Jak działa podpis elektroniczny?

Zasada ogólna

Podpis elektroniczny nie jest obrazem. To procedura kryptograficzna, która łączy nierozłącznie cztery elementy: dokument, tożsamość podpisującego, moment podpisania oraz techniczny dowód, że nic nie zostało później zmodyfikowane.

Ta procedura opiera się na dwóch pilarach: uwierzytelnieniu podpisującego oraz integralności dokumentu.

Etap 1: uwierzytelnienie podpisującego

Uwierzytelnienie polega na ustanowieniu związku między osobą składającą podpis a możliwą do zweryfikowania tożsamością. Istnieje kilka technik, które można łączyć:

• Zaufany adres e-mail: wysyłany jest unikalny link. Tylko posiadacz tego adresu e-mail może kliknąć i podpisać.
• Kod OTP (One-Time Password): jednorazowy kod przesyłany jest SMS-em. Podpisujący wprowadza go, aby udowodnić, że posiada dany numer telefonu.
• Certyfikat osobisty: w przypadku podpisu kwalifikowanego, certyfikat wydany przez prestatora qualifié potwierdza tożsamość podpisującego.

Poziom wymagań zmienia się w zależności od poziomu podpisu — zobacz różnice między poziomami.

Etap 2: obliczenie odcisku kryptograficznego

Przed podpisaniem platforma oblicza odcisk (hash) dokumentu. Jest to unikalny ciąg znaków reprezentujący treść pliku. Każda modyfikacja, nawet jednego znaku, tworzy zupełnie inny odcisk.

Odcisk jest jak cyfrowy podpis pliku: jest niewielki (kilkadziesiąt bajtów), ale gwarantuje integralność. Jeśli ktoś zmodyfikuje dokument po podpisaniu, odcisk nie będzie się już zgadzał — podpis zostaje unieważniony.

Etap 3: powiązanie tożsamości z odciskiem

Platforma szyfruje odcisk za pomocą klucza kryptograficznego powiązanego z tożsamością podpisującego (za pośrednictwem PKI w przypadku QES, lub za pośrednictwem platformy w przypadku SES/AES). Rezultatem jest token podpisu: obiekt cyfrowy zawierający jednocześnie:

• odcisk dokumentu
• identyfikator podpisującego
• precyzyjny znacznik czasu
• sam podpis kryptograficzny

Ten token jest wbudowany w końcowy plik PDF w formacie PAdES (PDF Advanced Electronic Signatures), europejskim standardzie. Konkretnie, gdy otwierasz podpisany PDF w Adobe Acrobat Reader, czytnik automatycznie weryfikuje token i wyświetla "Podpis prawidłowy", jeśli wszystko się zgadza.

Etap 4: znakowanie czasem

Znakowanie czasem łączy podpis z precyzyjnym i weryfikowalnym momentem. Kwalifikowany znacznik czasu wydany przez zaufanego prestatora dostarcza prawnego dowodu, że dokument istniał już w tej dacie — decydujący argument w przypadku spornej daty zobowiązania.

Zobacz elektroniczne znakowanie czasem, aby zrozumieć rolę i poziomy znakowania czasem.

Etap 5: rejestracja w dzienniku audytowym

Na każdym etapie cyklu podpisywania platforma rejestruje zdarzenie ze znacznikiem czasu:

• wysłanie koperty
• otwarcie przez podpisującego (z adresem IP i user-agentem)
• wprowadzenie kodu OTP
• faktyczne podpisanie
• ewentualna odmowa
• wygaśnięcie

Całość stanowi dziennik audytowy (audit trail). To operacyjny dowód procesu. Jest on wbudowany w końcowy PDF i przechowywany przez 10 lat. Zobacz dowód podpisu elektronicznego.

Co dzieje się konkretnie po stronie podpisującego

Z punktu widzenia podpisującego doświadczenie jest minimalistyczne:

1. Otrzymuje e-mail z linkiem.
2. Klika i otwiera dokument w przeglądarce.
3. Czyta, a następnie klika "Podpisz".
4. W przypadku AES: wprowadza kod SMS otrzymany na telefon.
5. To wszystko. Otrzymuje kopię podpisanego PDF.

