Weryfikacja podpisu elektronicznego: jak sprawdzić i ocenić jego ważność

Weryfikacja podpisu elektronicznego to proces, w którym odbiorca dokumentu upewnia się, że podpis pochodzi od wskazanej osoby i że treść pliku nie uległa zmianie po jego złożeniu. W praktyce sprowadza się to do trzech pytań: czy certyfikat był ważny w chwili podpisywania, czy pochodzi od zaufanego dostawcy usług zaufania oraz czy skrót kryptograficzny dokumentu zgadza się z aktualną zawartością pliku. Poniższy przewodnik wyjaśnia, jak przeprowadzić tę weryfikację niezależnie od rodzaju podpisu – prostego, zaawansowanego lub kwalifikowanego – i jakie narzędzia są do tego dostępne w Polsce.

Rodzaje podpisów elektronicznych a zakres weryfikacji

Polskie i unijne przepisy rozróżniają trzy poziomy podpisu elektronicznego, a każdy z nich wymaga nieco innego podejścia przy weryfikacji. Więcej o tych różnicach można przeczytać w artykule o rodzajach podpisów elektronicznych i ich mocy prawnej.

Podpis prosty

Podpis prosty (ang. simple electronic signature, SES) to najlżejsza forma – może nim być odręcznie napisane imię wklejone do e-maila albo pole wyboru w formularzu online. Weryfikacja ogranicza się zazwyczaj do analizy metadanych: adresu IP, znacznika czasu serwera oraz dzienników systemu. Nie istnieje tu kryptograficzny certyfikat do sprawdzenia, dlatego dowodowe znaczenie takiego podpisu jest uzależnione od kontekstu i innych środków uwierzytelniania.

Podpis zaawansowany

Podpis zaawansowany (ang. advanced electronic signature, AdES) jest powiązany z konkretną osobą za pomocą pary kluczy kryptograficznych. Przy weryfikacji należy:

• sprawdzić, czy certyfikat podpisującego był ważny w momencie złożenia podpisu,
• ustalić, czy certyfikat nie został wycofany przed podpisaniem (lista CRL lub odpowiedź OCSP),
• potwierdzić integralność dokumentu przez porównanie skrótu.

Podpis kwalifikowany

Podpis kwalifikowany (ang. qualified electronic signature, QES) jest wystawiany przez kwalifikowanego dostawcę usług zaufania wpisanego na krajową listę zaufania. W Polsce listę tę prowadzi Narodowe Centrum Certyfikacji (NCCert). Weryfikacja podpisu kwalifikowanego jest jednoznaczna: oprogramowanie do weryfikacji pobiera informacje o statusie certyfikatu z rejestru i informuje użytkownika, czy podpis jest ważny, nieważny albo niemożliwy do ustalenia. Szczegółowe warunki uzyskania takiego podpisu opisuje artykuł o podpisie kwalifikowanym i jego zastosowaniach.

Jak sprawdzić podpis elektroniczny w dokumencie – przegląd metod

Weryfikacja w programie Adobe Acrobat Reader

Najbardziej rozpowszechnionym formatem dokumentów podpisywanych elektronicznie jest PDF z wbudowanym podpisem zgodnym ze standardem PAdES. Po otwarciu pliku w Adobe Acrobat Reader na pasku narzędzi pojawia się panel podpisów. Kliknięcie wybranego podpisu otwiera okno ze szczegółami certyfikatu, znacznikiem czasu oraz informacją o integralności dokumentu.

Należy zwrócić uwagę na dwie różne sytuacje:

• Certyfikat ważny, dokument niezmieniony – komunikat „Podpis jest ważny" lub podobny.
• Certyfikat wygasły lub odwołany – komunikat ostrzegawczy; sam w sobie nie oznacza oszustwa, lecz wymaga dalszej analizy (np. czy znacznik czasu potwierdza złożenie podpisu przed wygaśnięciem certyfikatu).

Weryfikacja przez narzędzia walidacyjne DSS i krajowe

Komisja Europejska udostępnia narzędzie DSS Demonstration (ang. Digital Signature Service), które obsługuje formaty XAdES, CAdES i PAdES oraz weryfikuje podpisy według list zaufania wszystkich państw członkowskich UE. Po wgraniu pliku lub jego sygnatury narzędzie zwraca raport z informacją o poziomie podpisu, statusie certyfikatu i ewentualnych brakach.

W Polsce podmioty administracji publicznej oraz dostawcy usług zaufania często oferują własne portale walidacyjne, które integrują się z rejestrem NCCert i umożliwiają weryfikację bez instalowania dodatkowego oprogramowania.

