Glosarium tanda tangan elektronik

112 istilah kunci untuk menguasai tanda tangan elektronik, kriptografi, dan kepatuhan eIDAS.

Au-delà des définitions, passez à la pratique : découvrez la solution de signature électronique Certyneo

Diperbarui pada 14 juillet 2026.

Glossaire signature électronique — références et définitions

A

Akta autentik elektronik (AAE): Akta autentik elektronik (AAE) adalah akta notaris yang dibuat, diterima dan disimpan dalam bentuk digital sesuai dengan dekrit no. 2005-973 dari 10 Agustus 2005. Notaris menandatangani dengan tanda tangan elektronik terverifikasi (tingkat QES, eIDAS) menggunakan QSCD yang berwenang, dan akta kemudian ditransmisikan ke platform Real.not (Jaringan elektronik akta notaris). AAE memiliki kekuatan pembuktian yang sama dan kekuatan eksekutif yang sama dengan akta kertas: ini merupakan bukti sempurna dari isinya dan dapat menjadi dasar penyitaan tanpa putusan sebelumnya. Kontrak real estat, hadiah, penggabungan perusahaan, dan mandat perlindungan masa depan adalah bagian dari akta yang dapat dibuat dalam bentuk elektronik. Certyneo membantu studi notaris dalam mengimplementasikan alur co-signature awal (pra-kontrak, mandat penjualan) sebelum penandatanganan akta autentik di kantor notaris.
AES (Tanda Tangan Elektronik Lanjutan): AES est l'acronyme d'Advanced Electronic Signature, la signature électronique avancée définie par l'article 26 du règlement eIDAS — voir la fiche signature avancée pour les exigences détaillées, la comparaison SES / AES / QES et les cas d'usage. À ne pas confondre avec l'autre AES de la cryptographie, l'Advanced Encryption Standard, un algorithme de chiffrement symétrique sans rapport avec la signature.
API REST tanda tangan elektronik: API REST (Representational State Transfer) tanda tangan elektronik mengekspos operasi mesin penandatanganan sebagai sumber daya HTTP yang dapat diakses oleh bahasa pemrograman apa pun. Alur khas mencakup: pembuatan amplop (POST /envelopes), unggah dokumen (PUT /envelopes/{id}/documents), penambahan penandatangan dan bidang (POST /recipients), pengiriman untuk ditandatangani (PUT /envelopes/{id}/send), kemudian pengambilan dokumen yang ditandatangani (GET /envelopes/{id}/signed-pdf). Autentikasi bergantung pada token Bearer (OAuth 2.0 / kunci API). Webhook melengkapi API dengan mendorong peristiwa (dokumen ditandatangani, penolakan, kedaluwarsa) ke backend Anda tanpa polling. API REST tanda tangan yang baik menjamin integritas dokumen melalui hash SHA-256 yang dikembalikan di setiap langkah dan mendukung jejak audit yang diberi cap waktu. Certyneo mengekspos API REST lengkap yang didokumentasikan dalam OpenAPI 3.1 dengan SDK tersedia di Node.js, Python, dan PHP.
Pengarsipan elektronik (tanda tangan, nilai bukti): Pengarsipan elektronik mengacu pada penyimpanan jangka panjang dokumen digital yang ditandatangani dalam kondisi yang menjamin nilai bukti, keterbacaan, dan integritasnya dari waktu ke waktu. Jangan disamakan dengan penyimpanan sederhana: pengarsipan bukti memaksakan kendala teknis dan hukum tertentu yang membedakannya dari penyimpanan biasa di cloud.

Tiga pilar pengarsipan bukti :
• Integritas : dokumen yang diarsipkan tidak dapat diubah — setiap perubahan dapat dideteksi dan menginvalidasi bukti. Dijamin oleh hashing kriptografi dokumen pada pengarsipan dan verifikasi berkala hash ini.
• Keberlanjutan : dokumen tetap dapat dibaca dalam 10, 20, atau 50 tahun, terlepas dari evolusi perangkat lunak. Ini memaksakan format standar (PDF/A untuk konten, PAdES B-LTA untuk tanda tangan) dan migrasi media pada interval reguler.
• Ketelusuran : setiap operasi pada dokumen yang diarsipkan (konsultasi, komunikasi, penghapusan) dicatat dalam jurnal acara dengan stempel waktu yang tidak dapat dipalsukan.

Kerangka normatif : di Prancis, pengarsipan bukti diatur oleh standar NF Z42-013 (referensial Prancis, AFNOR) dan standar internasional ISO 14641. Untuk sektor publik dan aktivitas tertentu yang diatur (kesehatan, layanan keuangan), persetujuan SIAF (Service Interministériel des Archives de France) atau sertifikasi oleh pihak ketiga penyimpan ESG diperlukan. Peraturan eIDAS 2.0 memperkenalkan layanan kepercayaan yang berkualitas baru yang didedikasikan untuk pengarsipan elektronik yang berkualitas, diakui sepenuhnya di seluruh UE.

Durasi penyimpanan hukum di Prancis :
• Kontrak komersial dan faktur : 10 tahun (Kode Perdagangan art. L123-22)
• Kontrak kerja : 5 tahun setelah kepergian karyawan
• Dokumen pajak : 6 tahun (Buku Prosedur Pajak art. L102 B)
• Akta notaris : 75 tahun (Kode notaris)
• Dokumen medis : 20 tahun setelah tindakan terakhir (Kode kesehatan masyarakat)

Implementasi Certyneo : semua dokumen yang ditandatangani diarsipkan dalam format PAdES B-LT (B-LTA tersedia pada paket Bisnis untuk penyimpanan > 10 tahun), dengan stempel waktu RFC 3161 yang berkualitas, penyimpanan 10 tahun disertakan dalam semua paket, jurnal acara dapat dikonsultasi kapan saja, dan unduhan jejak audit dalam format PDF. Lihat juga nilai bukti dan LTV (Long-Term Validation).
Attestation France Travail (ex-Pôle emploi): L'attestation destinée à France Travail (anciennement Pôle emploi) est un document que l'employeur doit obligatoirement remettre au salarié à la fin de son contrat (art. R1234-9 du Code du travail). Elle permet au salarié de faire valoir ses droits à l'assurance chômage ; l'employeur la transmet également à France Travail. Elle peut être générée et signée électroniquement dans le parcours de fin de contrat. Documents obligatoires de fin de contrat →
Autentikasi: Autentikasi adalah proses untuk memverifikasi identitas pengguna atau sistem sebelum memberikan akses ke layanan atau mengizinkan penerapan tanda tangan elektronik. Ini dapat sederhana (kata sandi saja), kuat (multi-faktor) atau biometrik. Ketangguhan autentikasi secara langsung menentukan tingkat tanda tangan yang dapat dicapai: AES memerlukan setidaknya dua faktor berbeda.
Autentikasi kuat: L'authentification forte exige la présentation d'au moins deux preuves d'identité appartenant à des familles différentes pour vérifier l'identité d'une personne — c'est le principe de la MFA (authentification multi-facteurs) :
• Ce que je sais : mot de passe, code PIN ;
• Ce que je possède : téléphone recevant un code OTP, clé de sécurité YubiKey/FIDO2, carte à puce ;
• Ce que je suis : empreinte digitale, reconnaissance faciale (biométrie).

Deux cadres réglementaires l'imposent : la directive DSP2 (art. 97) impose la SCA — Strong Customer Authentication — pour les paiements et l'accès aux comptes bancaires en ligne ; le règlement eIDAS l'exige de fait pour la signature électronique avancée (AES), dont l'article 26 impose que la signature soit créée sous le contrôle exclusif du signataire et lui soit liée de manière univoque.

Dans la signature électronique, l'authentification forte intervient au moment de signer : le signataire prouve qu'il contrôle son adresse email (lien unique) et son téléphone (code OTP SMS) avant que le document ne soit scellé. Cette double vérification, horodatée dans la piste d'audit, est ce qui distingue une AES opposable d'une simple case cochée.

Sur Certyneo : pour les enveloppes de niveau avancé, la combinaison email + OTP SMS est appliquée par défaut à chaque signataire ; les comptes utilisateurs peuvent activer la MFA (TOTP ou OTP email). DSP2 & authentification forte : le guide →
Otoritas Sertifikasi (AC / CA): Otoritas sertifikasi (AC, atau Certificate Authority — CA — dalam bahasa Inggris) adalah lembaga kepercayaan yang mengeluarkan sertifikat elektronik X.509 yang menghubungkan kunci publik dengan identitas pemegangnya. AC berkualitas diawasi oleh otoritas nasional (ANSSI di Prancis) dan terdaftar dalam daftar kepercayaan UE. Mereka merupakan fondasi dari PKI dan rantai kepercayaan tanda tangan berkualitas.

B

Bearer token: Bearer token (jeton pembawa) adalah jeton akses API yang memberikan hak kepada pemiliknya ("pembawa") untuk mengakses sumber daya yang dilindungi, tanpa bukti identitas lainnya — kepemilikan saja sudah cukup, seperti uang tunai. Jeton ini dikirimkan dalam header HTTP Authorization: Bearer <token>. Dalam OAuth 2.0 : bearer tokens adalah format standar jeton akses; biasanya berumur pendek dan membawa scopes yang membatasi apa yang dapat dilakukan pembawa. REST API Certyneo menggunakan bearer tokens untuk mengautentikasi panggilan pemrograman: pembuatan envelope, kueri status, konfigurasi webhooks, dan unduhan dokumen yang ditandatangani. Risiko keamanan : karena jeton adalah pengidentifikasi, jeton harus beredar hanya melalui TLS, tidak pernah diekspos di sisi klien atau dicatat, dan diperbarui secara berkala; bearer token yang bocor semerbak berbahaya seperti kata sandi yang bocor sampai kadaluarsa atau dicabut. Praktik terbaik : batasi setiap jeton hanya pada izin yang benar-benar diperlukan, tetapkan kadaluarsa pendek, dan lebih suka satu jeton per integrasi sehingga Anda dapat mencabut satu tanpa memengaruhi yang lain.
Biometri: Biometri mencakup teknik identifikasi seseorang berdasarkan karakteristik fisik atau perilakunya (sidik jari, pengenalan wajah, tanda tangan tertulis, suara). Dalam tanda tangan elektronik, tanda tangan biometrik dapat menangkap tanda tangan tertulis di layar sentuh (kecepatan, tekanan, sudut) untuk membuat hubungan langsung antara penandatangan dan persetujuannya. Di bawah eIDAS, biometri saja tidak cukup untuk mencapai tingkat lanjutan (AES): biometri harus digabungkan dengan autentikasi kuat. Data biometrik dianggap sensitif oleh RGPD dan pemrosesannya memerlukan persetujuan eksplisit.
Blockchain dan notarisasi elektronik: Notarisasi blockchain terdiri dari penambatan sidik jari kriptografi (hash SHA-256) dokumen dalam register terdistribusi yang tidak dapat diubah (Bitcoin, Ethereum, dll.) untuk membuktikan keberadaannya pada saat tertentu. Tidak seperti penandaan waktu terverifikasi RFC 3161, notarisasi blockchain tidak diakui sebagai bukti hukum dalam arti eIDAS: ini merupakan bukti yang dapat diterima di beberapa yurisdiksi tetapi tidak menggantikan QTSP yang terakreditasi. Keuntungannya adalah desentralisasi: bukti bertahan dari hilangnya penyedia layanan. Dalam konteks perusahaan, blockchain terutama relevan untuk pengarsipan bukti tambahan (hash yang dipublikasikan on-chain) sebagai lapisan redundansi di atas pengarsipan elektronik bernilai bukti klasik.

C

Stempel elektronik: Stempel elektronik adalah padanan tanda tangan elektronik untuk badan hukum (perusahaan, administrasi). Ini menjamin asal dan integritas dokumen yang dikeluarkan atas nama organisasi tanpa melibatkan penandatangan manusia yang teridentifikasi. Peraturan eIDAS mengakui stempel elektronik sederhana, canggih, dan berkualifikasi, dengan cara yang sama seperti tanda tangan.
Gembok SSL / TLS: Gembok SSL/TLS adalah indikator visual yang ditampilkan oleh browser (ikon gembok di bilah alamat) yang mengkonfirmasi bahwa koneksi terenkripsi TLS telah dibangun antara browser dan server. Ini membuktikan bahwa data yang ditukar (dokumen, kode OTP, identifikasi) tidak dapat disadap secara terbuka. Certyneo menerapkan TLS 1.3 di semua endpoint, membuat gembok terlihat di semua halaman penandatanganan.
Certificat de travail: Le certificat de travail est un document que l'employeur doit obligatoirement remettre au salarié à la fin de tout contrat de travail (art. L1234-19 et D1234-6 du Code du travail), quelle que soit la cause de la rupture. Il mentionne les dates d'entrée et de sortie, la nature des emplois occupés et les périodes correspondantes. C'est un document « quérable » : il est tenu à la disposition du salarié, qui vient le chercher. Il peut être signé et remis par voie électronique avec pleine valeur juridique. Voir tous les documents de fin de contrat →
Sertifikat elektronik: Un certificat électronique est un fichier numérique délivré par une autorité de certification (AC) qui associe une clé publique à l'identité vérifiée de son titulaire — on parle aussi de certificat de signature numérique lorsqu'il sert à signer. C'est la pièce d'identité numérique sur laquelle repose toute signature numérique.

