Jak zweryfikować podpis elektroniczny krok po kroku
Weryfikacja zaczyna się przed przesłaniem pliku do narzędzia. Ustal źródło dokumentu, zachowaj oryginał i sprawdź, czy podpis jest osadzony, czy ma postać oddzielnego pliku. Jeśli brakuje danych wejściowych, program może pokazać błąd, który nie mówi nic o zamiarze podpisującego.
Krok 1. Zabezpiecz otrzymany zestaw
Zapisz plik dokładnie w otrzymanej postaci. Nie używaj „drukuj do PDF”, nie kopiuj treści do edytora i nie uruchamiaj automatycznej optymalizacji. Zachowaj wiadomość lub kanał przekazania oraz wszystkie załączniki. Obliczenie sumy kontrolnej może pomóc wykazać, że później analizujesz ten sam plik.
Jeśli podpis jest zewnętrzny, zachowaj dokument i plik podpisu razem. Nazwy rozszerzeń mogą podpowiadać format, ale nie są wystarczającą walidacją. Nie otwieraj nieznanego aktywnego załącznika na produkcyjnym stanowisku tylko po to, aby zobaczyć ikonę podpisu.
Krok 2. Wybierz właściwe, aktualne narzędzie
Skorzystaj z usługi odbiorcy, narzędzia dostawcy lub rozwiązania opartego na aktualnych standardach i zaufanych listach. Gov.pl udostępnia usługę do podpisania oraz sprawdzenia obsługiwanych dokumentów. Dla wdrożeń organizacyjnych potrzebne może być rozwiązanie obsługujące wiele formatów, polityki walidacji i historię list.
Nie wysyłaj poufnego dokumentu do przypadkowej strony „sprawdź podpis”. Walidacja w chmurze oznacza przekazanie danych operatorowi. Przed użyciem ustal zasady prywatności, role, lokalizację i retencję albo wybierz zatwierdzone narzędzie lokalne.
Krok 3. Sprawdź integralność i zakres
Raport powinien wskazać, które dane objęto podpisem i czy zmieniły się po jego utworzeniu. W PDF możliwe są przyrostowe zmiany; walidator powinien wyjaśnić, czy wystąpiły i czy polityka je dopuszcza. Sam fakt, że dokument nadal wygląda tak samo, nie dowodzi integralności.
Ustal również, czy podpis obejmuje wszystkie potrzebne załączniki. Podpisanie pisma głównego nie zawsze obejmuje osobne pliki znajdujące się w tej samej wiadomości. Kontener może natomiast zawierać kilka dokumentów — raport powinien pozwolić zidentyfikować zakres.
Krok 4. Odczytaj osobę i certyfikat
Porównaj dane sygnatariusza z oczekiwaną osobą. Sprawdź wystawcę certyfikatu, okres ważności, zastosowanie klucza i identyfikatory. Jeśli certyfikat używa pseudonimu, raport powinien to odpowiednio wskazywać. Nie kopiuj numerów osobowych do publicznej notatki.
Poprawna matematycznie sygnatura może być oparta na certyfikacie, któremu narzędzie nie ufa albo którego statusu nie umie ustalić. Rozdziel wynik kryptograficzny od oceny zaufania i kwalifikowanego statusu.
Krok 5. Zbadaj czas i status
Data wyświetlana w podpisie może pochodzić z zegara urządzenia, a kwalifikowany znacznik czasu jest odrębną usługą zaufania. Raport powinien wyjaśnić źródło i wiarygodność czasu. Nie nazywaj każdej daty „znacznikiem czasu”.
Sprawdzenie unieważnienia certyfikatu i statusu usługi musi odnosić się do właściwego momentu oraz dostępnych dowodów. Certyfikat może być dziś wygasły, choć podpis został złożony w okresie jego ważności. Ocena długoterminowa wymaga zachowanych danych walidacyjnych, a nie prostego porównania z dzisiejszą datą.
Krok 6. Potwierdź kwalifikowany status w zaufanej liście
Jeżeli oczekujesz podpisu kwalifikowanego, raport powinien oceniać nie tylko certyfikat, lecz także kwalifikowany status właściwej usługi i okres. Użyj zaufanej listy kraju oraz List of Trusted Lists UE albo oprogramowania, które poprawnie je przetwarza. W Polsce źródłem jest Polska Zaufana Lista publikowana przez Narodowe Centrum Certyfikacji.
Nazwa dostawcy na liście może różnić się od marki handlowej. Porównuj identyfikatory usługi i certyfikat, a nie samo logo. Historia statusu ma znaczenie przy podpisach archiwalnych.
Krok 7. Policz podpisy i sprawdź reprezentację
Dokument może wymagać dwóch podpisów, a raport pokazywać tylko jeden wynik na pierwszym ekranie. Rozwiń listę wszystkich podpisów i sprawdź każdy osobno. Ustal, czy podpisy obejmują tę samą wersję oraz czy kolejny nie wprowadził zmian naruszających poprzedni.
Następnie sprawdź umocowanie w odpowiednim rejestrze, pełnomocnictwie lub dokumentacji sprawy. Walidator nie wie automatycznie, czy członek zarządu mógł działać samodzielnie ani czy pełnomocnictwo obejmowało daną czynność.
Krok 8. Zapisz raport bez nadinterpretacji
Zachowaj pełny raport, wersję narzędzia, czas kontroli i źródła zaufania. W notatce oddziel: integralność, identyfikację, status certyfikatu, kwalifikowany status, czas, liczbę podpisów i wynik kontroli umocowania. Nie sprowadzaj ich do jednego słowa „ważny”.
Jeżeli raport jest nieokreślony lub sprzeczny, nie obniżaj poziomu walidacji i nie dodawaj przypadkowego certyfikatu do magazynu zaufanych. Użyj drugiego zatwierdzonego narzędzia, sprawdź format i skontaktuj się z nadawcą lub specjalistą. Przy czynności o dużych skutkach potrzebna może być ocena prawna.