Як працює електронний підпис?

Загальний принцип

Електронний підпис — це не зображення. Це криптографічний метод, який нерозривно пов’язує чотири елементи: документ, особу підписанта, момент підписання та технічний доказ того, що згодом нічого не було змінено.

Цей метод спирається на два стовпи: автентифікацію підписанта та цілісність документа.

Крок 1: автентифікація підписанта

Автентифікація полягає у встановленні зв’язку між особою, яка ставить підпис, і перевіреною особистістю. Існує кілька технік, які можна поєднувати:

• Довірена електронна адреса: надсилається унікальне посилання. Лише власник цієї електронної адреси може перейти за ним і підписати.
• Код OTP (одноразовий пароль): одноразовий код надсилається по SMS. Підписант вводить його, щоб довести, що він володіє відповідним номером телефону.
• Персональний сертифікат: для кваліфікованого підпису сертифікат, виданий кваліфікованим постачальником, підтверджує особу підписанта.

Рівень вимог залежить від обраного рівня підпису — див. відмінності між рівнями.

Крок 2: обчислення криптографічного відбитка

Перед підписанням платформа обчислює відбиток (хеш) документа. Це унікальна послідовність символів, яка представляє вміст файлу. Будь-яка зміна, навіть одного символу, дає абсолютно інший відбиток.

Відбиток — це як цифровий підпис файлу: він невеликий (кілька десятків байтів), але гарантує цілісність. Якщо хтось змінить документ після підписання, відбиток більше не збігатиметься — підпис стає недійсним.

Крок 3: пов’язування особи та відбитка

Платформа шифрує відбиток за допомогою криптографічного ключа, пов’язаного з особою підписанта (через PKI для кваліфікованого підпису, або через платформу для простого/удосконаленого підпису). Результатом є токен підпису: цифровий об’єкт, який містить одночасно:

• відбиток документа
• ідентифікатор підписанта
• точний час підписання
• сам криптографічний підпис

Цей токен вбудовується в кінцевий PDF за форматом PAdES (PDF Advanced Electronic Signatures) — європейським стандартом. На практиці, коли ви відкриваєте підписаний PDF в Adobe Acrobat Reader, програма автоматично перевіряє токен і показує "Підпис дійсний", якщо все збігається.

Крок 4: проставлення часової відмітки

Часова відмітка пов’язує підпис з точним і перевірюваним моментом часу. Кваліфікована часова відмітка, видана довіреним постачальником, надає юридичний доказ того, що документ дійсно існував на цю дату — вирішальний аргумент у разі спору щодо дати зобов’язання.

Див. електронну часову відмітку, щоб зрозуміти роль і рівні часових відміток.

Крок 5: фіксація в журналі аудиту

На кожному етапі циклу підписання платформа реєструє подію з часовою відміткою:

• надсилання конверта
• відкриття підписантом (з IP-адресою та user-agent)
• введення OTP
• фактичне підписання
• можлива відмова
• закінчення терміну дії

Усе це разом утворює журнал аудиту (audit trail). Це операційний доказ процесу. Він вбудований у кінцевий PDF і зберігається протягом 10 років. Див. доказ електронного підпису.

Що відбувається практично з боку підписанта

З точки зору підписанта, досвід максимально простий:

1. Він отримує лист з посиланням.
2. Він натискає і відкриває документ у своєму браузері.
3. Він читає, потім натискає "Підписати".
4. Для удосконаленого підпису: він вводить код SMS, отриманий на телефон.
5. Готово. Він отримує копію підписаного PDF.

Не потрібно створювати обліковий запис, встановлювати додаток чи генерувати сертифікат (окрім кваліфікованого підпису). Все відбувається за 1–3 хвилини.

Що відбувається з боку відправника

Відправник керує процесом зі своєї панелі керування:

• завантаження документа (PDF, автоматична конвертація, якщо Word)
• додавання одержувачів і розміщення полів для підпису
• вибір рівня підпису та порядку (паралельного або послідовного)
• налаштування автоматичних нагадувань і дати закінчення терміну дії
• надсилання

У реальному часі він бачить, як кожен конверт переходить зі стану "надіслано" у "відкрито" та "підписано". Вебхуки або push-сповіщення можуть передавати ці події в CRM або HR-систему.

Чому електронний підпис важко підробити

• Криптографічний відбиток: будь-яка зміна робить підпис недійсним
• Надійна автентифікація: без доступу до електронної пошти ТА телефону (для удосконаленого підпису) видати себе за підписанта неможливо
• Журнал аудиту з часовими відмітками: кожен етап фіксується з IP-адресою та user-agent
• Криптографічні ключі: приватний ключ підписанта (кваліфікований підпис) ніколи не залишає його апаратний пристрій
• Архівування протягом 10 років: доказ залишається доступним ще довго після підписання

Як Certyneo вам допомагає

У Certyneo весь криптографічний конвеєр працює на бекенді на європейських серверах (Німеччина, IONOS): завантаження PDF, обчислення хешу SHA-256, вбудовування токена PAdES, проставлення часової відмітки, збереження журналу аудиту в зашифрованій базі даних PostgreSQL. Ви отримуєте процес, що відповідає стандарту eIDAS, без необхідності розбиратися в технічних деталях.

Дізнатися про рішення для електронного підпису Certyneo

Часті запитання

Чи можу я перевірити підпис без платформи, яка його видала?

Так. PDF, підписаний у форматі PAdES, можна перевірити будь-яким сумісним PDF-рідером (Adobe Reader, pdfsig тощо). Навіть якщо платформа-видавець зникне, підпис залишається перевірюваним.

Що станеться, якщо я зміню PDF після підписання?

Підпис стане недійсним. PDF-рідер покаже попередження "Документ було змінено після підписання", а відбиток більше не збігатиметься.

Який термін дії електронного підпису?

Підпис залишається дійсним, поки використовувані криптографічні алгоритми залишаються надійними. Для забезпечення довгострокової дійсності використовуються формати PAdES-LTA (Long Term Archive), які включають періодично оновлювані кваліфіковані часові відмітки.

Чи можна підписати кілька документів одночасно?

Так. Конверт Certyneo може містити кілька документів, які всі підписуються одним кліком. Кожен документ зберігає свій власний відбиток, але журнал аудиту спільний.

Чи розкриває відбиток вміст документа?

Ні. Відбиток — це одностороння функція: можна обчислити відбиток на основі документа, але неможливо відновити документ з відбитка. Це одна з фундаментальних властивостей криптографічних хеш-функцій.

Висновок

Електронний підпис — це криптографічний метод, який перевірюваним чином пов’язує підписанта, документ, дату та згоду. Підписанту не потрібно нічого розуміти з усього цього — для нього це лише клік і код SMS. Для вас це надійний, архівований і доступний для використання доказ.

Спробуйте Certyneo, щоб надсилати, підписувати та відстежувати ваші документи онлайн просто, швидко та безпечно.