Ce que contient un certificat : l'identité du titulaire (Distinguished Name), sa clé publique, l'AC émettrice, la période de validité (1 à 3 ans en général), les usages autorisés (signature, cachet, TLS) et l'empreinte cryptographique de l'ensemble, signée par l'AC.

La chaîne de confiance : chaque certificat est signé par une AC, elle-même certifiée par une AC de niveau supérieur, jusqu'au certificat racine. Vérifier une signature revient à remonter cette chaîne — et à contrôler que le certificat n'a pas été révoqué (listes CRL, protocole OCSP).

Certificat simple ou qualifié : un certificat standard suffit pour la signature avancée (AES) ; la signature qualifiée (QES) exige un certificat qualifié, délivré par un prestataire de confiance qualifié après vérification d'identité en face à face ou équivalente.

Sur Certyneo : vous n'avez aucun certificat à acheter ni à installer — les certificats de signature sont portés par la plateforme et appliqués côté serveur au moment du scellement PAdES du document. Le certificat de signature numérique : guide complet →
Sertifikat Berkualitas: Un certificat qualifié est un certificat électronique délivré par un prestataire de services de confiance qualifié (QTSP) inscrit sur la liste de confiance d'un État membre de l'UE — le niveau d'assurance le plus élevé reconnu par le règlement eIDAS.

Ce qu'il ajoute à un certificat standard : l'identité du titulaire est vérifiée avant la délivrance (face à face physique, identification vidéo ou identité électronique équivalente) ; la clé privée est protégée dans un dispositif certifié (QSCD, souvent adossé à un HSM) ; et le QTSP est audité régulièrement par l'organe de contrôle national (en France, l'ANSSI).

À quoi sert-il ? C'est le composant obligatoire de la signature qualifiée (QES), seule à bénéficier de l'équivalence automatique avec la signature manuscrite dans toute l'UE (art. 25 eIDAS), avec présomption de fiabilité en cas de litige. Il est requis pour les actes les plus sensibles : actes d'avocat, certains marchés publics, cessions d'entreprise.

Sur Certyneo : la QES est proposée à l'acte, sans abonnement dédié — la vérification d'identité du signataire et la délivrance du certificat qualifié sont intégrées au parcours de signature. La signature qualifiée (QES) chez Certyneo →
Sertifikat root dan rantai kepercayaan: Sertifikat root (root certificate) adalah puncak PKI: ditandatangani sendiri oleh otoritas sertifikasi root, ia mendasarkan kepercayaan seluruh rantai. Saat memverifikasi tanda tangan elektronik, pemverifikasi melacak kembali rantai sertifikat (Entitas Akhir → Menengah → Root) dan memverifikasi bahwa setiap tautan valid, tidak dicabut (OCSP / CRL) dan sesuai dengan kebijakan penggunaan. Browser dan sistem operasi menyertakan penyimpanan root kepercayaan (Mozilla NSS, Microsoft Root Store, Apple Root Certificate Program). Untuk tanda tangan berkualitas eIDAS, rantai harus kembali ke QTSP yang terdaftar di daftar kepercayaan EU. Sertifikat yang root-nya tidak ada di penyimpanan pemverifikasi akan ditolak meskipun tanda tangan kriptografi secara teknis benar.
Enkripsi: Enkripsi adalah proses transformasi pesan yang dapat dibaca menjadi format yang tidak dapat dibaca (teks terenkripsi) menggunakan algoritma dan kunci rahasia. Ini melindungi kerahasiaan data dalam transit dan saat istirahat, dan melengkapi hashing yang digunakan untuk menjamin integritas dalam penandatanganan. Certyneo menggunakan TLS 1.3 untuk mengenkripsi semua komunikasi antara browser dan server.
Enkripsi saat istirahat (encryption at rest): Enkripsi saat istirahat mengacu pada perlindungan data yang disimpan melalui enkripsi, sehingga data tidak dapat dibaca tanpa kunci dekripsi, bahkan dalam kasus akses fisik atau logis yang tidak sah ke media penyimpanan. Certyneo mengenkripsi dokumen dan jejak auditnya saat istirahat (AES-256) di infrastrukturnya yang dihosting di Jerman, sesuai dengan persyaratan RGPD.
CLM (Contract Lifecycle Management): CLM (Contract Lifecycle Management) mengacu pada seluruh proses dan alat yang mencakup siklus hidup lengkap kontrak: penyusunan, negosiasi, persetujuan internal, tanda tangan elektronik, penyimpanan dan pembaruan. Referensi tunggal : solusi CLM memusatkan semua kontrak dalam referensi tunggal yang dapat dikonsultasikan, dengan peringatan tenggat waktu, perpustakaan klausa, alur kerja validasi dan laporan paparan kontrak, menggantikan rantai email dan disk bersama yang tersebar. Posisi tanda tangan : tanda tangan elektronik adalah tahap dalam rantai CLM — setelah kontrak disetujui, ia melanjutkan ke tanda tangan kemudian penyimpanan dengan nilai pembuktian. Integrasi dengan Certyneo : Certyneo mencakup fase tanda tangan dan terintegrasi dengan CLM pihak ketiga melalui API REST — ia menerima dokumen final, mengelola alur tanda tangan (sekuensial atau paralel, di level lanjutan (AES) atau berkualitas (QES)), dan mengembalikan PDF yang ditandatangani dengan jejak audit dengan stempel waktu yang diarsipkan CLM sebagai versi definitif. Mengapa ini penting : kontrak yang ditandatangani tetapi tidak diikuti dalam CLM masih membahayakan perusahaan untuk pembaruan yang terlewatkan dan penalti tacit renewal, karenanya pembelian tanda tangan dan manajemen siklus hidup semakin dilakukan bersama.
Penandatanganan bersama dan tanda tangan berganda: Penandatanganan bersama mengacu pada pengumpulan setidaknya dua tanda tangan pada dokumen yang sama. Ada dua mode: tanda tangan sekuensial (penandatangan B menerima undangan hanya setelah A menandatangani — berguna untuk kontrak hierarkis atau akta notaris) dan tanda tangan paralel (semua penandatangan menerima undangan secara bersamaan — lebih cepat untuk dokumen simetris). Penandatanganan bersama menimbulkan pertanyaan tentang integritas antar putaran: setiap PAdES yang ditambahkan dalam PDF harus mereferensikan revisi sebelumnya melalui tanda tangan inkremental, menjamin bahwa tidak ada pihak yang mengubah dokumen antara dua pengaplikasian. Certyneo mengelola urutan penandatangan, pengingat yang ditargetkan, batas waktu kedaluwarsa per penandatangan, dan secara otomatis mendeteksi upaya modifikasi antar putaran melalui verifikasi hash SHA-256 di setiap langkah jejak audit.
OTP (Kata Sandi Sekali Pakai / kode OTP): OTP (One-Time Password, kata sandi sekali pakai — kadang disebut « kode OTP ») adalah kode numerik sementara, biasanya 4 hingga 8 digit, yang dihasilkan secara acak dan berlaku untuk satu sesi atau transaksi saja. Setelah digunakan atau kedaluwarsa (biasanya 5 menit), kode menjadi tidak valid — bahkan jika penyerang memutar ulangnya, akan ditolak.

Tiga varian OTP utama:
• OTP SMS : kode dikirim melalui pesan teks ke nomor telepon penandatangan. Paling tersebar untuk publik karena tidak memerlukan aplikasi. Kerentanan yang diketahui: SIM swapping, intersepsi SS7 — itulah mengapa OTP SMS cukup untuk tanda tangan lanjutan (AES) tetapi tidak lagi diterima untuk QES (ANSSI dan ENISA merekomendasikan sejak 2020 untuk beralih ke faktor yang lebih kuat).
• OTP e-mail : kode dikirim melalui e-mail. Lebih mudah diterapkan, tetapi mewarisi kelemahan keamanan akun e-mail penerima. Dapat diterima untuk tanda tangan sederhana (SES).
• TOTP (Time-based OTP) : kode yang dihasilkan secara lokal oleh aplikasi di telepon penandatangan (Google Authenticator, Authy, 1Password). Disinkronkan melalui kunci rahasia bersama saat pendaftaran. Tidak ada saluran jaringan pada saat tanda tangan — tahan terhadap intersepsi. Standar RFC 6238.

OTP dan tanda tangan elektronik : dalam tanda tangan elektronik lanjutan, pengiriman OTP melalui e-mail atau SMS menciptakan tautan yang dapat diverifikasi antara dokumen yang ditandatangani dan identitas penandatangan melalui saluran komunikasinya (telepon atau e-mail). OTP dicatat dalam jejak audit dokumen (cap waktu, IP, pengenal saluran) — bukti yang dapat dipertahankan dalam kasus perselisihan.

Implementasi Certyneo : OTP SMS melalui Twilio Verify pada amplop AES — dipicu tepat sebelum tanda tangan, validitas 5 menit, 3 percobaan. TOTP tersedia untuk akun administratif sebagai alternatif OTP SMS. Lihat juga MFA dan autentikasi kuat. Pelajari lebih lanjut tentang autentikasi penandatangan →
Kepatuhan (compliance): Kepatuhan mengacu pada pemenuhan hukum, peraturan, dan standar yang berlaku untuk suatu organisasi. Dalam konteks tanda tangan elektronik, hal ini merujuk khususnya pada regulasi eIDAS, GDPR, Kode Ketenagakerjaan (untuk kontrak kerja), undang-undang ALUR (real estat), dan aturan etika profesi tertentu (CNB untuk pengacara, CGAER untuk notaris). Ketidakpatuhan mengekspos perusahaan pada pembatalan tindakan dan sanksi administratif.
Persetujuan Elektronik: Persetujuan elektronik adalah ekspresi kehendak seseorang, disampaikan secara digital, untuk menerima persyaratan atau menandatangani dokumen. Untuk memiliki kekuatan pembuktian, persetujuan ini harus bebas, spesifik, terinformasi, dan tidak ambigu, sesuai dengan RGPD. Dalam alur kerja penandatanganan, mengklik "Tanda Tangan" merupakan persetujuan elektronik dari penandatangan.
Kontrak elektronik: Kontrak elektronik adalah setiap kesepakatan yang dibentuk melalui sarana digital, diatur di Prancis oleh pasal 1366 hingga 1368 Kode Sipil dan LCEN. Berbeda dengan pemesanan online sederhana, kontrak elektronik melibatkan prosedur multi-tahap: penawaran, informasi pra-kontraktual, penerimaan eksplisit ("klik untuk menerima" atau tanda tangan elektronik), kemudian penyimpanan yang dapat dibuktikan selama durasi hukum. Nilai bukti ditingkatkan dengan menambahkan: tanda tangan lanjutan (AES) atau berkualitas (QES), penandaan waktu terverifikasi, penangkapan persetujuan dan alamat IP penandatangan. Peraturan eIDAS 2 memperluas persyaratan ini ke kontrak lintas batas di UE melalui Portefeuille Identitas Digital Eropa.
CRL (Certificate Revocation List): CRL (daftar pencabutan sertifikat) adalah daftar yang diterbitkan secara berkala oleh otoritas sertifikasi yang mencantumkan sertifikat yang dicabut sebelum tanggal kedaluwarsa mereka, biasanya karena kompromi kunci atau perubahan identitas. Saat memverifikasi tanda tangan digital, perangkat lunak mengkonsultasikan CRL (atau menggunakan OCSP) untuk memastikan bahwa sertifikat penandatangan tidak dicabut pada saat penandatanganan.
Kriptografi asimetris (kunci publik / kunci privat): Kriptografi asimetris didasarkan pada sepasang kunci yang terikat secara matematis: kunci privat (rahasia, disimpan di HSM atau QSCD) dan kunci publik (didistribusikan secara bebas dalam sertifikat). Untuk menandatangani dokumen, penandatangan menghitung jejak dokumen dan mengenkripsinya dengan kunci privatnya; siapa pun dapat memverifikasi tanda tangan dengan mendekripsi jejak ini dengan kunci publik dan membandingkannya dengan hash dokumen asli. Algoritma dominan adalah RSA (kunci 2048–4096 bit) dan ECC (kurva P-256, P-384). RSA 2048 bit direkomendasikan hingga 2030 oleh NIST; ECC P-256 menawarkan tingkat keamanan yang setara dengan kunci 10× lebih pendek (peningkatan performa HSM). Ketahanan terhadap komputer kuantum dijamin oleh algoritma pasca-kuantum CRYSTALS-Dilithium dan CRYSTALS-Kyber, sedang dalam proses standardisasi NIST.

