Hoe werkt een elektronische handtekening?

Het algemene principe

Een elektronische handtekening is geen afbeelding. Het is een cryptografisch proces dat vier onlosmakelijke elementen met elkaar verbindt: het document, de identiteit van de ondertekenaar, het moment van ondertekening en het technische bewijs dat er daarna niets is gewijzigd.

Dit proces rust op twee pijlers: de authenticatie van de ondertekenaar en de integriteit van het document.

Stap 1: de ondertekenaar authenticeren

Authenticatie bestaat uit het leggen van een verband tussen de persoon die ondertekent en een verifieerbare identiteit. Er bestaan verschillende technieken, die gecombineerd kunnen worden:

• Vertrouwd e-mailadres: er wordt een unieke link verzonden. Alleen de eigenaar van de mailbox kan klikken en ondertekenen.
• OTP-code (eenmalig wachtwoord): een code voor eenmalig gebruik wordt per sms verzonden. De ondertekenaar vult hem in om te bewijzen dat hij over het bijbehorende telefoonnummer beschikt.
• Persoonlijk certificaat: voor de gekwalificeerde handtekening bewijst een certificaat van een gekwalificeerde dienstverlener de identiteit van de ondertekenaar.

Het vereiste niveau hangt af van het beoogde handtekeningniveau — zie de verschillen tussen de niveaus.

Stap 2: de cryptografische hash berekenen

Vóór de ondertekening berekent het platform een hash van het document. Het is een unieke reeks tekens die de inhoud van het bestand weergeeft. Elke wijziging, zelfs van één enkel teken, levert een volledig andere hash op.

De hash is als een digitale vingerafdruk van het bestand: hij is klein (enkele tientallen bytes) maar garandeert de integriteit. Als iemand het document na ondertekening wijzigt, komt de hash niet meer overeen: de handtekening is ongeldig.

Stap 3: identiteit en hash koppelen

Het platform versleutelt de hash met een cryptografische sleutel die gekoppeld is aan de identiteit van de ondertekenaar (via de PKI voor de QES, of via het platform voor de SES/AES). Het resultaat is het handtekeningtoken: een digitaal object dat tegelijk bevat:

• de hash van het document
• de identificatie van de ondertekenaar
• de precieze tijdstempel
• de cryptografische handtekening zelf

Dit token wordt in de uiteindelijke PDF ingebed volgens het formaat PAdES (PDF Advanced Electronic Signatures), een Europese standaard. Concreet: wanneer u een ondertekende PDF opent in Adobe Acrobat Reader, controleert de lezer automatisch het token en toont "Geldige handtekening" als alles overeenkomt.

Stap 4: een tijdstempel zetten

De tijdstempel koppelt de handtekening aan een nauwkeurig en verifieerbaar tijdstip. Een gekwalificeerde tijdstempel van een vertrouwensdienstverlener levert het juridische bewijs dat het document op die datum bestond — een doorslaggevend argument bij een geschil over de datum van de verbintenis.

Zie elektronische tijdstempel om de rol en de niveaus van tijdstempeling te begrijpen.

Stap 5: vastleggen in het audittraject

Bij elke stap van de handtekeningcyclus registreert het platform een gebeurtenis met tijdstempel:

• verzending van de envelop
• openen door de ondertekenaar (met IP en user-agent)
• invoeren van de OTP
• effectieve ondertekening
• eventuele weigering
• verval

Het geheel vormt het audittraject. Dit is het operationele bewijs van het proces. Het wordt opgenomen in de uiteindelijke PDF en 10 jaar bewaard. Zie bewijs van elektronische handtekening.

Wat er in de praktijk gebeurt aan de kant van de ondertekenaar

Vanuit het oogpunt van de ondertekenaar is de ervaring minimaal:

1. Hij ontvangt een e-mail met een link.
2. Hij klikt en opent het document in zijn browser.
3. Hij leest het en klikt vervolgens op "Ondertekenen".
4. Voor de AES: hij voert een sms-code in die hij op zijn telefoon heeft ontvangen.
5. Klaar. Hij ontvangt een kopie van de ondertekende PDF.