Weryfikacja plików XML i innych formatów

Dokumenty podpisywane w formacie XAdES (np. e-faktury, dokumenty przesyłane przez platformy elektroniczne) wymagają narzędzi obsługujących XML. Zarówno biblioteki open-source, jak i komercyjne rozwiązania pozwalają walidować taki podpis programistycznie lub przez interfejs webowy. Warto pamiętać, że podpis może być „otaczający" (enveloping), „otoczony" (enveloped) lub „odłączony" (detached) – w ostatnim przypadku plik z podpisem i plik z dokumentem muszą być weryfikowane łącznie.

Co sprawdzić poza techniczną poprawnością podpisu

Pozytywny wynik technicznej weryfikacji nie zastępuje oceny prawnej dokumentu. Odbiorca powinien dodatkowo ustalić:

Tożsamość i uprawnienia podpisującego

Certyfikat potwierdza tożsamość podpisującego, ale nie jego uprawnienia do działania w imieniu danej organizacji. Jeśli umowę podpisał pracownik spółki, należy sprawdzić, czy dysponował pełnomocnictwem lub wynikającym z rejestru prawem reprezentacji.

Zgodność formy z wymogami prawnymi

Niektóre czynności prawne wymagają określonej formy. Przykładowo, kwalifikowany podpis elektroniczny jest równoważny własnoręcznemu podpisowi, co wynika wprost z przepisów unijnych. Podpis zaawansowany może być wystarczający w wielu relacjach biznesowych, lecz nie zawsze zastępuje formę pisemną wymaganą przez Kodeks cywilny. Przed przyjęciem dokumentu warto ocenić, czy użyty rodzaj podpisu odpowiada wymogom danej czynności. Różnice między poszczególnymi rodzajami podpisów szczegółowo wyjaśnia artykuł o podpisie zaufanym i jego różnicach względem innych form.

Znacznik czasu i jego rola

Znacznik czasu (ang. timestamp) wydany przez kwalifikowany urząd znacznika czasu kryptograficznie wiąże dokument z konkretną chwilą. Jest to istotne w przypadku długoterminowego przechowywania dokumentów: jeśli certyfikat podpisującego wygaśnie lub zostanie odwołany po złożeniu podpisu, ale znacznik czasu potwierdza wcześniejszą chwilę, podpis nadal może być uznany za ważny. Brak znacznika czasu może skutkować wątpliwościami co do momentu złożenia podpisu, zwłaszcza gdy dokument będzie weryfikowany po wielu latach.

Najczęstsze problemy przy weryfikacji i jak je rozwiązać

Komunikat „certyfikat niezaufany"

Taki komunikat pojawia się, gdy magazyn certyfikatów zaufanych w systemie lub aplikacji nie zawiera certyfikatu głównego wystawcy. Rozwiązaniem jest ręczne dodanie certyfikatu dostawcy z listy zaufania UE lub aktualizacja oprogramowania do najnowszej wersji, która automatycznie pobiera listy zaufania.

Dokument „zmodyfikowany po podpisaniu"

Jeśli skrót dokumentu nie zgadza się z aktualną zawartością, weryfikator zwróci błąd integralności. Przyczyną może być rzeczywista modyfikacja, ale też pewne operacje techniczne wykonane na pliku PDF (np. optymalizacja przez drukarkę wirtualną). W takim przypadku należy zwrócić się do nadawcy z prośbą o przesłanie oryginalnego pliku.

Brak odpowiedzi OCSP lub listy CRL

Weryfikacja statusu odwołania certyfikatu wymaga połączenia z Internetem. W środowiskach offline lub przy restrykcyjnych ustawieniach firewalla weryfikator może nie uzyskać odpowiedzi od serwera OCSP. W takiej sytuacji zaleca się użycie zbuforowanej listy CRL lub przeniesienie weryfikacji do środowiska z dostępem do sieci.

Dzięki platformom, takim jak usługi podpisu elektronicznego dostępne na Certyneo, weryfikacja i podpisywanie dokumentów odbywają się w jednym miejscu, co redukuje ryzyko błędów proceduralnych.

Ramy prawne

Weryfikacja podpisu elektronicznego nie jest czynnością czysto techniczną – jej wynik przekłada się na skutki prawne dokumentu. Poniżej przedstawiono najważniejsze akty prawne regulujące tę sferę w Polsce.

Rozporządzenie eIDAS (UE) nr 910/2014

Rozporządzenie eIDAS ustanawia jednolite zasady dotyczące usług zaufania na terenie całej Unii Europejskiej. Określa wymogi dla kwalifikowanych dostawców usług zaufania, definiuje trzy poziomy podpisu elektronicznego oraz przesądza, że kwalifikowany podpis elektroniczny ma skutek prawny równoważny podpisowi własnoręcznemu. Rozporządzenie jest bezpośrednio stosowane w Polsce bez konieczności implementacji, co oznacza, że każdy sąd i organ administracji jest zobowiązany je uwzględniać.