D

Delegasi tanda tangan: Delegasi tanda tangan adalah mekanisme dimana penandatangan yang berwenang (pemberi delegasi) secara formal mentransfer kekuatan tanda tangannya kepada pihak ketiga (penerima delegasi) untuk durasi dan lingkup yang ditentukan. Menurut hukum Prancis, delegasi tanda tangan harus eksplisit, diformalkan secara tertulis dan menyebutkan secara tepat tindakan yang dicakup (pasal 1994 Kode Sipil untuk mandat, dan ketentuan statutor untuk perusahaan). Di Certyneo, delegasi dikelola di sisi administrasi: pemberi delegasi mengonfigurasi peran tanda tangan untuk penerima delegasi; jejak audit mencatat identitas efektif penandatangan dan dasar hukum delegasinya.
Dematerialisasi: Dematerialisasi mengacu pada penggantian dokumen dan proses kertas dengan setara digital mereka. Ini mencakup digitalisasi, pembuatan dokumen elektronik asli, dan penandatanganannya melalui alat seperti Certyneo. Ini memungkinkan pengurangan waktu, biaya, dan jejak lingkungan dari proses dokumenter. Lihat keuntungan dematerialisasi kontrak →
Distinguished Name (DN): Distinguished Name (DN) adalah pengenal unik dari subjek dalam sertifikat X.509. Ini terdiri dari atribut hierarkis: CN (Common Name, nama pemegang), O (Organisasi), OU (Unit Organisasi), C (Country, kode negara ISO), dll. — misalnya CN=Jean Dupont, O=Certyneo, C=FR. DN penandatangan dapat dibaca di properti tanda tangan file PDF yang divalidasi dalam Adobe Acrobat Reader.
DPA (Perjanjian Pemrosesan Data): DPA (Data Processing Agreement, atau Perjanjian Pemrosesan Data) adalah kontrak yang diwajibkan oleh pasal 28 RGPD antara pengontrol data (klien) dan pemroses data (seperti Certyneo). Dokumen ini menetapkan tujuan pemrosesan, kategori data, tindakan keamanan, ketentuan subkontrak lebih lanjut, dan kewajiban dalam hal pelanggaran. Penyelesaian DPA adalah wajib sebelum pemrosesan data pribadi penandatangan apa pun. Certyneo menawarkan DPA standar yang terlampir pada Syarat dan Ketentuan Umum.

E

ECC (Kriptografi Kurva Eliptik): Kriptografi kurva eliptik (Elliptic Curve Cryptography — ECC) adalah pendekatan kriptografi asimetris berdasarkan sifat aljabar kurva eliptik. Ini menawarkan keamanan setara dengan RSA dengan kunci yang jauh lebih pendek (ECC 256-bit ≈ RSA 3072-bit), mengurangi beban komputasi. ECC adalah algoritma pilihan untuk TLS 1.3 (kurva X25519, P-256) dan semakin banyak digunakan dalam sertifikat tanda tangan digital.
eIDAS: eIDAS (Electronic IDentification, Authentication and trust Services) adalah peraturan Eropa No. 910/2014 yang menetapkan kerangka kerja hukum bersama untuk tanda tangan elektronik, stempel, cap waktu, dan layanan kepercayaan lainnya di UE. Peraturan ini mendefinisikan tiga tingkat tanda tangan (sederhana, lanjutan, berkualifikasi) dan menciptakan konsep penyedia layanan kepercayaan yang berkualifikasi. Pelajari lebih lanjut tentang eIDAS →
eIDAS 2.0: eIDAS 2.0 (Peraturan UE 2024/1183, berlaku sejak 2024) adalah revisi utama dari eIDAS yang memperkenalkan khususnya Dompet Identitas Digital Eropa (EUDIW). Tujuannya adalah memperluas pengakuan identitas digital ke semua layanan publik dan swasta di UE, dan memperkuat persyaratan bagi penyedia yang berkualifikasi. Identitas digital setiap warga negara Eropa akan dibawa oleh dompet seluler bersertifikat pada tahun 2026.
Amplop tanda tangan: Amplop tanda tangan adalah kontainer logis yang mengelompokkan satu atau lebih dokumen yang akan ditandatangani, daftar penandatangan, bidang tanda tangan yang diposisikan, dan konfigurasi alur kerja. Di Certyneo, setiap amplop memiliki siklus hidup sendiri (draf, dikirim, tertunda, ditandatangani, ditolak, kedaluwarsa) dan jejak audit dengan stempel waktu.
Pengiriman massal (bulk signing): Pengiriman massal (atau bulk signing) mengacu pada kemampuan untuk mengirim dokumen ke banyak penandatangan secara bersamaan, atau mengirim beberapa dokumen berbeda dalam satu operasi. Fungsionalitas ini sangat penting untuk HR (kontrak kerja), asuransi (amandemen) atau real estat (mandat). Di Certyneo, API memungkinkan untuk mengorkestra pengiriman massal melalui panggilan pemrograman tunggal, setiap penandatangan menerima tautan individual dan jejak audit miliknya sendiri.
ESIGN Act: ESIGN Act (Electronic Signatures in Global and National Commerce Act, 2000) adalah undang-undang federal Amerika Serikat yang mengakui keabsahan hukum tanda tangan elektronik dan kontrak online di Amerika Serikat. Sebagai pelengkap UETA (undang-undang model negara), ia menetapkan prinsip bahwa tanda tangan tidak dapat ditolak semata-mata karena bersifat elektronik. Untuk kontrak transatlantik, AES eIDAS umumnya diakui sesuai dengan ESIGN/UETA, memfasilitasi pertukaran kontrak UE–AS.
EUDI Wallet (Dompet Identitas Digital Eropa): Dompet Identitas Digital Eropa (EUDI Wallet, European Digital Identity Wallet) adalah aplikasi mobile yang diamanatkan oleh eIDAS 2.0. Ini memungkinkan warga negara UE untuk menyimpan dan berbagi atribut identitas bersertifikat (status perdata, diploma, surat izin mengemudi) dan melakukan tanda tangan berkualifikasi (QES) dari smartphone mereka. EUDI Wallet akan secara bertahap menggantikan FranceConnect+ di Prancis pada tahun 2026–2027.

F

Alur persetujuan (workflow persetujuan): Alur persetujuan (approval workflow) adalah urutan terstruktur dari langkah-langkah validasi yang harus dilalui dokumen sebelum ditandatangani. Biasanya: penyusunan → tinjauan hukum → validasi keuangan → penandatanganan. Dalam hukum bisnis Prancis, beberapa akta memerlukan persetujuan formal sebelum penandatanganan (keputusan dewan direksi, persetujuan CFO). Secara teknis, alur persetujuan berbeda dari co-signature: para penyetuju memvalidasi konten tanpa harus menandatangani dengan tanda tangan elektronik mereka (mereka mengklik "Disetujui"), sementara penandatangan akhir bertanggung jawab atas isinya. Certyneo mendukung kedua mode dalam alur amplop yang sama, dengan peran yang berbeda (Approver vs Signer) dan webhook yang dipicu pada setiap transisi keadaan.
Fungsi hash: Fungsi hash adalah fungsi matematika satu arah yang mengubah input berukuran apa pun menjadi output dengan panjang tetap yang disebut jejak (digest atau hash). Setiap modifikasi, bahkan satu bit pun, menghasilkan jejak yang sangat berbeda. Fungsi modern (SHA-256, SHA-3) tahan terhadap tabrakan. Dalam tanda tangan digital, dokumen pertama kali di-hash kemudian jejaknya dienkripsi dengan kunci privat — yang menjamin integritas konten yang ditandatangani.
FranceConnect: FranceConnect adalah layanan identitas digital negara Prancis yang memungkinkan warga untuk mengotentikasi diri ke layanan online publik atau swasta menggunakan identifikan yang ada (Impots.gouv, Ameli, La Poste, MSA, Identité Numérique). Satu tingkat lebih tinggi, FranceConnect+ memiliki kualifikasi "substantif" menurut peraturan eIDAS dan dapat digunakan untuk memicu tanda tangan canggih (AES) bahkan berkualifikasi (QES). Menjelang akhir 2026, FranceConnect+ akan secara bertahap digantikan oleh identitas digital yang dibawa oleh Dompet Eropa (EUDIW) yang disediakan oleh eIDAS 2.0.

G

Templat (template dokumen): Templat (atau template) adalah dokumen jenis pra-konfigurasi dengan bidang dinamisnya (penandatangan, tanggal, jumlah, lokasi tanda tangan) yang berfungsi sebagai titik awal untuk amplop berulang. Di Certyneo, templat mengindustrialisasi alur dengan volume tinggi (kontrak kerja, NDA, pesanan pembelian): Anda menduplikasi templat, mengisi variabel kasus spesifik, mengirim. Model kontrak gratis yang tersedia di /modeles-contrats dirancang untuk diunduh kemudian dibuat sebagai templat dalam akun Anda.
GDPR (General Data Protection Regulation): GDPR (General Data Protection Regulation, peraturan UE 2016/679) adalah versi bahasa Inggris dari RGPD. Peraturan Eropa ini mengatur pengumpulan, pemrosesan, dan penyimpanan data pribadi di UE. Berlaku untuk setiap organisasi yang memproses data penduduk Eropa, terlepas dari lokasi organisasi tersebut. Ini khususnya memaksakan penandatanganan DPA dengan subkontraktor, meminimalkan data, dan menghormati hak-hak individu (akses, perbaikan, penghapusan).
Generator dokumen dan surat siaran digital: Generator dokumen (document generation) menggabungkan template kontrak dengan data variabel (nama, SIREN, jumlah, tanggal, dll.) untuk menghasilkan secara otomatis PDF yang siap ditandatangani. Teknologi umum adalah: mesin template Word/DOCX (Carbone.io, Docxtemplater), LaTeX, HTML-to-PDF (Puppeteer/headless Chrome) dan API Adobe PDF Services. Keuntungan surat siaran digital dibandingkan surat siaran kertas adalah pengiriman langsung ke workflow penandatanganan tanpa pencetakan: dokumen yang dihasilkan disuntikkan ke dalam amplop penandatanganan melalui API REST, bidang penandatanganan diposisikan berdasarkan koordinat atau tag HTML, dan siklus ditutup dalam beberapa detik. Risiko utama adalah perbedaan tata letak antara render DOCX lokal dan render server — suite uji regresi visual (tangkapan PNG + diff) disarankan.

H

Hash: Hash adalah operasi kriptografi yang mengubah dokumen berukuran apa pun menjadi jejak digital dengan ukuran tetap, yang disebut "hash". Setiap modifikasi, meski minimal, pada dokumen menghasilkan hash yang sama sekali berbeda, sehingga menjamin integritas file. Tanda tangan digital bergantung pada enkripsi hash ini dengan kunci privat penandatangan.
Handshake TLS: Handshake TLS (« jabat tangan ») adalah fase negosiasi yang terjadi di awal koneksi TLS. Klien dan server menyetujui suite kriptografi, menukar sertifikat mereka (autentikasi bersama opsional), dan membentuk kunci sesi melalui protokol kunci ephemeral (ECDHE). TLS 1.3 mengurangi handshake menjadi 1 putaran jaringan (dibanding 2 di TLS 1.2), meningkatkan performa sesi penandatanganan di perangkat mobile.
Penandaan waktu elektronik: Penandaan waktu elektronik adalah mekanisme untuk menghubungkan data digital ke momen yang tepat, dengan cara yang dapat diverifikasi dan tidak dapat dipalsukan. Penandaan waktu berkualitas, yang dikeluarkan oleh penyedia berkualitas menurut eIDAS, memberikan bukti hukum keberadaan dokumen pada tanggal tertentu. Hal ini penting untuk mempertahankan nilai pembuktian dokumen dalam jangka panjang.
Stempel waktu berkualitas (TSA): Stempel waktu berkualitas adalah stempel waktu elektronik yang dikeluarkan oleh Trusted Stamp Authority (TSA, Otoritas Kepercayaan untuk Stempel Waktu) yang berkualitas menurut eIDAS. Ini menghasilkan bukti yang diakui secara hukum atas keberadaan dokumen pada tanggal dan waktu tertentu, yang terikat pada jejak dokumen. Penting untuk profil PAdES B-T, B-LT, dan B-LTA untuk menjamin nilai pembuktian jangka panjang.
HSM (Hardware Security Module): Sebuah HSM (Hardware Security Module) adalah peralatan keras yang tidak dapat ditembus dan didedikasikan untuk pembuatan, penyimpanan, dan penggunaan kunci kriptografi yang aman. HSM melakukan operasi kriptografi (penandatanganan, dekripsi, pembuatan kunci) tanpa pernah mengekspos kunci privat — kunci tetap berada di dalam perimeter perangkat keras, dilindungi oleh tindakan perlawanan fisik (sensor anti-intrusi, penghapusan otomatis saat ada upaya pembukaan).