Geen account aan te maken, geen applicatie te installeren, geen certificaat te genereren (behalve voor de QES). Alles is binnen 1 tot 3 minuten klaar.

Wat er gebeurt aan de kant van de afzender

De afzender stuurt het proces aan vanaf zijn dashboard:

• uploaden van het document (PDF, automatische conversie vanuit Word)
• toevoegen van ontvangers en plaatsen van de handtekeningvelden
• keuze van het handtekeningniveau en de volgorde (parallel of opeenvolgend)
• instellen van automatische herinneringen en de vervaldatum
• verzenden

In realtime ziet hij elke envelop van "verzonden" naar "geopend" naar "ondertekend" gaan. Webhooks of pushmeldingen kunnen deze gebeurtenissen doorgeven aan een CRM of een HR-systeem.

Waarom een elektronische handtekening moeilijk te vervalsen is

• Cryptografische hash: elke wijziging maakt de handtekening ongeldig
• Sterke authenticatie: zonder toegang tot zowel de e-mail ALS de telefoon (voor de AES) is het onmogelijk zich voor te doen als de ondertekenaar
• Audittraject met tijdstempel: elke stap wordt getraceerd met IP en user-agent
• Cryptografische sleutels: de privésleutel van de ondertekenaar (QES) verlaat nooit zijn hardwareapparaat
• Archivering gedurende 10 jaar: het bewijs blijft lang na de ondertekening bruikbaar

Hoe Certyneo u helpt

Bij Certyneo draait de volledige cryptografische keten in de backend op Europese servers (Duitsland, IONOS): uploaden van de PDF, berekening van de SHA-256-hash, inbedding van het PAdES-token, tijdstempeling en bewaring van het audittraject in een versleutelde PostgreSQL-database. U krijgt een eIDAS-conform proces zonder de technische details te hoeven begrijpen.

Ontdek de Certyneo-oplossing voor elektronische handtekeningen

FAQ

Kan ik een handtekening verifiëren zonder het platform dat hem heeft uitgegeven?

Ja. Een in PAdES-formaat ondertekende PDF kan door elke compatibele PDF-lezer worden gecontroleerd (Adobe Reader, pdfsig en andere). Zelfs als het uitgevende platform verdwijnt, blijft de handtekening verifieerbaar.

Wat gebeurt er als ik de PDF na ondertekening wijzig?

De handtekening wordt ongeldig. De PDF-lezer toont de waarschuwing "Het document is gewijzigd sinds de ondertekening" en de hash komt niet meer overeen.

Hoe lang blijft een elektronische handtekening geldig?

De handtekening blijft geldig zolang de gebruikte cryptografische algoritmen dat zijn. Voor langdurige geldigheid worden PAdES-LTA-formaten (Long Term Archive) gebruikt, met gekwalificeerde tijdstempels die periodiek opnieuw worden gegenereerd.

Kunnen meerdere documenten in één keer worden ondertekend?

Ja. Een Certyneo-envelop kan meerdere documenten bevatten, die allemaal met één klik worden ondertekend. Elk document behoudt zijn eigen hash, maar het audittraject is gemeenschappelijk.

Onthult de hash de inhoud van het document?

Nee. Hashen is eenrichtingsverkeer: u kunt de hash uit het document berekenen, maar het document niet uit de hash herleiden. Dat is een van de fundamentele eigenschappen van cryptografische hashfuncties.

Conclusie

Een elektronische handtekening is een cryptografisch proces dat op verifieerbare wijze een ondertekenaar, een document, een datum en een toestemming aan elkaar koppelt. De ondertekenaar hoeft hier niets van te begrijpen — voor hem is het een klik en een sms-code. Voor u is het een solide, gearchiveerd en bruikbaar bewijs.

Probeer Certyneo om uw documenten eenvoudig, snel en veilig online te verzenden, te ondertekenen en op te volgen.