می‌کنند.

برای درک اینکه این فرایند را در جریان‌های HR خود چگونه ادغام کنید، راه‌حل امضای الکترونیکی برای HR و قالب‌های قراردادی ما برای دانلود را کشف کنید.

چارچوب حقوقی قابل اجرا برای امضای الکترونیکی

امضای الکترونیکی در یک چارچوب نظارتی چند‌لایه ادغام می‌شود که حقوق کاربردی ملی و حقوق اروپایی هماهنگ‌شده را مرتبط می‌کند.

قانون مدنی فرانسه

ماده 1366 قانون مدنی اصل بنیادی را بیان می‌کند: «نوشتار الکترونیکی دارای نیروی اثبات یکسانی با نوشتار بر روی کاغذ است، تحت شرط اینکه هویت شخصی که از آن ناشی است بتواند به درستی شناسایی شود و تحت شرایطی تاسیس و نگهداری شود که طبیعت آن تمامیت آن را تضمین کند.» ماده 1367 روشن می‌کند که امضای الکترونیکی «شامل استفاده از یک روش قابل اعتماد شناسایی است که ارتباط آن با عملی که پیوند می‌خورد را تضمین می‌کند».

فرمان شماره 2017-1416 مورخ 28 سپتامبر 2017 برای امضا‌های واجد شرایط و پیشرفته مطابق eIDAS فرض قابلیت اعتماد را تعریف می‌کند.

قانون eIDAS شماره 910/2014

سنگ بنای حقوق اروپایی اعتماد دیجیتال، قانون eIDAS (electronic IDentification, Authentication and trust Services) چارچوب حقوقی یکپارچه برای امضا‌های الکترونیکی، مهرهای الکترونیکی، زمان‌بندی واجد شرایط، خدمات ارسال توصیه‌شده و گواهینامه‌های احراز هویت سایت‌های وب ایجاد می‌کند. ماده آن 25، بند 2، به امضای واجد شرایط فرض قانونی معادلت با امضای دست‌خط در سراسر اتحادیه اروپا اعطا می‌کند.

قانون eIDAS 2.0 (در حال انتقال در سه‌ماهه اول 2026) این مقررات را تقویت می‌کند و کیف پول هویت دیجیتال اروپایی (EUDIW) را معرفی می‌کند و الزامات را به بازارهای خدمات مالی و بهداشتی گسترش می‌دهد.

استانداردهای ETSI

قالب‌های امضا توسط ETSI استاندارد‌شده‌اند:

• ETSI EN 319 132 (XAdES)، EN 319 122 (CAdES)، EN 319 102 (PAdES) نمایه‌های فنی امضا‌های پیشرفته و واجد شرایط را تعریف می‌کنند؛

• ETSI EN 319 421 سیاست‌های خدمات زمان‌بندی واجد شرایط را چارچوب‌بندی می‌کند.

GDPR و حفاظت از اطلاعات

پردازش داده‌های هویتی در زمینهٔ امضای الکترونیکی (نام، ایمیل، بیومتریک برای تأیید هویت) مشمول GDPR شماره 2016/679 است. مسئولان پردازش باید: مبنای حقوقی (منفعت موجه یا اجرای قرارداد) داشته باشند، اصل کمینه‌سازی داده‌ها را اعمال کنند، و امنیت را از طریق اقدامات فنی مناسب (رمزنگاری، شبه‌نام‌سازی) تضمین کنند.

دستورالعمل NIS2

دستورالعمل NIS2 (2022/2555/UE)، منتقل‌شده در حقوق فرانسوی از اکتبر 2024، برای اپراتورهای خدمات ضروری و تامین‌کنندگان خدمات دیجیتالی (از جمله تامین‌کنندگان امضای الکترونیکی) الزامات تقویت‌شده در زمینهٔ سایبر‌امنیتی، مدیریت ریسک‌ها و اطلاع‌رسانی حوادث در 24 ساعت را بر عهده می‌دارد. عدم رعایت منجر به تحریم‌هایی می‌شود که می‌تواند به 10 میلیون یورو یا 2 درصد درآمد جهانی برسد.