Sertifikasi HSM : untuk memenuhi syarat menurut regulasi eIDAS, HSM harus memenuhi standar ketat — FIPS 140-2 level 3 atau FIPS 140-3 level 3+ (standar Amerika dari NIST), dan/atau Common Criteria EAL4+ (standar Eropa). HSM bersertifikat Common Criteria memenuhi syarat untuk menyimpan kunci penandatanganan qualified (QES) dan kunci timestamp qualified. Daftar kepercayaan Eropa (EU Trusted List) mencantumkan HSM yang disetujui untuk setiap penyedia layanan qualified.

HSM cloud vs HSM fisik : secara historis HSM adalah appliance khusus yang dipasang di datacenter privat. Penyedia cloud kini menawarkan HSM bersama atau terdedikasi dalam model SaaS — AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM, serta HSM nasional yang dioperasikan oleh QTSP Eropa. Regulasi eIDAS 2.0 secara eksplisit mengakui HSM cloud untuk penandatanganan qualified jarak jauh.

HSM dan enkripsi (« HSM encryption ») : selain penandatanganan, HSM melindungi kunci enkripsi basis data, kunci enkripsi disk (BitLocker, FileVault, LUKS), kunci akar PKI internal, dan rahasia aplikatif. Rotasi, cadangan, dan pencabutan kunci dikelola melalui PKCS#11 atau antarmuka proprietary.

Implementasi Certyneo : kunci kriptografi untuk penandatanganan jarak jauh disimpan dalam HSM bersertifikat Common Criteria EAL4+ yang dioperasikan oleh penyedia layanan kepercayaan qualified (QTSP) kami. Tidak ada kunci privat yang pernah dapat diakses oleh Certyneo atau penyedia hosting kami — setiap operasi penandatanganan melalui autentikasi kuat penandatangan dan panggilan API ke HSM, yang mengembalikan penandatangan tanpa mengekspos kunci. Lihat juga QSCD dan penandatanganan cloud.
HTTP/3: HTTP/3 adalah versi utama ketiga dari protokol HTTP, berbasis pada QUIC (transportasi UDP) daripada TCP. Ini mengurangi latensi (menghilangkan head-of-line blocking), meningkatkan pemulihan setelah gangguan jaringan, dan secara native mengintegrasikan TLS 1.3. Certyneo menggunakan HTTP/3 untuk mempercepat pemuatan dokumen untuk ditandatangani dan pengajuan formulir persetujuan, terutama di perangkat mobile dalam lingkungan jaringan yang terganggu.

I

Identitas digital: Identitas digital adalah kumpulan data yang memungkinkan identifikasi orang fisik atau badan hukum di ruang digital. Dapat disediakan oleh negara (kartu identitas elektronik, FranceConnect) atau oleh operator swasta (penyedia berkualitas). Dengan eIDAS 2.0, setiap warga negara Eropa akan memiliki dompet identitas digital resmi (EUDIW).
IdP (Identity Provider / Penyedia Identitas): Identity Provider (IdP) adalah layanan yang mengelola identitas digital dan mengeluarkan pernyataan autentikasi ke aplikasi pihak ketiga (Service Providers). Protokol dominan adalah SAML 2.0 (perusahaan, SSO Okta/Azure AD) dan OIDC/OAuth 2.0 (web, FranceConnect). Dalam konteks tanda tangan elektronik, IdP memainkan dua peran: (1) mengautentikasi penandatangan saat mengakses portal penandatanganan (MFA melalui SSO perusahaan); (2) menyediakan atribut identitas yang terverifikasi (nama, email, nomor karyawan) yang mengisi sertifikat penandatanganan dan jejak audit. FranceConnect adalah IdP publik Prancis yang memungkinkan mencapai tingkat kepercayaan "substansial" untuk tanda tangan tingkat lanjut yang ditujukan untuk layanan negara. Certyneo berintegrasi dengan IdP SAML dan OIDC melalui konsol administrasi.
Ink signature (tanda tangan olografik digital): Ink signature (atau tanda tangan olografik digital) adalah digitalisasi tanda tangan tulisan tangan tradisional dalam bentuk gambar (JPG/PNG) yang diterapkan pada dokumen. Ini merupakan tingkat paling dasar dari tanda tangan elektronik sederhana (SES) di bawah eIDAS: tanpa autentikasi kuat atau jejak audit, nilai pembuktiannya terbatas. Namun masih digunakan untuk dokumen dengan risiko hukum rendah (tanda tangan internal, anotasi).
Integritas (data): Integritas menunjukkan sifat yang menjamin bahwa suatu data tidak telah diubah atau dipalsukan setelah pembuatan, transmisi, atau penyimpanan. Dalam tanda tangan digital, integritas dijamin oleh fungsi hash: setiap modifikasi pada dokumen berarti hash yang dihitung ulang tidak lagi sesuai dengan yang dienkripsi dalam tanda tangan, yang segera membatalkan verifikasi. Itulah mengapa PDF yang ditandatangani dengan Certyneo "tersegel" — tidak dapat diubah tanpa merusak tanda tangannya.
Interoperabilitas eIDAS: Interoperabilitas eIDAS merujuk pada pengakuan bersama identitas digital dan tanda tangan elektronik antar negara anggota UE, sebagaimana ditentukan oleh regulasi eIDAS (pasal 6 dan 25). Sebuah sertifikat berkualifikasi yang dikeluarkan oleh penyedia layanan terpercaya (TSP) yang terdaftar dalam daftar kepercayaan negara anggota secara otomatis diakui sebagai sah di semua negara anggota lainnya — tanpa langkah tambahan. Interoperabilitas ini mencakup level AES dan QES. Regulasi eIDAS 2.0 (UE 2024/1183) memperluas mekanisme ini ke dompet EUDI (European Digital Identity Wallet), yang dijadwalkan untuk 2026.

J

Token penandatanganan: Token penandatanganan adalah objek kriptografi yang dihasilkan pada saat penandatanganan yang mengelompokkan: hash dokumen, stempel waktu, pengenal penandatangan, dan tanda tangan kriptografi itu sendiri (dienkripsi dengan kunci pribadi melalui PKI). Token ini disematkan dalam PDF akhir sesuai format PAdES dan memungkinkan siapa pun yang memverifikasi — hakim, ahli, auditor — merekonstruksi bukti penandatanganan tanpa bergantung pada platform. Token ini mandiri: bahkan jika Certyneo hilang, tanda tangan tetap dapat diverifikasi dengan pembaca PDF standar (Acrobat Reader, pdfsig).
Pencatatan log dan penyimpanan log penandatanganan: Pencatatan (logging) dalam konteks tanda tangan elektronik mengacu pada perekaman yang tidak dapat diubah dari semua peristiwa dalam siklus hidup dokumen: pembuatan, pengiriman, pembukaan, OTP terverifikasi, tanda tangan diterapkan, unduh dokumen yang ditandatangani, pengarsipan. Log ini membentuk lapisan teknis dari jejak audit dan dapat diperlukan dalam kasus sengketa. Persyaratan hukum bervariasi: RGPD memberlakukan batasan pada durasi penyimpanan data pribadi, sementara batas waktu litigasi kontrak (5 tahun dalam hukum perdagangan, 10 tahun untuk akta kehidupan sipil) mendefinisikan durasi retensi minimum log. Praktik terbaik: log harus ditandatangani secara kriptografis (token integritas) untuk membuktikan bahwa log tidak telah diubah. Certyneo menyimpan log setiap amplop selama durasi hukum yang berlaku dan menyertakannya dalam brankas digital yang dapat diunduh.
JWT (JSON Web Token): JWT (JSON Web Token, RFC 7519) adalah format kompak dan aman untuk merepresentasikan pernyataan antara dua pihak. Terdiri dari tiga bagian yang dikodekan Base64URL dipisahkan dengan titik: header (algoritma), payload (claims), dan tanda tangan. API Certyneo menggunakan JWT yang ditandatangani (HS256 atau RS256) untuk manajemen sesi dan autentikasi panggilan API, memastikan token tidak telah dipalsukan. Token akses JWT memiliki masa berlaku singkat, dilengkapi dengan refresh token jangka panjang.

K

KYC (Know Your Customer): KYC (Know Your Customer) mengacu pada serangkaian prosedur verifikasi identitas yang diterapkan perusahaan kepada pelanggannya sebelum memulai hubungan bisnis. Secara historis diberlakukan pada bank oleh direktif anti-pencucian uang, KYC telah berkembang ke operasi tanda tangan elektronik dengan risiko tinggi: pembukaan rekening, kredit, asuransi, akta notaris. Tiga pilar: verifikasi dokumen identitas (OCR dan deteksi fraud pada elemen keamanan kartu atau paspor), kontrol liveness (bukti bahwa orang tersebut nyata dan hadir, bukan foto atau deepfake), dan cross-checking informasi dengan basis referensi. Hubungan dengan level tanda tangan: semakin sensitif akta, semakin kuat KYC—tanda tangan sederhana mungkin tidak memerlukan KYC sama sekali, sementara regulasi eIDAS mewajibkan verifikasi identitas tatap muka atau setara jarak jauh (KYC video) sebelum menerbitkan sertifikat tanda tangan berkualifikasi (QES). KYC dan AML-CFT: KYC adalah tahap awal hubungan; pengawasan berkelanjutan transaksi (AML-CFT) berlanjut setelahnya. Mengapa ini penting: KYC yang kuat adalah yang memungkinkan tanda tangan jarak jauh memiliki nilai hukum yang sama dengan tanda tangan yang diamati secara langsung, dengan menghubungkan kunci tanda tangan ke manusia yang terverifikasi.

L

LCCJTI (Undang-Undang tentang Kerangka Hukum Teknologi Informasi): LCCJTI adalah undang-undang Quebec (L.R.Q., bab C-1.1) yang menetapkan kerangka hukum untuk tanda tangan dan dokumen elektronik di Quebec. Undang-undang ini secara eksplisit mengakui tanda tangan elektronik sebagai setara dengan tanda tangan tulisan tangan asalkan identitas penandatangan ditetapkan dengan cara yang dapat diandalkan dan hubungan antara tanda tangan dan dokumen terjamin (pasal 39). LCCJTI saling melengkapi dengan regulasi eIDAS (berlaku di Eropa) dan PIPEDA (berlaku untuk data pribadi di luar Quebec). LCCJTI adalah dasar hukum untuk tanda tangan Certyneo untuk kontrak Quebec. Hukum 25 (2022) memodernisasi rezim perlindungan informasi pribadi yang menyertainya.
LCEN (Undang-Undang 2004-575): LCEN (Loi pour la Confiance dans l'Économie Numérique tanggal 21 Juni 2004, n°2004-575) adalah teks pendiri hukum digital Prancis. Ini mengatur perdagangan online, tanggung jawab penyedia hosting, iklan digital, dan mewajibkan penerbit situs profesional untuk menerbitkan pemberitahuan hukum (nama badan usaha, modal, RCS, alamat, direktur publikasi, penyedia hosting). Melengkapi regulasi eIDAS Eropa, LCEN juga mentransposisi direktif pertama tentang tanda tangan elektronik ke hukum Prancis. LCEN terus berlaku bersama eIDAS, khususnya tentang kewajiban informasi pra-kontrak dan penyimpanan kontrak elektronik di atas 120 €.
LegalTech: Istilah LegalTech (Legal Technology) mengacu pada startup dan solusi perangkat lunak yang menerapkan teknologi ke ranah hukum untuk mengotomatisasi, mempercepat, atau membuat dapat diakses layanan yang sebelumnya terbatas untuk profesional hukum. Tanda tangan elektronik, dematerialisasi kontrak, due diligence berbasis AI, dan manajemen dokumen adalah bagian darinya. Certyneo berperan dalam ekosistem LegalTech Eropa dengan menawarkan tanda tangan yang sesuai eIDAS dan mudah diintegrasikan.
LTV (Long-Term Validation): Validasi jangka panjang (LTV, Long-Term Validation) adalah fitur tanda tangan PDF (PAdES B-LT/B-LTA) yang mengintegrasikan ke dalam dokumen yang ditandatangani semua data yang diperlukan untuk verifikasi tanda tangan di masa depan: rantai sertifikat, cap waktu, respons OCSP atau CRL. Berkat LTV, dokumen yang ditandatangani tetap dapat diverifikasi bertahun-tahun setelah penandatanganan, bahkan jika sertifikat telah kedaluwarsa. Certyneo mengintegrasikan LTV untuk menjamin nilai bukti selama 10 tahun.

