Sectigo 網誌
甚麼是合格電子簽名（QES）？
合格電子簽名（QES）是歐盟eIDAS法規訂明的安全性最高、具備最強法律約束力的電子簽名形式。與簡單電子簽名、高級電子簽名不同，QES要求完成嚴格的身份核驗、使用合格證書並由可信服務提供商提供支援，其法律效力等同於手寫簽名。QES廣泛應用於金融、醫療、政務及其他對合規性與可信度有強制要求的受監管行業。
電子簽名為在文件上綁定簽署方身份提供了高效流程。電子簽名常被簡稱為e-signature，是指與表明個人簽署意願的記錄明確關聯的電子數據載體。
現時有多種簽名類產品聲稱可為個人和機構提供安全保障，但鮮有類型能達到合格電子簽名（QES）所具備的法律確定性與可靠性。
歐盟委員會將QES定義為一種高級電子簽名，其「由合格的簽名生成設備建立」，且「基於電子簽名合格證書生成」。
這一規則與歐盟的eIDAS——即《電子身份識別與信任服務條例》——密切相關。eIDAS保障歐盟公民和企業在其他成員國境內，可使用本國的電子身份體系存取線上公共服務。該法規歷經多次修訂，覆蓋範圍不斷擴展，以實現跨境場景下的統一保護標準。
現行規則體系的核心是「合格」標識，該標識表明對應的電子簽名符合歐盟制定的嚴格法律標準，在所有實際應用場景中具備與手寫簽名同等的效力。
電子簽名的類型
QES只是歐盟eIDAS法規中訂明的三類電子簽名主要類型中的一種，其餘兩類電子簽名包括：
簡單電子簽名（SES）。簡單電子簽名的身份核驗要求較低，提供了便捷的簽署方案，尤其適用於優先追求使用便利性的場景。儘管這類簽名仍可能具備法律約束力，但從安全或合規角度來看，其適用性通常較差。
高級電子簽名（AES）。高級電子簽名的信任等級高於SES，要求簽名人（即提供電子簽名的主體）與簽名本身之間建立更強的關聯。此類簽名可由證書頒發機構（CA）認證，並透過提供審計追蹤的交付服務傳輸。
合格電子簽名（QES）是高級電子簽名的擴展形式，具備更高的安全性且符合eIDAS的額外要求；它依賴基於公鑰基礎設施（PKI）的數碼證書，且必須通過合格信任服務提供商（QTSP）完成正式的身份核驗流程。
合格電子簽名的特性與優勢
在各類電子簽名方案中，合格電子簽名可提供最高等級的安全性與法律確定性，核心優勢包括：
歐盟認可的發行資質. 並非所有信任服務提供商都能獲得「合格」資質。要取得合格資質，提供商必須通過嚴格審計，證明其符合嚴苛的法律義務要求。歐盟各成員國負責建立本國的QTSP可信列表，歐盟委員會則負責彙總編製《可信列表總錄》。只有由納入可信列表的QTSP創建的電子簽名，才可被認定為QES。簡言之：QES的有效性取決於獲得官方認可的提供商，此類提供商可提供更高的合規性保障及跨境信任效力。
由合格證書提供支撐. QES由合格數碼證書提供支撐，此類證書僅在完成嚴格的身份核驗流程後才會簽發。QES依賴合格簽名生成設備（QSCD），這類設備可包括USB令牌或智能卡。企業也可申請合格電子印章，用於確認文檔來源與完整性，但無需關聯個人身份。
嚴格的身份核驗. 申請QES時，嚴格的身份核驗通常包含面核環節，不過也可採用安全的視頻核驗方式，尤其適用於需要遠程完成核驗的場景。部分場景下允許公民使用政府簽發的數碼ID完成身份核驗。
嚴格符合eIDAS要求. 受eIDAS下獨有嚴苛要求的約束，QES具備相當高的法律效力。這些要求不僅涵蓋身份核驗，還包括必須由經批准的QTSP簽發、使用經認可的QSCD。再加上經認證機構開展的審計及詳細的記錄留存，整套流程本身具備嚴格的約束性，可保障信任、可追溯性與監管合規性。
如何獲取QES
QES的申請流程看似複雜，但其額外設置的環節至關重要——這些環節正是QES獨有優勢的來源。請遵循以下步驟獲取QES，以發揮其各項優勢：強身份核驗、法律保障與跨境認可。
提交QES申請