سناریوهای کاربردی تصویری از امضای الکترونیک

سناریو 1: دفتر وکیل کسب‌وکار امضای تفویض را خودکار می‌کند

این سناریوها جنبه تصویری دارند: آن‌ها وضعیت‌های نمونه را توصیف می‌کنند و هیچ نتیجه‌ی اندازه‌گیری‌شده‌ای از مشتریان واقعی گزارش نمی‌کنند. یک موسسه‌ی حقوقی تجاری با حدود دوازده همکار، به‌طور میانگین ماهانه ۱۲۰ وکالت‌نامه را پردازش می‌کند. فرایند کاغذی شامل چاپ، ارسال پستی یا تحویل حضوری و سپس اسکن مدارک بازگشتی است — که زمان پردازش هر پرونده را طولانی‌تر می‌کند و خطر گم‌شدن اسناد را افزایش می‌دهد.

با استقرار امضای الکترونیک پیشرفته (AdES) همراه با احراز هویت OTP، این موسسه می‌تواند زمان امضا را کوتاه‌تر کند، خطاهای اسنادی را کاهش دهد و هزینه‌های پستی و چاپ را پایین بیاورد. ردیابی حسابرسی که به‌صورت خودکار تولید می‌شود نیز در صورت اعتراض به وکالت‌نامه، مدرکی دارای مهر زمانی ارائه می‌کند. میزان این بهبود باید در محدوده‌ی واقعی موسسه، پیش و پس از یک آزمایش پایلوت سنجیده شود. راهکار اختصاصی ما برای موسسات حقوقی را کشف کنید.

سناریو 2: یک SME صنعتی قرارداد تامین‌کنندگان خود را دیجیتالی می‌کند

یک SME صنعتی با مدیریت حدود 200 قرارداد تامین‌کننده در سال (شرایط عمومی خریدها، اصلاحیه‌های نرخ، NDA) از تأخیرهای امضا بیش از سه هفته برای قرارداد‌های متقاطع‌سرحدی با شریکان آلمانی و اسپانیایی رنج می‌برد. تفاوت‌های سیستم‌های حقوقی و فقدان شناخت متقابل مذاکرات را کند می‌کرد.

با پذیرش امضای الکترونیک واجد شرایط (QES) صادرشده توسط یک QTSP دارای اعتبار eIDAS که در سراسر اتحادیه‌ی اروپا به رسمیت شناخته می‌شود، این شرکت کوچک و متوسط بدون نیاز به تأیید حقوقی اضافی، از شناسایی قانونی خودکار در هر سه کشور بهره‌مند می‌شود. بدین ترتیب زمان امضای فرامرزی می‌تواند به‌طور قابل‌توجهی کاهش یابد. میزان این بهبود باید در محدوده‌ی واقعی، پیش و پس از یک آزمایش پایلوت سنجیده شود. امضای الکترونیک در شرکت‌ها این مزایا را برای تیم‌های خرید به‌تفصیل شرح می‌دهد.

سناریو 3: یک گروه بیمارستانی رضایت آگاهانهٔ بیمار را ایمن می‌کند

یک گروه بیمارستانی حدود 800 تختخواب نیاز داشت تا رضایت آگاهانهٔ بیماران برای پروتکل‌های تحقیقات بالینی را جمع‌آوری کند. مدیریت کاغذی ریسک‌های تطابق GDPR ایجاد می‌کرد (اسناد بد بایگانی‌شده، تاریخ‌های غیر قابل ردیابی) و موظف می‌کرد کادر درمانی برای کارهای اداری را انجام دهد.

با یکپارچه‌سازی یک امضای الکترونیک ساده همراه با شناسایی از طریق کد پیامکی — که برای اسناد غیرمشمول الزام واجد شرایط کافی است — این مجموعه، جمع‌آوری، بایگانی و ردیابی رضایت‌نامه‌ها را خودکار می‌کند. زمان اداری صرف‌شده برای هر بیمار می‌تواند کاهش یابد و زمان بیشتری برای کادر درمان آزاد شود. تمامی اسناد همراه با مهر زمانی واجد شرایط بایگانی می‌شوند که به رعایت الزامات CNIL کمک می‌کند. میزان این بهبود باید در محدوده‌ی واقعی، پیش و پس از یک آزمایش پایلوت سنجیده شود. راهکار امضا برای حوزه‌ی سلامت را کشف کنید.