M

Mandat SEPA elektronik (mandat penarikan): Mandat SEPA elektronik (e-mandat) memungkinkan kreditor mengumpulkan otorisasi penarikan otomatis dari debitor sepenuhnya secara daring, sesuai dengan Peraturan UE No. 260/2012 dan panduan EPC (European Payments Council). Debitor memasukkan IBAN dan BIC mereka, kemudian menandatangani mandat dengan tanda tangan elektronik sederhana (SES); bank debitor dapat mengotentikasinya melalui Open Banking (DSP2/PSD2). Mandat yang ditandatangani harus disimpan selama 14 bulan setelah penarikan terakhir. E-mandat yang valid berisi: identifikasi kreditor SEPA (ICS), referensi unik mandat (RUM), dan tanggal penandatanganan. Platform SaaS, penerbit perangkat lunak, dan lembaga pelatihan sering menggunakan Certyneo untuk mengumpulkan mandat SEPA saat pendaftaran daring, dengan mengintegrasikan tanda tangan melalui API REST dalam saluran pesanan.
Tulisan tangan (tanda tangan): Tanda tangan tulisan tangan adalah jejak grafis yang diaplikasikan dengan tangan oleh seseorang di bagian bawah dokumen kertas, dapat dikenali dari goresan pribadinya. Tanda tangan ini tetap menjadi referensi historis hukum perdata Prancis (pasal 1367 Kode Sipil). Regulasi eIDAS menetapkan prinsip non-diskriminasi: tanda tangan elektronik, apa pun levelnya, tidak dapat ditolak sebagai bukti semata-mata karena itu elektronik. Tanda tangan berkualifikasi (QES) memiliki kekuatan pembuktian yang sama dengan tanda tangan tulisan tangan di seluruh UE. Tanda tangan lanjutan (AES) sering memberikan ketertelusuran yang lebih baik (jejak audit dengan cap waktu) dibandingkan padanan kertasnya.
MFA (Autentikasi Multi-Faktor): MFA (Multi-Factor Authentication, autentikasi multi-faktor — kadang disingkat 2FA untuk two-factor authentication ketika menggabungkan tepat dua faktor) adalah mekanisme keamanan yang memerlukan presentasi setidaknya dua bukti identitas dari kategori berbeda:

• Faktor pengetahuan (« apa yang saya tahu ») : kata sandi, kode PIN, jawaban pertanyaan rahasia, frasa sandi.
• Faktor kepemilikan (« apa yang saya miliki ») : telepon yang menerima OTP melalui SMS atau aplikasi TOTP (Google Authenticator, Authy, 1Password), YubiKey atau kunci FIDO2 lainnya, sertifikat pada kartu pintar.
• Faktor pembawaan (« apa yang saya adalah ») : sidik jari, pengenalan wajah, suara, iris. Diimplementasikan melalui API asli OS modern (Face ID, Touch ID, Windows Hello, Android BiometricPrompt).

MFA vs 2FA : 2FA adalah subset ketat MFA — tepat dua faktor. MFA dapat menggabungkan dua, tiga, atau lebih faktor. Praktik publik sering mengacaukan kedua istilah; dalam keamanan siber B2B dan hukum, MFA adalah istilah generik.

MFA dan tanda tangan elektronik : tanda tangan elektronik lanjutan (AES) memerlukan autentikasi kuat penandatangan, yang dalam praktik diterjemahkan menjadi MFA (biasanya e-mail + OTP SMS). Tanda tangan berkualitas (QES) menerapkan MFA yang diperkuat — verifikasi identitas dengan dokumen identitas + faktor kepemilikan (kartu pintar atau QSCD). Peraturan eIDAS tidak menyebutkan MFA secara eksplisit tetapi memberlakukannya melalui persyaratan autentikasi kuat.

Implementasi Certyneo : MFA wajib untuk semua akses administratif (TOTP melalui Google Authenticator atau OTP e-mail sesuai pilihan). Untuk penandatangan, kombinasi e-mail + OTP SMS diterapkan secara default pada amplop tingkat AES. Lihat juga OTP dan autentikasi kuat.

N

Tingkat tanda tangan (sederhana, lanjutan, berkualitas): Peraturan eIDAS membedakan tiga tingkat tanda tangan elektronik: tanda tangan sederhana (SES), yang memerlukan identifikasi minimal; tanda tangan lanjutan (AES), yang memerlukan tautan unik dengan penandatangan dan autentikasi kuat; dan tanda tangan berkualitas (QES), yang didasarkan pada sertifikat berkualitas dan perangkat pembuatan yang aman. QES memiliki nilai hukum yang sama dengan tanda tangan tulisan tangan di seluruh UE. Memahami tingkat tanda tangan →
Non-penolakan: Non-penolakan adalah properti tanda tangan elektronik yang membuat penandatangan tidak mungkin menolak telah melakukan tindakan (menandatangani, mengirim, menerima). Ini dijamin oleh kombinasi tanda tangan kriptografi (tautan teknis yang tidak terbantahkan), jejak audit dengan cap waktu, dan autentikasi kuat. Tanda tangan berkualitas (QES) menawarkan non-penolakan paling kuat yang diakui oleh hukum Eropa.
Standar ISO/IEC 27001 dan sertifikasi ISMS: ISO/IEC 27001 adalah standar internasional acuan untuk Sistem Manajemen Keamanan Informasi (ISMS). Standar ini mendefinisikan persyaratan untuk membangun, menerapkan, memelihara, dan terus meningkatkan ISMS, melalui 93 kontrol yang terdistribusi dalam 4 domain (organisasi, manusia, fisik, teknologi). Bagi penyedia tanda tangan elektronik, sertifikasi ISO 27001 menunjukkan tingkat kematangan keamanan yang selaras dengan kewajiban eIDAS dan RGPD. Sertifikasi ini sering dipersyaratkan dalam tender publik dan kuesioner keamanan pemasok perusahaan besar. Standar ISO 27017 (keamanan cloud) dan ISO 27018 (perlindungan data pribadi di cloud) melengkapi ISO 27001 untuk layanan SaaS. Certyneo dihosting di pusat data bersertifikat ISO 27001 dan memelihara ISMS terdokumentasi yang mencakup seluruh rantai pemrosesan tanda tangan.

O

OCSP (Protokol Status Sertifikat Online): OCSP (Online Certificate Status Protocol, RFC 6960) adalah protokol untuk memverifikasi secara real-time status pencabutan sertifikat elektronik, dengan menanyakan responder OCSP yang dioperasikan oleh otoritas sertifikasi. Mengapa pencabutan penting: sertifikat mungkin valid dalam tanggal tetapi dicabut sebelumnya (kompromi kunci, keberangkatan karyawan); tanda tangan atau koneksi TLS harus memverifikasi status, bukan hanya kedaluwarsa. OCSP versus CRL: OCSP adalah alternatif lebih ringan dan responsif terhadap CRL — daripada mengunduh seluruh daftar pencabutan, klien menanyakan sertifikat tunggal dan menerima respons ringkas yang ditandatangani (valid / dicabut / tidak dikenal). OCSP Stapling: untuk menghindari kebocoran privasi dan lintasan tambahan, server mengambil respons OCSP-nya sendiri dan « mengganitnya » dalam handshake TLS, sehingga browser tidak pernah menghubungi AC secara langsung. Dalam dokumen yang ditandatangani: respons OCSP disematkan ke PDF pada saat tanda tangan untuk validasi jangka panjang (LTV), sehingga tanda tangan tetap dapat diverifikasi bertahun-tahun kemudian bahkan jika responder offline.
Onboarding elektronik (pendaftaran digital): Onboarding elektronik adalah proses pendaftaran atau pembukaan akun sepenuhnya digital, menggabungkan KYC, verifikasi identitas, dan tanda tangan elektronik pada dokumen kontrak (Syarat & Ketentuan, mandat SEPA, perjanjian akun) dalam satu sesi web atau seluler. Sektor perbankan, asuransi, dan fintech adalah yang paling maju: direktif DSP2 mengharuskan otentikasi kuat (SCA) saat pembukaan akun. Onboarding yang sesuai dengan peraturan eIDAS mensyaratkan bahwa verifikasi identitas jarak jauh memiliki tingkat kepercayaan "substansial" atau "tinggi" untuk tindakan yang mengikat. Solusi menggabungkan: OCR dokumen identitas, liveness check (video atau selfie), tanda tangan AES atau QES, dan pengarsipan otomatis file KYC lengkap di brankas digital.

P

PAdES (PDF Advanced Electronic Signature): PAdES (PDF Advanced Electronic Signature, norma ETSI EN 319 142) adalah standar Eropa untuk tanda tangan digital yang tertanam dalam file PDF. Diadopsi oleh peraturan eIDAS sebagai format referensi untuk dokumen Eropa, PAdES saat ini diimplementasikan secara native oleh semua pembaca PDF (Adobe Acrobat, Foxit, PDF.js, pdfsig). Tanda tangan PAdES tertanam DALAM PDF: tidak ada file terpisah, tidak ada ketergantungan pada platform pihak ketiga, dapat diverifikasi secara offline.

Empat profil PAdES mendefinisikan tingkat jaminan yang meningkat:
• PAdES B-B (Baseline-B): tanda tangan dasar dengan atribut ETSI minimal. Cukup untuk penggunaan biasa di mana nilai pembuktian langsung sudah memadai.
• PAdES B-T (Baseline-T): menambahkan stempel waktu yang berkualitas RFC 3161 segera setelah penandatanganan, membuktikan tanggalnya.
• PAdES B-LT (Baseline-Long Term): menambahkan validasi jangka panjang dengan rantai sertifikat dan data pencabutan yang tertanam. Dapat diverifikasi bahkan setelah kedaluwarsa sertifikat asli.
• PAdES B-LTA (Baseline-Long Term with Archive timestamp): menambahkan stempel waktu pengarsipan berkala untuk mempertahankan nilai pembuktian melampaui 10 tahun, penting untuk dokumen dengan penyimpanan sangat jangka panjang (real estat, paten).

Implementasi Certyneo: semua PDF yang ditandatangani diproduksi dalam PAdES B-LT secara default, yaitu profil yang direkomendasikan untuk mayoritas penggunaan B2B. Profil B-LTA dapat diaktifkan pada paket Business untuk kontrak dengan penyimpanan lebih dari 10 tahun. Verifikasi dijamin dalam Adobe Acrobat Reader tanpa plug-in.

PAdES vs format lain: lihat XAdES (untuk XML), perbandingan PAdES / XAdES / CAdES.
Paraf elektronik: Paraf elektronik adalah setara digital dari paraf fisik yang digunakan dalam administrasi dan perusahaan besar: paraf ini memusatkan dokumen yang menunggu visa atau penandatanganan oleh pengambil keputusan. Secara historis terbatas pada sektor publik (ADULLACT, Pastell dari Libriciel), paraf elektronik telah berkembang ke perusahaan dengan solusi terintegrasi ke GED (Documentum, SharePoint, Alfresco). Paraf elektronik mengelola: daftar surat masuk, delegasi tanda tangan (lihat delegasi), sirkuit validasi multi-tingkat (alur persetujuan), dan penerapan tanda tangan elektronik berkualitas dari penandatangan yang berwenang. Perbedaan utama dengan alat tanda tangan sederhana adalah manajemen kotak surat (dokumen menunggu, ditandatangani, ditolak, diarsipkan) dan audit jejak untuk setiap dokumen. Certyneo menawarkan paraf terintegrasi yang dapat diakses melalui dasbor atau API.
PDF/A (pengarsipan jangka panjang): PDF/A adalah versi PDF yang dinormalisasi ISO (ISO 19005) yang dirancang khusus untuk pengarsipan jangka panjang. Hal ini mengintegrasikan semua font, gambar, dan sumber daya dalam file, melarang enkripsi dan konten yang bergantung pada lingkungan eksternal. Ini menjamin dokumen tetap dapat dibaca dalam 30 tahun tanpa ketergantungan perangkat lunak. Untuk pengarsipan elektronik dengan nilai pembuktian, menggabungkan PDF/A dengan PAdES B-LTA adalah praktik yang direkomendasikan.
PIPEDA (Personal Information Protection and Electronic Documents Act, Kanada): PIPEDA (Personal Information Protection and Electronic Documents Act, dalam bahasa Prancis: Loi sur la protection des renseignements personnels et les documents électroniques) adalah undang-undang federal Kanada tentang perlindungan informasi pribadi di sektor swasta (L.C. 2000, ch. 5). Undang-undang ini mengatur pengumpulan, penggunaan, dan pengungkapan informasi pribadi dalam kegiatan perdagangan interprovinsial dan internasional. Merupakan setara Kanada dari RGPD Eropa, meskipun kurang ketat pada beberapa poin (persetujuan implisit kadang diizinkan, sanksi keuangan lebih rendah).