QES流程的第一步是選擇QTSP，例如Sectigo就是一家經認可的QTSP。可查閱歐盟可信列表核實服務商的認可資質，這類列表在歐盟委員會官網即可便捷查詢。選擇具備正規合格資質的TSP固然重要，但也需確保所選服務商能讓你順暢地完成整個申請流程。請留意以下附加考量因素：
身份核驗方式. 確認所選服務商支持你偏好的身份核驗方式。例如，根據你所在地區的情況，（通過註冊機構完成的）線下當面核驗可能並不具備實操性。
易用性與支援服務. 檢查用戶界面、集成選項、教程及其他資源，確認QES流程中可能出現阻礙的環節以及對應的解決方法。優先選擇可提供7×24小時電話、電郵或在線即時聊天支援、響應及時的服務商。
考量QSCD選型. 雖然QSCD通常涉及智能卡、USB令牌這類硬件，部分用戶更偏好硬件安全模塊（HSM）的相對便利性——這類設備支持遠程訪問，同時具備極高的安全性。
身份驗證
身份驗證可以說是QES流程中最重要的環節，用於確認簽名創建者的身份與其聲明的身份一致。針對這一關鍵步驟，請根據可用的QTSP選項及個人偏好選擇驗證方式。
完成上述步驟後，請透過QTSP平台申請數碼證書，在系統提示時提供個人詳細資料。接下來需要預約線下辦理或視頻核驗。請準備好出示護照、駕駛執照等政府簽發的證件。在視頻核驗過程中，可能需要重點展示身份證明文件或護照的防偽特徵。該流程可能內置人臉識別或其他生物特徵驗證環節。
數碼證書簽發與QSCD配置
身份核驗成功通過後，QTSP即獲得授權可簽發合格證書，證書將儲存在選定的QSCD中。如果採用硬件方案，QSCD可能透過郵寄或當面交付的形式提供。遠程簽名方案可在QTSP管控的HSM中進行管理。
簽名建立與使用
身份驗證完成後，可能需要安裝特定驅動程式或軟件，以支援QES流程後續環節的開展。文檔通常需在特定簽名平台內存取，這類平台可能會彈出「應用簽名」提示。此時即可選擇QES選項，由簽名系統與QSCD建立連線。該環節可能需要輸入預先設定的PIN碼，或完成其他身份驗證流程。
簽名應用完成後，QES將驗證文檔完整性，讓文檔具備防篡改特性，確保任何未經授權的修改都能被輕易偵測到。同時，基於其嚴格的身份核驗流程，QES還可確認簽署者的身份真實性。
合格電子簽名適用場景
QES在眾多行業中具備多種用途。雖然在部分低風險場景中可能更適合使用SES或AES，但當合規性或法律效力為核心關切時，QES是更安全的選擇。其主要適用場景包括：
高價值交易. 當事項風險較高時（例如房地產、金融等領域的重大交易場景），QES可提供更高等級的保障。這是快速發展的金融行業實現數碼轉型的關鍵要素之一。
強監管行業. 合約涉及的金額不應作為決定是否需要使用QES的唯一因素，還需考慮適用的監管環境。在能源、銀行等行業，嚴格的合規要求可能強制要求更高等級的安全性或身份保障。
政府公文. 從許可申請到稅務申報，QES可支援多種公共部門官方材料的提交。這為政府機構帶來了數碼創新能力，使其能夠透過流程精簡、安全可靠且高易用性的方案，為公眾提供更優質的服務。
醫療文檔. QES 可用於從患者知情同意書到出院小結的各類醫療文檔，在不削弱數碼安全性的前提下，為遠程醫療提供支援並簡化醫療工作流程。
為何選擇 Sectigo 滿足您的簽名需求
準備好進一步部署安全的合格電子簽名了嗎？Sectigo 可為您提供專業支援。作為經認可的 QTSP，Sectigo 面向個人和企業提供豐富的可信解決方案，其中包括：
面向個人的符合 eIDAS 要求的數碼證書 - SCD 或 QSCD
面向企業的符合 eIDAS 要求的數碼證書 - 用於高級簽名或合格簽名的數碼證書
面向企業的符合 eIDAS 要求的數碼證書 - 用於高級電子印章或合格電子印章的數碼證書
Sectigo 提供全面的 eIDAS 產品組合，助力企業和個人在滿足核心合規與安全目標的同時簡化工作流程。聯絡我們，了解如何簡化數碼信任建設。