Weryfikacja podpisu elektronicznego pod PDF

Podpisy PAdES (osadzone w PDF) — zarówno kwalifikowane wystawione przez polskich dostawców (KIR SZAFIR, Certum, EuroCert, Sigillum, CenCert), jak i Podpis Zaufany wystawiony przez gov.pl. Rozpoznajemy również podpis z aplikacji mObywatel. Nie obsługujemy podpisów standalone: XAdES (XML), CAdES (.p7s), ASiC.

Nie. Plik trafia na serwer wyłącznie na czas weryfikacji (kilka sekund) i jest kasowany natychmiast po analizie. W bazie zapisujemy tylko anonimowy licznik użycia narzędzia (zanonimizowany IP, bez treści pliku, bez nazwy).

Nie. To weryfikacja techniczna, nie formalna. Sprawdzamy integralność dokumentu, tożsamość podpisującego z certyfikatu i rozpoznajemy polskiego wystawcę. Nie sprawdzamy statusu unieważnienia certyfikatu (OCSP/CRL) ani znaczników czasu z kwalifikowanych TSA. Dla większości zastosowań biznesowych wynik jest wystarczający. Do postępowań procesowych skorzystaj z kwalifikowanego usługodawcy walidacji zgodnie z art. 33 rozporządzenia eIDAS.

Certyfikat pochodzi od CA, którego nie mamy jeszcze na liście rozpoznawanych polskich dostawców. Może to być zagraniczny QTSP (np. z Niemiec, Austrii) lub CA niekwalifikowany. Sam podpis może być prawidłowy — po prostu nie klasyfikujemy go automatycznie jako „polski kwalifikowany".

Że plik został zmodyfikowany po podpisaniu — jego treść nie jest już zgodna z tym, co objął podpis. Może to być efekt otwarcia i zapisania PDF-a w edytorze, doklejenia strony, adnotacji. Sam podpis kryptograficznie jest prawidłowy, ale odnosi się do innej treści niż aktualnie widoczna.

Wielu użytkowników myli podpis elektroniczny z obrazkiem podpisu (skan podpisu odręcznego wklejony do PDF). Nasz weryfikator wykrywa tylko podpisy kryptograficzne — te, które można zweryfikować matematycznie. Obrazek podpisu nie ma żadnej wartości weryfikacyjnej — każdy może go skopiować.

Tak — sprawdzimy integralność i wyciągniemy dane z certyfikatu. Wystawcę oznaczymy jako „nieznany" (nie polski QTSP), ale zobaczysz nazwisko, datę i to, czy dokument nie był modyfikowany. Na potrzeby biznesowe to zwykle wystarcza.