سوالات متکی‌الجواب

تفاوت بین امضای الکترونیکی و امضای دیجیتالی‌شده چیست؟

امضای دیجیتالی‌شده صرفاً تصویری از امضای دستی است که به فایل دیجیتال تبدیل شده‌است: این نوع امضا هیچ تضمین رمزنگاری‌ای ندارد و می‌تواند آزادانه کپی یا جعل شود. امضای الکترونیکی، در معنای آن‌طور که در مقررات eIDAS تعریف شده است، بر اساس مکانیسم‌های هش و رمزنگاری نامتقارن کار می‌کند که هویت امضاکننده را به محتوای سند به‌صورت ریاضی مرتبط می‌سازد، و هر گونه تغییر بعدی قابل‌تشخیص است.

امضای الکترونیکی از لحاظ حقوقی در برابر دادگاه فرانسه معتبر است؟

بلی. ماده ۱۳۶۶ قانون مدنی فرانسه امضای الکترونیکی را معادل امضای دستی به رسمیت می‌شناسد، شرط بر اینکه هویت امضاکننده تضمین شده باشد و یکپارچگی سند مورد حمایت قرار گیرد. ارزش اثبات‌کننده بسته به سطح تفاوت دارد: امضای واجد‌شرایط در معنای eIDAS از پیش‌فرض قانونی قابلیت‌اعتماد برخوردار است، که در صورت اعتراض، عبء اثبات را معکوس می‌کند.

اگر گواهی دیجیتالی امضاکننده پس از امضا منقضی شود چه اتفاقی می‌افتد؟

انقضای گواهی پس از امضا معتبری‌بخشی آن را زیر سوال نمی‌برد، به شرط اینکه در زمان امضا، تمبر زمانی واجد‌شرایط اعمال شده باشد. این رمز تمبر زمانی، که توسط یک مرجع اعتماد‌شده صادر می‌شود، تصدیق می‌کند که امضا واقعاً پیش از انقضا یا لغو گواهی وجود داشته است، که امکان تأیید امضا را سال‌ها یا حتی دهه‌ها بعد از آن فراهم می‌کند.

کدام اسناد در فرانسه نمی‌توانند به‌صورت الکترونیکی امضا شوند؟

برخی از اسناد تحت الزامات فرمی خاصی قرار دارند که صرفاً امضای الکترونیکی را منع می‌کند: وصیت‌نامه‌های خود‌نوشت، اسناد دولتی تنظیم‌شده بر روی دستاویز کاغذی، یا برخی اسناد ثبت‌احوال. با این‌حال، از زمان فرمان شماره ۲۰۱۷-۱۴۱۶، امضای الکترونیکی واجد‌شرایط برای اسناد دولتی غیرحضوری پذیرفته‌شده است، شرط بر اینکه دولت‌دار دارای گواهی واجد‌شرایط به‌رسمیت‌شناخته‌شده باشد.

چگونه می‌توان تأیید کرد که امضای الکترونیکی دریافت‌شده اصل است؟

تأیید شامل بررسی سه عنصر است: اعتبار گواهی دیجیتالی امضاکننده در زمان امضا، یکپارچگی سند از طریق محاسبه‌ی مجدد هش، و وضعیت لغو گواهی از طریق OCSP یا CRL منتشر‌شده توسط مرجع صدور گواهی. بیشتر خوان‌نمایی‌های PDF اخیر این تأیید‌ها را خودکار انجام می‌دهند و پنلی از امضا نمایش می‌دهند که نشان می‌دهد آیا سند پس از امضا تغییر یافته است.

نتیجه‌گیری

درک چگونگی کار فنی امضای الکترونیکی — از رمزنگاری نامتقارن تا PKI، از گواهینامه‌های واجد شرایط تا زمان‌بندی اثبات‌پذیر — برای انتخاب‌های آگاهانه در مورد تطابق و بهره‌وری عملیاتی ضروری است. سه سطح eIDAS (ساده، پیشرفته، واجد شرایط) به نیازهای متفاوت پاسخ می‌د