Jak sprawdzić podpis elektroniczny przed wysłaniem lub akceptacją

Zanim uruchomisz weryfikację

Zachowaj otrzymany plik w oryginalnej postaci. Nie drukuj go do nowego PDF, nie kopiuj stron do innego dokumentu i nie zapisuj przez przypadkowy edytor. Taka operacja może utworzyć nowy plik, który nie zawiera pierwotnej struktury podpisu albo nie daje się z nią poprawnie powiązać.

Ustal też, czego oczekujesz. Inaczej sprawdza się podpis zaufany, inaczej podpis osobisty, a inaczej podpis oparty na certyfikacie kwalifikowanym. Skorzystaj z narzędzia wskazanego przez usługę, odbiorcę dokumentu lub dostawcę podpisu. Państwowa usługa „Podpisz dokument elektronicznie” umożliwia również sprawdzenie, czy plik został podpisany przez inną osobę.

Cztery elementy wyniku

Integralność dokumentu

Wynik powinien wskazać, czy podpis nadal odpowiada zawartości pliku. Jeżeli aplikacja zgłasza zmianę po podpisaniu albo nie potrafi potwierdzić integralności, nie traktuj dokumentu jako poprawnie zweryfikowanego. Poproś nadawcę o wyjaśnienie i — jeśli to potrzebne — o ponowne przekazanie oryginału.

Tożsamość podpisującego

Porównaj dane odczytane z podpisu lub certyfikatu z osobą, która miała podpisać dokument. Nie wystarczy nazwa pliku ani treść wiadomości e-mail. Jeżeli ktoś działa w imieniu organizacji, sama poprawność techniczna podpisu nie rozstrzyga zakresu jego umocowania; to osobna kwestia do sprawdzenia.

Status certyfikatu i chwila podpisania

Narzędzie walidujące może informować między innymi o ważności certyfikatu, jego statusie oraz danych dotyczących czasu. Czytaj cały raport, nie tylko kolor ikony. Wygaśnięcie certyfikatu w dniu dzisiejszym nie musi samo w sobie wyjaśniać statusu podpisu złożonego wcześniej; poprawna ocena zależy od danych dostępnych dla chwili podpisania i sposobu zabezpieczenia długoterminowej weryfikacji. Jeśli wynik jest niejednoznaczny, skorzystaj z dokumentacji narzędzia lub pomocy specjalisty.

Poziom i kwalifikacja usługi

Jeżeli wymagany był kwalifikowany podpis elektroniczny, sprawdź nie tylko nazwę wystawcy certyfikatu. Komisja Europejska wyjaśnia, że usługa ma status kwalifikowany, gdy figuruje jako taka na odpowiedniej krajowej liście zaufanej. Trusted List Browser pozwala wyszukiwać dostawców i usługi według typu, nazwy lub danych z podpisanego pliku. Trzeba zwrócić uwagę na tag i status konkretnej usługi, ponieważ jeden dostawca może świadczyć zarówno usługi kwalifikowane, jak i niekwalifikowane.

Kontrola dokumentu, który sam podpisujesz

Weryfikacja przydaje się także przed wysyłką. Otwórz finalny plik i sprawdź:

• czy treść jest kompletna i nie zawiera wersji roboczych;
• czy podpisano właściwy plik, a nie kopię o podobnej nazwie;
• czy widoczne dane podpisującego są prawidłowe;
• czy aplikacja zwraca poprawny wynik walidacji;
• czy format podpisu odpowiada instrukcji odbiorcy;
• czy załącznik rzeczywiście został podpisany, a nie tylko dołączony do podpisanej wiadomości;
• czy po podpisaniu nie wykonano operacji tworzącej zmienioną wersję dokumentu.

Dopiero potem wyślij plik wymaganym kanałem. Samo złożenie podpisu nie zawsze oznacza skuteczne dostarczenie dokumentu; wysyłka, złożenie formularza i uzyskanie potwierdzenia mogą stanowić osobne kroki procedury.

Co zachować

Zachowaj oryginalny podpisany plik, potwierdzenie przekazania oraz — jeśli znaczenie dokumentu to uzasadnia — raport z walidacji. Nadaj im nazwy pozwalające połączyć dokument z konkretną sprawą, ale nie zmieniaj samego podpisanego pliku. Ustal w organizacji miejsce przechowywania i zasady dostępu odpowiednie do poufności dokumentu.

Raport walidacyjny opisuje wynik kontroli w danym narzędziu i czasie; nie zastępuje dokumentu. Zrzut ekranu również nie jest substytutem oryginału. Gdy dokument ma być przechowywany przez wiele lat, warto ustalić wymagania archiwizacyjne i sposób utrzymania możliwości późniejszej weryfikacji.

Bezpieczeństwo podczas podpisywania i sprawdzania

Nie podawaj kodu PIN, hasła ani kodu jednorazowego osobie, która „pomaga podpisać”. Wchodź do usługi z zapisanego lub samodzielnie sprawdzonego adresu, zwłaszcza gdy link przyszedł w wiadomości wywołującej presję czasu. Nie przesyłaj poufnego dokumentu do przypadkowego internetowego walidatora. Najpierw sprawdź, kto prowadzi narzędzie, jakie pliki przyjmuje i co dzieje się z przesłanymi danymi.

Jeżeli wynik kontroli budzi wątpliwość, zatrzymaj proces. Poproś nadawcę o oryginalny plik lub wyjaśnienie, a wymagania formalne potwierdź u właściwego odbiorcy.

Wróć do mapy wyboru

Materiał ma charakter informacyjny. Technicznie poprawny wynik nie rozstrzyga samodzielnie wszystkich kwestii prawnych, w tym umocowania osoby i dopuszczalnej formy konkretnej czynności.