Ustawa o usługach zaufania oraz identyfikacji elektronicznej z 5 września 2016 r.

Ustawa ta stanowi krajowe uzupełnienie eIDAS: wyznacza organ nadzoru (ministra właściwego do spraw informatyzacji), reguluje prowadzenie krajowej listy zaufania przez NCCert oraz określa obowiązki kwalifikowanych dostawców usług zaufania działających w Polsce. Dla weryfikującego dokument ma to znaczenie praktyczne – lista zaufania NCCert jest punktem odniesienia przy ocenie, czy certyfikat pochodzi od podmiotu uprawnionego do wystawiania kwalifikowanych podpisów.

Kodeks cywilny – art. 78 i art. 78¹

Artykuł 78 Kodeksu cywilnego definiuje formę pisemną oświadczenia woli jako wymagającą własnoręcznego podpisu. Artykuł 78¹ wprowadza formę elektroniczną: oświadczenie woli złożone w formie elektronicznej jest równoważne formie pisemnej, jeżeli zostało opatrzone kwalifikowanym podpisem elektronicznym. Skutki tej regulacji dla weryfikacji są jasne: gdy kontrakt wymaga formy pisemnej pod rygorem nieważności, wystarczający jest wyłącznie kwalifikowany podpis elektroniczny – podpis prosty lub zaawansowany nie spełnia tego warunku.

Kodeks pracy w zakresie dokumentacji pracowniczej

Przepisy Kodeksu pracy dotyczące dokumentacji pracowniczej dopuszczają prowadzenie akt pracowniczych w postaci elektronicznej. Dokumenty tworzące e-akta muszą być podpisane kwalifikowanym podpisem elektronicznym lub opatrzone kwalifikowaną pieczęcią elektroniczną, co nakłada na pracodawcę obowiązek weryfikacji każdego dokumentu przyjmowanego do elektronicznej teczki pracownika. Brak weryfikacji może podważyć kompletność i wiarygodność akt.

RODO i ustawa o ochronie danych osobowych

Certyfikat podpisu kwalifikowanego zawiera dane osobowe podpisującego. Ich przetwarzanie przez odbiorcę dokumentu musi być zgodne z ogólnym rozporządzeniem o ochronie danych (RODO) oraz krajową ustawą o ochronie danych osobowych. W praktyce oznacza to konieczność posiadania podstawy prawnej przetwarzania tych danych i zapewnienia odpowiednich środków bezpieczeństwa przy przechowywaniu dokumentów zawierających podpisy.

Przykłady zastosowań

Dział prawny przedsiębiorstwa – weryfikacja umów handlowych

Dział prawny średniej firmy handlowej regularnie otrzymuje wielostronicowe umowy podpisane przez kontrahentów za pomocą kwalifikowanego podpisu elektronicznego. Przed skierowaniem umowy do archiwum prawnik przeprowadza dwuetapową weryfikację: najpierw sprawdza ważność certyfikatu w portalu walidacyjnym, następnie porównuje dane podpisującego z wpisem w rejestrze przedsiębiorców, aby upewnić się, że osoba ta była uprawniona do reprezentacji. Takie postępowanie eliminuje ryzyko uznania umowy za zawartą przez osobę nieuprawnioną, co mogłoby skutkować jej nieważnością.

Dział kadr – elektroniczne akta pracownicze

Firma z branży usługowej zdecydowała się prowadzić akta pracownicze wyłącznie w postaci elektronicznej. Każdy nowy dokument – od umowy o pracę po aneksy i porozumienia rozwiązujące – jest skanowany lub tworzony natywnie w PDF, a następnie podpisywany kwalifikowanym podpisem elektronicznym przez upoważnionego przedstawiciela pracodawcy. Przed wpisaniem do e-teczki specjalista HR weryfikuje każdy dokument narzędziem walidacyjnym: sprawdza integralność pliku, ważność certyfikatu i obecność kwalifikowanego znacznika czasu. Dopiero po uzyskaniu pozytywnego raportu dokument jest archiwizowany, co zapewnia zgodność z wymogami Kodeksu pracy.