Nie trzeba tworzyć konta, nie trzeba instalować aplikacji, nie trzeba generować certyfikatu (z wyjątkiem QES). Wszystko trwa od 1 do 3 minut.

Co dzieje się po stronie wysyłającego

Wysyłający zarządza procesem z panelu kontrolnego:

• przesłanie dokumentu (PDF, automatyczna konwersja w przypadku Word)
• dodanie odbiorców i umieszczenie pól podpisu
• wybór poziomu podpisu oraz kolejności (równoległej lub sekwencyjnej)
• ustawienie automatycznych przypomnień i daty wygaśnięcia
• wysłanie

W czasie rzeczywistym widzi, jak każda koperta przechodzi ze statusu "wysłana" do "otwarta" i "podpisana". Webhooki lub powiadomienia push mogą przekazywać te zdarzenia do CRM lub systemu HR.

Dlaczego podpis elektroniczny jest trudny do sfałszowania

• Odcisk kryptograficzny: każda modyfikacja unieważnia podpis
• Silne uwierzytelnienie: bez dostępu do e-maila ORAZ telefonu (w przypadku AES) nie można podać się za podpisującego
• Dziennik audytowy ze znacznikiem czasu: każdy etap jest śledzony wraz z adresem IP i user-agentem
• Klucze kryptograficzne: prywatny klucz podpisującego (QES) nigdy nie opuszcza jego urządzenia sprzętowego
• Archiwizacja 10 lat: dowód pozostaje dostępny długo po podpisaniu

Jak Certyneo Ci pomaga

W Certyneo cały łańcuch kryptograficzny działa w backendzie na europejskich serwerach (Niemcy, IONOS): przesłanie PDF, obliczenie skrótu SHA-256, integracja tokena PAdES, znakowanie czasem, zapis dziennika audytowego w zaszyfrowanej bazie PostgreSQL. Korzystasz z procedury zgodnej z eIDAS bez konieczności rozumienia szczegółów technicznych.

Odkryj rozwiązanie podpisu elektronicznego Certyneo

FAQ

Czy mogę zweryfikować podpis bez platformy, która go wystawiła?

Tak. PDF podpisany w formacie PAdES jest weryfikowalny za pomocą każdego kompatybilnego czytnika PDF (Adobe Reader, pdfsig, itp.). Nawet jeśli platforma wystawiająca zniknie, podpis pozostaje weryfikowalny.

Co się dzieje, jeśli zmodyfikuję PDF po podpisaniu?

Podpis staje się nieprawidłowy. Czytnik PDF wyświetla ostrzeżenie "Dokument został zmodyfikowany od momentu podpisania", a odcisk nie zgadza się już.

Jaka jest trwałość podpisu elektronicznego?

Podpis pozostaje ważny tak długo, jak długo ważne są użyte algorytmy kryptograficzne. Aby zapewnić długoterminową ważność, stosuje się formaty PAdES-LTA (Long Term Archive), które integrują okresowo odnawiane kwalifikowane znaczniki czasu.

Czy można podpisać kilka dokumentów jednocześnie?

Tak. Koperta Certyneo może zawierać kilka dokumentów, które są podpisywane wszystkie jednym kliknięciem. Każdy dokument zachowuje swój własny odcisk, ale dziennik audytowy jest wspólny.

Czy odcisk ujawnia treść dokumentu?

Nie. Odcisk jest funkcją jednostronną: można obliczyć odcisk na podstawie dokumentu, ale nie można odtworzyć dokumentu na podstawie odcisku. To jedna z podstawowych właściwości funkcji skrótu kryptograficznego.

Podsumowanie

Podpis elektroniczny to procedura kryptograficzna, która w sposób weryfikowalny łączy podpisującego, dokument, datę i zgodę. Podpisujący nie musi rozumieć niczego z tego wszystkiego — dla niego to tylko kliknięcie i kod SMS. Dla Ciebie to solidny, zarchiwizowany i dostępny dowód.

Wypróbuj Certyneo, aby wysyłać, podpisywać i śledzić swoje dokumenty online w prosty, szybki i bezpieczny sposób.