10 Prinsip PIPEDA (dari Canadian Standards Association CAN/CSA-Q830) :
1. Akuntabilitas — menunjuk tanggung jawab atas perlindungan informasi pribadi.
2. Penentuan Tujuan — mengumumkan tujuan pengumpulan dengan jelas.
3. Persetujuan — mengumpulkan persetujuan yang terinformasi.
4. Pembatasan Pengumpulan — mengumpulkan hanya yang diperlukan.
5. Pembatasan Penggunaan — menggunakan hanya untuk tujuan yang diumumkan.
6. Akurasi — menjaga data tetap terkini.
7. Tindakan Keamanan — perlindungan teknis dan organisasi yang sesuai.
8. Transparansi — kebijakan privasi yang dipublikasikan.
9. Akses ke Informasi Pribadi — hak akses dan perbaikan.
10. Kemampuan untuk Mengajukan Keluhan — kepada Komisioner Privasi Kanada.

PIPEDA dan tanda tangan elektronik : tanda tangan elektronik melibatkan pemrosesan data pribadi (nama, alamat email, nomor telepon, IP, metadata sesi, jejak audit). PIPEDA mengharuskan :
• persetujuan terinformasi dari penandatangan sebelum pengumpulan ;
• penyimpanan aman (enkripsi saat istirahat, akses terbatas) ;
• jangka waktu penyimpanan yang proporsional dengan tujuan (10 tahun untuk kontrak komersial umumnya diterima) ;
• hak akses, perbaikan, dan penghapusan atas permintaan penandatangan ;
• notifikasi wajib dalam hal pelanggaran yang menimbulkan risiko nyata kerugian serius (sejak 2018).

Hukum 25 Quebec : provinsi Quebec memiliki undang-undang sendiri (Hukum 25 / Loi modernisant les dispositions sur la protection des renseignements personnels, berlaku 2022-2024) yang mengesampingkan PIPEDA untuk kegiatan intra-Quebec. Hukum 25 lebih ketat daripada PIPEDA — sejalan dengan RGPD Eropa pada sebagian besar poin: persetujuan eksplisit wajib, penunjukan tanggung jawab atas perlindungan informasi pribadi, penilaian dampak (EFVP), sanksi hingga 4% dari omset global.

PIPEDA vs RGPD : Komisi Eropa mengakui PIPEDA sebagai menawarkan tingkat perlindungan "memadai" menurut pasal 45 RGPD (keputusan 2002/2/CE dikonfirmasi 2024). Oleh karena itu, transfer data pribadi dari UE ke Kanada diizinkan tanpa formalitas tambahan. Untuk organisasi Kanada beroperasi di UE, RGPD tetap berlaku pada data penduduk Eropa (ekstrateritorialitas, pasal 3).

Implementasi Certyneo : kepatuhan PIPEDA + Hukum 25 + RGPD dijamin oleh arsitektur perlindungan data kami — hosting berdaulat UE (IONOS Jerman), enkripsi TLS 1.3 dalam transit + AES-256 saat istirahat, logging akses, hak penghapusan lengkap dalam 30 hari, subpemroses yang sesuai. Transfer ke Kanada (jarang — hanya akun yang dihost sesuai permintaan di Kanada) diatur oleh klausul kontrak standar RGPD-PIPEDA.
Jejak audit: Jejak audit (atau audit trail) adalah jurnal yang diberi stempel waktu untuk semua tindakan yang dilakukan pada dokumen: pengiriman, pembukaan, konsultasi, masukan OTP, penandatanganan, penolakan, kedaluwarsa. Ini merupakan bukti utama nilai pembuktian dalam kasus sengketa, dengan menunjukkan bahwa proses penandatanganan telah dilakukan sesuai dengan peraturan. Di Certyneo, jejak audit terintegrasi dalam PDF akhir dan disimpan di basis data kami selama 10 tahun. Pahami jejak audit secara detail →
PKI (Infrastruktur Kunci Publik): PKI (Public Key Infrastructure) adalah sekumpulan komponen perangkat keras, perangkat lunak, prosedur, dan kebijakan yang memungkinkan penerbitan, pengelolaan, dan pencabutan sertifikat elektronik. Hal ini didasarkan pada kriptografi asimetris: kunci privat (rahasia) digunakan untuk menandatangani, kunci publik (didistribusikan dalam sertifikat) memungkinkan siapa pun untuk memverifikasi tanda tangan. Penyedia layanan yang berkualitas mengoperasikan PKI yang sesuai dengan standar ETSI.
Portabilitas data (RGPD Pasal 20): Pasal 20 RGPD memberi hak kepada subjek data untuk memperoleh data pribadi mereka dalam format terstruktur, umum digunakan, dan dapat dibaca mesin, serta mengirimkannya ke pengontrol pemrosesan lain. Bagi pengguna platform tanda tangan elektronik, hak ini mencakup: dokumen yang ditandatangani dan jejak audit mereka, metadata akun, dan log aktivitas. Portabilitas mengharuskan penyedia untuk memberikan ekspor standar (JSON, CSV, ZIP) dalam waktu satu bulan. Sebaliknya, hak penghapusan (Pasal 17) dapat dibatasi oleh kewajiban penyimpanan hukum (pengarsipan terbukti 5–10 tahun) — dokumen yang ditandatangani tidak dapat dihapus selama durasi hukum belum berakhir. Certyneo menerapkan ekspor akun lengkap melalui area klien dan mendukung migrasi arsip ke brankas pihak ketiga.
Penyedia Layanan Kepercayaan (PSC / TSP): Penyedia layanan kepercayaan (PSC atau TSP dalam bahasa Inggris) adalah entitas yang menyediakan layanan stempel waktu, penerbitan sertifikat, penandatanganan, atau pengarsipan sesuai dengan peraturan eIDAS. PSC yang berkualitas diaudit secara berkala dan terdaftar di daftar kepercayaan nasional (di Prancis: daftar ANSSI). Kualifikasi menjamin tingkat jaminan tertinggi yang diakui di UE. Lihat kewajiban penyedia →

Q

QES (Tanda Tangan Elektronik Terkualifikasi): Tanda tangan elektronik terkualifikasi (QES, Qualified Electronic Signature) adalah tingkat tertinggi yang didefinisikan oleh peraturan eIDAS. Ini secara hukum setara dengan tanda tangan tulisan tangan di seluruh Uni Eropa. Pengeluarannya memerlukan: verifikasi identitas sebelumnya, sebuah sertifikat terkualifikasi yang dikeluarkan oleh sebuah QTSP, dan penggunaan sebuah perangkat pembuatan yang aman (QSCD). Ini diperlukan untuk akta notaris elektronik, pengadaan publik tertentu dan prosedur administratif sensitif.
QSCD (Perangkat Pembuatan Tanda Tangan Terkualifikasi): Sebuah QSCD (Qualified Signature Creation Device) adalah perangkat keras atau perangkat lunak yang memenuhi persyaratan ketat Lampiran II eIDAS untuk pembuatan tanda tangan terkualifikasi (QES). Ini menjamin bahwa kunci pribadi penandatanganan dihasilkan dalam perangkat, tidak pernah keluar dalam bentuk jelas, dan hanya dapat digunakan oleh pemilik yang sah. HSM bersertifikat dan kartu pintar adalah bentuk QSCD yang umum. Tanda tangan cloud menggunakan QSCD virtual yang dihosting di HSM bersertifikat.
QTSP (Qualified Trust Service Provider): Sebuah QTSP (Qualified Trust Service Provider, atau Penyedia Layanan Kepercayaan Terkualifikasi) adalah sebuah PSC yang telah diaudit dan terdaftar pada daftar kepercayaan dari sebuah negara anggota UE berdasarkan peraturan eIDAS. Kualifikasi adalah tingkat pengakuan Eropa tertinggi: ini wajib untuk menerbitkan sertifikat terkualifikasi, stempel waktu terkualifikasi, atau tanda tangan terkualifikasi (QES). Di Prancis, ANSSI mengelola daftar resmi (docaposte, Universign/Oodrive, CertEurope…). Certyneo berantarmuka dengan beberapa QTSP untuk memicu QES ketika tingkat terkualifikasi diperlukan (pengadaan publik, akta notaris, prosedur sosial tertentu).

R

Pengingatannya Otomatis: Pengingatan otomatis adalah fitur dari platform tanda tangan elektronik yang secara otomatis mengirimkan pengingat melalui email atau SMS kepada penandatangan yang belum menandatangani, sesuai dengan frekuensi yang dapat dikonfigurasi. Ini mengurangi pembatalan penandatanganan dan mempercepat penyelesaian alur kerja. Di Certyneo, pengingatan dapat dikonfigurasi per amplop (frekuensi, konten pesan) dan semua tindakan dilacak dalam jejak audit.
GDPR: GDPR (Peraturan Perlindungan Data Umum, peraturan UE 2016/679) mengatur pengumpulan, pemrosesan, dan penyimpanan data pribadi di UE. Dalam konteks tanda tangan elektronik, ia khususnya memberlakukan meminimalkan data yang dikumpulkan pada penandatangan, mendefinisikan periode retensi, dan memastikan hak untuk penghapusan. Certyneo mematuhi GDPR dengan hosting di UE (Jerman) dan register pemrosesan tersedia. Lihat halaman keamanan kami →
ROI tanda tangan elektronik: ROI (pengembalian investasi) dari tanda tangan elektronik diukur dalam empat pos: (1) pengurangan siklus penandatanganan — dari 5-10 hari (surat/pindai) menjadi kurang dari 1 jam rata-rata, (2) penghematan langsung — pencetakan, pengiriman, pengarsipan fisik (diperkirakan antara 15 dan 30 € per amplop), (3) pengurangan tingkat pembatalan — kontrak yang menunggu tanda tangan kertas memiliki tingkat pembatalan 3× lebih tinggi, (4) kepatuhan — denda RGPD untuk penyimpanan kontrak kertas yang buruk dapat melebihi biaya tahunan alat SaaS. Transisi ke nol kertas umumnya kembali dalam 3 hingga 6 bulan untuk UKM yang memproses lebih dari 50 kontrak per bulan.

S

SES (Tanda Tangan Elektronik Sederhana): Tanda tangan elektronik sederhana (SES, Simple Electronic Signature) adalah tingkat dasar yang ditentukan oleh regulasi eIDAS. Tanda tangan ini tidak memerlukan persyaratan teknis khusus: klik "Saya setuju", gambar tanda tangan, atau tanda tangan melalui email sudah mencukupi. Nilai pembuktiannya diasumsikan tetapi dapat dibantah jika penandatangan menyangkal tindakannya. Tanda tangan ini cocok untuk dokumen dengan risiko hukum rendah (penawaran, laporan internal, persetujuan prinsip). Untuk kepentingan yang lebih penting, pilih tingkat AES atau QES.
Penandatangan: Le signataire est la personne physique qui appose sa signature électronique sur un document et s'engage juridiquement sur son contenu — à distinguer de l'expéditeur, qui prépare et envoie le document, et d'une personne morale, qui « signe » via un cachet électronique.

Qui peut être signataire ? Toute personne physique juridiquement capable : un particulier majeur pour ses propres engagements, ou un représentant habilité pour une entreprise — dirigeant, salarié muni d'une délégation de signature, mandataire. Vérifier l'habilitation du signataire est un point de contrôle essentiel : un contrat signé par une personne non habilitée peut être contesté.