Kancelaria notarialna – weryfikacja pełnomocnictw elektronicznych

Kancelaria obsługuje klientów, którzy przesyłają pełnomocnictwa w formie elektronicznej. Ze względu na to, że część czynności notarialnych wymaga ściśle określonej formy, notariusz każdorazowo weryfikuje, czy pełnomocnictwo zostało podpisane kwalifikowanym podpisem elektronicznym, czy certyfikat był ważny w chwili podpisania oraz czy dane podpisującego są spójne z dokumentem tożsamości. W razie wątpliwości co do statusu certyfikatu kancelaria kontaktuje się bezpośrednio z wystawcą certyfikatu lub zwraca klientowi dokument z prośbą o ponowne podpisanie.

Najczęściej zadawane pytania

Czy weryfikacja podpisu elektronicznego jest obowiązkowa?

Przepisy prawa nie nakładają ogólnego obowiązku weryfikacji każdego podpisu przez odbiorcę, jednak w wielu sytuacjach brak weryfikacji rodzi ryzyko prawne. Jeśli przyjmujemy dokument, który wywołuje skutki prawne – umowę, pełnomocnictwo, fakturę – i nie sprawdzimy podpisu, możemy nieświadomie zaakceptować dokument sfałszowany lub podpisany przez osobę nieuprawnioną. Weryfikacja leży zatem w dobrze pojętym interesie odbiorcy.

Jak długo jest ważny podpis kwalifikowany po wygaśnięciu certyfikatu?

Ważność podpisu kwalifikowanego po upływie okresu ważności certyfikatu zależy przede wszystkim od tego, czy w chwili podpisywania dokument był opatrzony kwalifikowanym znacznikiem czasu. Jeśli znacznik czasu potwierdza złożenie podpisu przed wygaśnięciem lub odwołaniem certyfikatu, podpis nadal może być uznany za ważny – certyfikat „wygasł" po fakcie, a nie w chwili podpisywania. Brak znacznika czasu znacząco komplikuje późniejszą weryfikację.

Czy podpis zaufany (profil zaufany) wystarczy do podpisania umowy cywilnoprawnej?

Podpis zaufany funkcjonuje na podstawie krajowych przepisów i służy przede wszystkim do kontaktów z administracją publiczną. W relacjach między podmiotami prywatnymi jego akceptacja zależy od woli stron. Podpis zaufany nie jest podpisem kwalifikowanym w rozumieniu eIDAS, więc nie spełnia automatycznie wymogu formy elektronicznej z art. 78¹ Kodeksu cywilnego. Strony mogą jednak umownie przyjąć niższy poziom podpisu, o ile prawo nie wymaga formy pisemnej pod rygorem nieważności.

Co zrobić, gdy weryfikator zgłasza błąd integralności dokumentu?

Błąd integralności oznacza, że zawartość pliku różni się od treści, jaka istniała w chwili podpisywania. Należy natychmiast skontaktować się z nadawcą i poprosić o przesłanie oryginalnego, niemodyfikowanego pliku. Nie należy opierać żadnych decyzji prawnych ani biznesowych na dokumencie, którego integralność budzi wątpliwości. Jeśli nadawca twierdzi, że plik nie był modyfikowany, pomocne może być techniczne wyjaśnienie, czy plik przeszedł przez jakieś narzędzie optymalizujące PDF.

Czy można zweryfikować podpis elektroniczny bez połączenia z Internetem?

Pełna weryfikacja – obejmująca sprawdzenie aktualnego statusu odwołania certyfikatu przez OCSP – wymaga dostępu do sieci. W trybie offline możliwe jest sprawdzenie integralności dokumentu i ważności certyfikatu na podstawie wcześniej pobranej listy CRL, jednak taka weryfikacja jest mniej aktualna. W środowiskach o ograniczonym dostępie do sieci zaleca się zaplanowanie weryfikacji w momencie dostępności połączenia lub skorzystanie z dedykowanego systemu obsługującego zbuforowane listy odwołań.

Podsumowanie

Weryfikacja podpisu elektronicznego łączy technikę z prawem: sam wynik kryptograficzny musi być interpretowany w kontekście rodzaju podpisu, wymogów formalnych danej czynności oraz uprawnień podpisującego. W codziennej praktyce – zarówno w relacjach B2B, jak i w kontaktach z administracją – warto wdrożyć stały proces weryfikacji obejmujący sprawdzenie ważności certyfikatu, integralności dokumentu i kwalifikowanego znacznika czasu. Takie podejście minimalizuje ryzyko prawne i ułatwia ewentualne postępowanie dowodowe.

Jeśli poszukujesz rozwiązania, które pozwoli w prosty sposób podpisywać dokumenty i zarządzać ich obiegiem, możesz założyć bezpłatne konto na Certyneo i samodzielnie przetestować dostępne funkcjonalności. W razie pytań dotyczących wdrożenia w organizacji pozostaje do dyspozycji dział sprzedaży Certyneo.