Signataire, cosignataire, approbateur : le cosignataire est un signataire supplémentaire du même document (co-signature), engagé au même titre ; l'approbateur, lui, valide le document dans un flux d'approbation sans apposer de signature juridiquement engageante. L'ordre des signataires peut être séquentiel (chacun signe à son tour, avec relances automatiques) ou parallèle (tous en même temps) — c'est le workflow de signature.

Comment l'identité du signataire est-elle vérifiée ? Selon le niveau de signature : en signature simple (SES), par le lien email unique ; en signature avancée (signature avancée), par authentification forte — code OTP email + SMS ; en signature qualifiée (QES), par vérification de la pièce d'identité auprès d'un prestataire de confiance qualifié.

Sur Certyneo : le signataire reçoit un lien unique par email, visualise le document, s'authentifie et signe depuis son mobile ou son ordinateur, sans créer de compte. Chacune de ses actions (ouverture, OTP, signature, refus) est horodatée et consignée dans la piste d'audit jointe au PDF signé — c'est elle qui relie juridiquement le document au signataire. Comprendre les niveaux de signature →
Tanda Tangan Lanjutan (AES / eIDAS level 2): La signature avancée (Advanced Electronic Signature — AES) est le deuxième des trois niveaux de signature électronique définis par le règlement eIDAS (UE) n°910/2014, entre la signature simple (SES) et la signature qualifiée (QES). C'est le niveau recommandé pour la grande majorité des documents contractuels à enjeu.

Les quatre exigences de l'article 26 eIDAS :
• Lien univoque au signataire : la signature ne peut être attribuée qu'à une seule personne — assuré par le canal d'identification (email nominatif, mobile personnel).
• Identification du signataire : le procédé permet de retrouver qui a signé — état civil déclaré, adresse email, numéro de mobile vérifiés par code OTP.
• Contrôle exclusif : les données de création de signature sont sous le contrôle du seul signataire — matérialisé par l'authentification forte au moment de signer.
• Intégrité : toute modification ultérieure du document est détectable — garanti par le scellement cryptographique (hachage + PAdES).

AES vs SES vs QES : la SES n'exige aucune vérification renforcée (case à cocher, signature dessinée) — suffisante pour les documents du quotidien ; l'AES ajoute l'authentification forte et la preuve d'intégrité — adaptée aux contrats de travail, mandats, baux, dossiers bancaires et d'assurance ; la QES ajoute un certificat qualifié délivré après vérification d'identité et un dispositif certifié (QSCD) — c'est l'équivalent légal de la signature manuscrite dans toute l'UE, requis pour les actes les plus sensibles.

Valeur juridique : l'article 25 d'eIDAS interdit de refuser un effet juridique à une signature au seul motif qu'elle est électronique, et l'article 1367 du Code civil la reconnaît dès lors qu'un procédé fiable identifie le signataire et garantit l'intégrité de l'acte. En cas de litige, la fiabilité de l'AES se démontre par le faisceau de preuves : piste d'audit horodatée, codes OTP consignés, empreinte du document, horodatage. La QES bénéficie en plus d'une présomption de fiabilité (charge de la preuve inversée).

Quand l'AES suffit-elle ? Contrats de travail et avenants, contrats commerciaux, devis et bons de commande, mandats (vente, gestion locative, SEPA), baux, dossiers KYC et crédit : l'AES est le standard du marché. Passez à la QES pour les actes authentiques, certains marchés publics, la cession de fonds de commerce, ou lorsqu'un texte l'exige.

Sur Certyneo : l'AES est disponible sur tous les plans payants — le signataire est authentifié par double OTP email + SMS, le PDF signé est scellé au format PAdES avec horodatage, et la piste d'audit complète est jointe au document. La QES est disponible à l'acte, sans abonnement dédié. Comprendre les trois niveaux eIDAS → · Le règlement eIDAS en détail →
Tanda tangan biometrik: Tanda tangan biometrik adalah bentuk tanda tangan elektronik yang menangkap, selain gambar jejak tulisan tangan, data perilaku dinamis: tekanan stylus, kecepatan, sudut kemiringan, akselerasi. Parameter ini menciptakan jejak unik yang sulit ditiru. Ini menawarkan autentikasi yang lebih kuat daripada gambar tanda tangan sederhana. Data biometrik dianggap sensitif oleh GDPR dan memerlukan persetujuan eksplisit. Biometrik saja tidak cukup untuk mencapai tingkat AES eIDAS; harus dikombinasikan dengan autentikasi kuat.
Tanda tangan cloud: Tanda tangan cloud adalah tanda tangan elektronik di mana kunci privat penandatangan dihasilkan, disimpan, dan dikelola oleh penyedia terpercaya di cloud, bukan pada perangkat lokal (USB key, smart card). Pendekatan ini menyederhanakan pengalaman pengguna dan memungkinkan tanda tangan berkualitas (QES) dari browser sederhana. Kunci dilindungi dalam HSM bersertifikat yang dioperasikan oleh QTSP.
Tanda Tangan Elektronik: Tanda tangan elektronik adalah mekanisme untuk menandatangani dokumen digital dengan bukti identitas dan persetujuan yang setara dengan tanda tangan tulisan tangan. Menurut regulasi eIDAS, tanda tangan elektronik mencakup tiga tingkat kepercayaan: sederhana (SES), lanjutan (AES), dan berkualifikasi (QES). Berbeda dengan tanda tangan digital, tanda tangan elektronik adalah konsep hukum yang dapat didukung oleh berbagai teknologi. Temukan panduan lengkap kami →
Tanda tangan seluler: Tanda tangan seluler mengacu pada kemampuan untuk menandatangani dokumen secara elektronik dari smartphone atau tablet, tanpa aplikasi asli — melalui browser web. Penandatangan menerima tautan melalui email atau SMS, menampilkan dokumen di browser seluler mereka, membubuhkan paraf dan menandatangani dengan gerakan sentuhan atau dengan mengetik nama lengkap mereka (sesuai tingkat yang diperlukan), kemudian memvalidasi melalui OTP SMS. Di Certyneo, antarmuka penandatanganan 100% responsif: identitas diverifikasi, audit trail dihasilkan dan PDF yang ditandatangani bersama dikirim ke penerima dalam waktu kurang dari 60 detik pada 4G seluler. Tidak ada instalasi yang diperlukan untuk penandatangan.
Tanda Tangan Digital: Tanda tangan digital adalah implementasi teknis dari tanda tangan elektronik berbasis kriptografi asimetris. Tanda tangan digital menenkripsi hash dokumen dengan kunci pribadi penandatangan, menghasilkan jejak yang dapat diverifikasi oleh siapa saja yang memiliki kunci publik yang sesuai (terdapat dalam sertifikat). Tanda tangan digital menjamin baik identitas penandatangan maupun integritas dokumen.
Smart contract dan otomatisasi kontraktual: Smart contract (kontrak pintar) adalah program yang dapat mengeksekusi diri sendiri yang diimplementasikan di blockchain, yang istilahnya dikodekan langsung dalam kode komputer dan dijalankan secara otomatis ketika kondisi yang telah ditentukan sebelumnya terpenuhi. Meskipun populer dalam ekosistem Ethereum (Solidity), smart contract tidak merupakan kontrak elektronik dalam arti hukum perdata Prancis: eksekusinya otomatis tetapi keabsahannya secara hukum tetap bergantung pada bukti perjanjian kehendak yang sah. Dalam praktik B2B, kombinasi paling kuat adalah: tanda tangan elektronik berkualitas dari kontrak induk (bukti hukum yang pasti) + smart contract untuk eksekusi otomatis klausul keuangan (pembayaran, penalti). Notarisasi blockchain dari hash kontrak yang ditandatangani merupakan lapisan bukti pelengkap ketiga.
Solde de tout compte: Le solde de tout compte fait l'inventaire des sommes versées au salarié lors de la rupture de son contrat de travail (salaire, indemnités, congés payés…). Régi par l'article L1234-20 du Code du travail, il est établi en double exemplaire et son reçu peut être signé par le salarié. Une fois signé, le salarié dispose d'un délai de six mois pour le dénoncer. La signature électronique sécurise sa remise et en horodate la date. Documents de fin de contrat →
Rangkaian kriptografi (cipher suite): Rangkaian kriptografi adalah kombinasi bernama dari algoritma kriptografi (pertukaran kunci, autentikasi, enkripsi simetris, MAC/HMAC) yang dinegosiasikan antara klien dan server selama handshake TLS. TLS 1.3 memberlakukan rangkaian modern seperti TLS_AES_256_GCM_SHA384, menghilangkan algoritma lemah (RC4, 3DES, MD5). Certyneo hanya menerima rangkaian TLS 1.3 untuk memaksimalkan keamanan sesi penandatanganan.

T

Pihak ketiga terpercaya: Pihak ketiga terpercaya adalah aktor netral dan independen yang bertugas mengamankan pertukaran antara dua pihak: dalam tanda tangan elektronik, pihak ini memverifikasi identitas penandatangan, menyegel dokumen, memberi stempel waktu pada tindakan, dan menyimpan bukti. Secara historis, notaris memainkan peran ini untuk dokumen kertas. Dalam domain digital, pihak ketiga terpercaya diformalkan oleh peraturan eIDAS dalam bentuk penyedia layanan kepercayaan (PSC/TSP) dan versi berkualifikasi mereka (QTSP). Certyneo bertindak sebagai pihak ketiga terpercaya dengan mengeluarkan tanda tangan canggih (AES) dan dapat mendelegasikan kepada mitra QTSP untuk mengeluarkan tanda tangan berkualifikasi (QES).
TLS (Transport Layer Security): TLS (Transport Layer Security) adalah protokol kriptografi yang mengamankan komunikasi di Internet, menggantikan SSL. Protokol ini menjamin kerahasiaan (enkripsi), integritas, dan autentikasi server (melalui sertifikatnya). TLS 1.3, versi terkini, memaksakan suite kriptografi modern dan handshake dalam satu putaran bolak-balik. Gembok di peramban menunjukkan bahwa koneksi TLS aktif. Certyneo menerapkan TLS 1.3 minimum di semua endpoint-nya.
Trusted List (daftar kepercayaan UE): Trusted List (daftar kepercayaan) adalah daftar resmi yang diterbitkan oleh setiap negara anggota UE dan diawasi oleh Komisi Eropa, mencatat penyedia layanan kepercayaan berkualifikasi (QTSP) dan layanan mereka (sertifikat berkualifikasi, stempel waktu, dll.). Di Prancis, daftar dikelola oleh ANSSI. Ini adalah bukti legitimasi QTSP dalam kerangka peraturan eIDAS. Hanya layanan yang tercantum yang mendapat manfaat dari asumsi hukum kepatuhan eIDAS.
TSA (Timestamp Authority / Otoritas Stempel Waktu): TSA (Timestamp Authority) adalah pihak ketiga terpercaya yang terakreditasi yang mengeluarkan token stempel waktu sesuai dengan RFC 3161 (Internet X.509 PKI Time-Stamp Protocol). Prosesnya: klien menghitung jejak jari (hash) dokumen dan mengirimnya ke TSA melalui HTTPS; TSA menandatangani secara kriptografi token yang berisi hash ini + waktu UTC penerimaan yang disertifikasi. Token ini membuktikan bahwa dokumen ada dalam keadaan tepat yang sama pada tanggal dan waktu yang tepat, tanpa TSA pernah memiliki akses ke dokumen itu sendiri. TSA berkualitas (QTSA) yang terdaftar di daftar kepercayaan UE menghasilkan stempel waktu berkualitas eIDAS, bentuk yang paling dapat dibuktikan. Dalam PAdES-LT dan PAdES-LTA, token TSA tertanam dalam PDF, memastikan verifiabilitas offline dalam 20 tahun bahkan jika TSA asli telah hilang.

U

UETA (Uniform Electronic Transactions Act): UETA (Uniform Electronic Transactions Act, 1999) adalah undang-undang model Amerika yang mengakui kekuatan pembuktian tanda tangan elektronik di 47 dari 50 negara bagian. Dilengkapi dengan ESIGN Act (2000) di tingkat federal, undang-undang ini menetapkan bahwa kontrak dan tanda tangan "tidak dapat dinyatakan tidak sah semata-mata karena bentuknya elektronik". Ini adalah setara fungsional Amerika dari peraturan eIDAS Eropa, dengan pendekatan yang lebih liberal: UETA tidak mendefinisikan tingkat (SES/AES/QES) dan tidak menyediakan setara berkualifikasi. Untuk kontrak transatlantik, tanda tangan canggih (AES) eIDAS umumnya diakui sebagai sesuai dengan UETA/ESIGN, sementara sebaliknya tidak otomatis.

V

Nilai pembuktian (tanda tangan elektronik): Nilai pembuktian adalah kapasitas dokumen elektronik untuk diterima sebagai bukti di pengadilan dengan cara yang sama seperti dokumen kertas. Ini adalah konsep hukum pivot yang menentukan apakah kontrak yang ditandatangani secara elektronik dapat diberlakukan terhadap klien, karyawan, atau pemasok Anda dalam kasus perselisihan.

Dasar hukum di Prancis : undang-undang tanggal 13 Maret 2000 memperkenalkan dalam Kode Sipil pasal 1366 yang menetapkan prinsip kesetaraan antara dokumen kertas dan dokumen elektronik, asalkan (1) orang yang berasal dari dokumen dapat diidentifikasi dengan layak, dan (2) dokumen ditetapkan dan disimpan dalam kondisi yang menjamin integritasnya. Pasal 1367 menjelaskan bahwa tanda tangan elektronik yang sesuai dengan peraturan Eropa eIDAS mendapat manfaat dari kesetaraan ini.

Empat kondisi kumulatif agar dokumen yang ditandatangani secara elektronik memiliki nilai pembuktian :
• Identifikasi penandatangan : apakah autentikasi memungkinkan pelacakan ke orang fisik yang diidentifikasi secara khusus? Mekanisme: OTP SMS untuk AES, identifikasi video + KBIS untuk QES.
• Integritas dokumen : apakah konten tidak dimodifikasi sejak penandatanganan? Dijamin oleh hashing kriptografi yang tertanam dalam tanda tangan.
• Keandalan proses : apakah penyedia tanda tangan menerapkan praktik terbaik (enkripsi, manajemen kunci melalui HSM, jejak audit)? Penyedia yang berkualitas (QTSP) yang terdaftar dalam daftar kepercayaan Eropa menawarkan jaminan terkuat.
• Jejak audit : apakah ada jejak audit dengan stempel waktu dan dapat diterapkan (siapa yang menandatangani, kapan, dari IP mana, setelah autentikasi apa) ?

Presumsi hukum : eIDAS menetapkan presumsi integritas dan asal untuk tanda tangan lanjutan (AES) dan berkualitas (QES). Dalam praktiknya, ini membalikkan beban pembuktian: adalah tanggung jawab mereka yang membantah tanda tangan untuk membuktikan bahwa itu tidak valid, bukan penandatangan yang membuktikan bahwa itu valid. Tanda tangan berkualitas juga mendapat manfaat dari kesetaraan hak penuh dengan tanda tangan tulisan tangan (Kode Sipil pasal 1367 al. 2).

Durasi nilai pembuktian : dokumen yang ditandatangani mempertahankan nilai pembuktiannya selama penyimpanan memenuhi kondisi (integritas, daya tahan, jejak audit). Untuk kontrak dengan penyimpanan > 5 tahun, profil PAdES B-LTA dengan stempel waktu penyimpanan berkala memungkinkan perpanjangan nilai pembuktian melampaui kedaluwarsa sertifikat asli. Lihat juga non-repudiasi dan LTV.
Verifikasi antivirus dokumen yang diunggah: Sebelum dokumen diintegrasikan ke dalam alur kerja tanda tangan, setiap platform yang bertanggung jawab harus mengirimkannya untuk analisis antivirus (AV). Ancaman yang menargetkan PDF termasuk: makro tertanam, JavaScript jahat (AcroForms), eksploit pengurai PDF (CVE-2019-12657, dll.). Solusi pemindaian cloud (ClamAV open-source, OPSWAT MetaDefender, API VirusTotal) menganalisis file dalam beberapa milidetik. Persyaratan kepatuhan ISO 27001 dan SOC 2 Type II memaksakan analisis AV untuk setiap dokumen masuk. Dokumen yang terinfeksi dalam alur kerja tanda tangan sangat berisiko karena dikirim ke semua penandatangan, memperluas vektor serangan. Verifikasi AV harus dilakukan sebelum penyimpanan di basis data, bukan sesudahnya. Certyneo menganalisis setiap dokumen yang diunggah melalui ClamAV (daemon in-process) dan memblokir file yang mencurigakan dengan pesan kesalahan yang jelas, tanpa pernah menyebarkannya ke alur kerja.
Verifikasi identitas (identity proofing): Verifikasi identitas (identity proofing) adalah proses memeriksa identitas nyata seseorang sebelum menerbitkan identitas atau mengizinkannya menandatangani. Mulai dari pengumpulan alamat email sederhana (tingkat dasar) hingga verifikasi biometrik identitas melalui video (KYC video, tingkat terkualifikasi). Ini wajib untuk mengeluarkan sertifikat terkualifikasi dan memicu tanda tangan terkualifikasi (QES).
Visa elektronik (paraf): Visa elektronik (atau paraf elektronik) adalah tindakan validasi perantara yang diberikan pada dokumen oleh persetuju sebelum penandatanganan akhir. Tindakan ini menunjukkan bahwa pembaca telah mengetahui dokumen dan menyetujuinya tanpa menandatanganinya dengan cara yang secara hukum mengikat. Di Certyneo, alur kerja multi-aktor memungkinkan menggabungkan tahap visa (validasi internal) dan tahap penandatanganan (komitmen hukum eksternal), memastikan ketertelusuran lengkap dari sirkuit validasi.

W

Webhook: Webhook adalah mekanisme API yang memungkinkan Certyneo mengirimkan notifikasi HTTP secara otomatis ke aplikasi klien ketika peristiwa terjadi (dokumen ditandatangani, ditolak, kedaluwarsa, jejak audit dihasilkan). Berbeda dengan polling, webhook berada dalam mode push: klien tidak perlu menginterogasi API secara teratur. Ini memungkinkan integrasi Certyneo dalam SI pihak ketiga (CRM, ERP, SIRH) untuk memicu tindakan bisnis secara real-time segera setelah penyelesaian alur kerja tanda tangan.
Alur kerja tanda tangan: Alur kerja tanda tangan adalah proses terorganisir yang menentukan urutan, kondisi, dan aktor yang terlibat dalam penandatanganan dokumen. Dapat bersifat sekuensial (setiap penandatangan menandatangani setelah yang sebelumnya), paralel (semua menandatangani secara bersamaan) atau campuran. Di Certyneo, alur kerja mencakup manajemen pengingat otomatis, tenggat waktu kedaluwarsa dan amplop multi-dokumen.

X

XAdES (XML Advanced Electronic Signature): XAdES (XML Advanced Electronic Signatures, standar ETSI EN 319 132) adalah standar Eropa untuk tanda tangan digital yang diterapkan pada dokumen XML. Diadopsi oleh regulasi eIDAS, XAdES adalah format referensi untuk menandatangani file XML terstruktur: faktur elektronik (Factur-X, PEPPOL), slip EDI, deklarasi administratif, data pasar, transkrip SEPA.

Empat profil XAdES dengan tingkat kematangan yang meningkat, selaras dengan PAdES dan CAdES:
• XAdES B-B: tanda tangan XML dasar dengan atribut ETSI minimal. Kasus penggunaan: penandatanganan sekali kali sampel XML tanpa batasan tanggal.
• XAdES B-T: menambahkan stempel waktu terverifikasi RFC 3161. Standar untuk faktur elektronik dan alur EDI di mana tanggal penerbitan harus dibuktikan.
• XAdES B-LT: validasi jangka panjang dengan rantai sertifikat dan data revokasi tersemat. Tetap dapat diverifikasi setelah kadaluarsa sertifikat asli.
• XAdES B-LTA: stempel waktu pengarsipan berkala untuk mempertahankan nilai pembuktian selama 10+ tahun. Penting untuk arsip pajak dan register yang diatur.

XAdES vs PAdES: pilih XAdES untuk menandatangani dokumen XML asli (faktur Factur-X, slip PEPPOL, pertukaran EDI). Pilih PAdES untuk menandatangani PDF (kontrak, penawaran, dokumen HR). Kedua format secara hukum setara — perbedaannya bersifat teknis: format yang sesuai dengan jenis dokumen.

Varian XAdES: XAdES amplop (dokumen XML disertakan dalam struktur tanda tangan), XAdES amplop tertutup (tanda tangan ditambahkan ke dokumen), XAdES terlepas (tanda tangan disimpan dalam file terpisah). Certyneo menangani ketiga varian melalui API REST. Lihat perbandingan PAdES / XAdES / CAdES.
XAdES / PAdES / CAdES: XAdES, PAdES dan CAdES adalah tiga format standar tanda tangan digital yang didefinisikan oleh ETSI untuk regulasi eIDAS. XAdES (XML Advanced Electronic Signatures, EN 319 132) menandatangani dokumen XML, PAdES (PDF, EN 319 142) menyematkan token tanda tangan langsung ke dalam PDF — ini adalah format yang digunakan Certyneo untuk menghasilkan file yang dapat diverifikasi secara offline di Acrobat Reader. CAdES (CMS, EN 319 122) berlaku untuk alur biner arbitrer. Setiap format tersedia dalam profil (B-B, B-T, B-LT, B-LTA) yang menawarkan jaminan yang meningkat: validitas dalam waktu, stempel waktu terverifikasi, bukti pengarsipan jangka panjang.

Y

YubiKey (kunci keamanan perangkat keras): YubiKey adalah kunci keamanan perangkat keras (USB/NFC) yang dirancang oleh Yubico yang menyimpan rahasia kriptografi yang tidak dapat diekstrak dan mendukung protokol FIDO2/WebAuthn, OpenPGP, dan PIV. Dalam konteks tanda tangan terverifikasi (QES), YubiKey (atau perangkat setara yang sesuai dengan Lampiran II eIDAS) dapat berfungsi sebagai Perangkat Pembuatan Tanda Tangan Terverifikasi (QSCD): kunci pribadi yang terkait dengan sertifikat terverifikasi tidak pernah meninggalkan perangkat keras, yang menjamin tingkat jaminan tertinggi pada identitas penandatangan. Pada akun administrasi Certyneo, YubiKey juga dapat melayani untuk melindungi akses admin melalui MFA perangkat keras.

Z

Tanpa kertas: "Tanpa kertas" (atau paperless) adalah upaya mengganti sepenuhnya alur dokumenter kertas dengan setara digital yang ditandatangani. Selain keuntungan operasional (siklus penandatanganan dibagi 5 hingga 20 secara rata-rata), tanpa kertas mengurangi jejak karbon yang terkait dengan pencetakan, pengiriman, dan pengarsipan fisik. Tanda tangan elektronik, dikombinasikan dengan pengarsipan elektronik dengan nilai pembuktian (minimum 10 tahun untuk kontrak komersial), adalah prasyarat teknis untuk beralih. Dematerialisasi menggambarkan gerakan, tanpa kertas adalah tujuan akhirnya.
Zero Trust (keamanan kepercayaan nol): Model Zero Trust (kepercayaan nol) adalah arsitektur keamanan berdasarkan prinsip "Jangan pernah percaya, selalu verifikasi" — berbeda dengan model perimeterik klasik yang mempercayai segalanya di dalam jaringan perusahaan. Pilar-pilarnya adalah: verifikasi identitas berkelanjutan (MFA pada setiap akses), privilege minimal (akses dibatasi ketat sesuai kebutuhan operasional), mikro-segmentasi (isolasi layanan), inspeksi lalu lintas (termasuk internal), dan pemantauan real-time. Dalam konteks tanda tangan elektronik, Zero Trust diterapkan di beberapa level: akses ke HSM (tidak ada kunci pribadi yang dapat diakses tanpa autentikasi kuat operator), akses ke amplop (kontrol berbasis identitas penandatangan, bukan hanya tautan), dan akses admin (sesi sementara dengan pembatalan otomatis). Kerangka NIST SP 800-207 dan panduan ANSSI "Rekomendasi tentang Zero Trust" (2021) memformalisasi persyaratan di Prancis.

Pelajari lebih lanjut dengan panduan kami

Panduan ini mendalami konsep-konsep kunci dari glosarium dengan contoh konkret dan kasus penggunaan.

Komunitas Certyneo

Ada pertanyaan tentang tanda tangan elektronik?

Bergabunglah dengan komunitas Certyneo: ajukan pertanyaan Anda, bagikan jawaban Anda, dan berbagi dengan ribuan pengguna dan tim kami.

Siap mempraktikkan konsep ini?

Certyneo memungkinkan Anda membuat amplop tanda tangan yang sesuai eIDAS dengan beberapa klik, tanpa pemasangan.

Coba gratis Baca panduan lengkap