Een standaard Digitale handtekening op een PDF bewijst wie het document heeft ondertekend. Een digitale handtekening met tijdstempel bewijst wanneer ze deze hebben ondertekend. De tijdstempel wordt uitgegeven door een vertrouwde externe Time Stamping Authority en cryptografisch aan de handtekening gekoppeld. Samen bieden ze onweerlegbaarheid: de ondertekenaar kan niet ontkennen dat hij heeft getekend, en de tijdstempel bewijst dat het certificaat geldig was op het moment van ondertekening, zelfs als het later is verlopen.
Tijdstempeling is essentieel wanneer de geldigheid van de handtekening jaren na de ondertekeningsgebeurtenis in twijfel kan worden getrokken. Een vandaag ondertekend contract met een certificaat dat over twee jaar afloopt, moet over vijf jaar mogelijk worden geverifieerd. Zonder tijdstempel wordt de handtekening ongeldig wanneer het certificaat verloopt of wordt ingetrokken. Met een tijdstempel blijft verificatie voor onbepaalde tijd mogelijk omdat de tijdstempel de geldigheid van het certificaat bevriest op het moment van ondertekening.
De Sign PDF-tools van WukongPDF ondersteunen op certificaten gebaseerde digitale handtekeningen met vertrouwde tijdstempelintegratie.
Hoe handtekeningen met tijdstempel technisch werken
Wanneer u een PDF ondertekent terwijl tijdstempels zijn ingeschakeld, berekent de ondertekeningssoftware een hash van de documentinhoud en stuurt deze naar een tijdstempelautoriteit. De TSA combineert de hash met de huidige tijd van een zeer nauwkeurige klok en ondertekent deze combinatie met een eigen certificaat. De ondertekende tijdstempel is ingesloten in de PDF naast uw handtekeninggegevens.
Wanneer iemand later de handtekening verifieert, controleert de PDF-lezer zowel de geldigheid van uw handtekening als de geldigheid van de TSA-tijdstempel. Als uw certificaat is verlopen, maar uit de tijdstempel blijkt dat het geldig was op het moment van ondertekening, wordt de handtekening weergegeven als geldig met de vermelding dat validatie op lange termijn wordt ondersteund. De TSA fungeert als een vertrouwde getuige met een certificaat met een lange levensduur, doorgaans geldig voor 10 tot 20 jaar.
Een digitaal certificaat verkrijgen voor ondertekening
In de meeste gevallen kan een digitaal certificaat voor PDF-ondertekening zelfondertekend zijn of worden uitgegeven door een commerciële certificeringsinstantie. Zelfondertekende certificaten zijn geschikt voor interne documenten waarbij de ontvanger uw identiteit al kent en vertrouwt. Door CA uitgegeven certificaten van providers als GlobalSign, IdenTrust of DigiCert bieden identiteitsverificatie door derden voor documenten die met externe partijen worden uitgewisseld.
Voor het certificaatuitgifteproces voor een door een CA uitgegeven certificaat is identiteitsverificatie vereist. Voor individuele certificaten is een door de overheid uitgegeven identiteitsbewijs met foto vereist. Voor organisatiecertificaten zijn bedrijfsregistratiedocumenten vereist. De verificatie duurt van enkele uren voor basisvalidatie tot enkele dagen voor uitgebreide validatie. Na uitgifte is het certificaat één tot drie jaar geldig en moet het vóór de vervaldatum worden verlengd.
Bewaar de privésleutel van het certificaat met dezelfde zorg als elke andere legale ondertekenautoriteit. De privésleutel, beschermd door een wachtwoord, creëert de handtekening. Iedereen met toegang tot het sleutelbestand en wachtwoord kan documenten als u ondertekenen. Gebruik een sterk wachtwoord en bewaar de sleutel op een veilige locatie, gescheiden van de ondertekende documenten.
Een tijdstempelautoriteit configureren in Acrobat Pro
Open Acrobat Pro en ga naar Bewerken, Voorkeuren, Handtekeningen. Klik onder Tijdstempel van document op Meer om de lijst met tijdstempelservers te openen. Klik op Nieuw en voer de URL van een vertrouwde TSA in. Er zijn verschillende gratis openbare TSA's beschikbaar voor niet-kritisch gebruik. Voor juridische en regelgevende documenten bieden commerciële TSA's gegarandeerde uptime en contractuele betrouwbaarheidsverplichtingen.
Nadat u de TSA hebt toegevoegd, selecteert u deze als de standaard tijdstempelserver. Elke handtekening die na deze configuratie wordt toegepast, bevat automatisch een tijdstempel van de geselecteerde TSA. De weergave-eigenschappen van de handtekening bepalen of de tijdstempel visueel wordt weergegeven naast uw naam en ondertekeningsdatum.
Een handtekening met tijdstempel verifiëren
Open de ondertekende PDF in Acrobat Reader en klik op het handtekeningveld. Het paneel Handtekeningeigenschappen toont de identiteit van de ondertekenaar, het ondertekeningstijdstip zoals bevestigd door de TSA, en de validatiestatus. Een groen vinkje geeft aan dat zowel de handtekening als het tijdstempel geldig zijn. Het paneel toont ook de TSA-certificaatketen en wanneer het TSA-certificaat verloopt.
Als het handtekeningcertificaat is verlopen maar de tijdstempel geldig is, wordt bij de handtekening een waarschuwingsdriehoek weergegeven in plaats van een groen vinkje. In de waarschuwingstekst wordt uitgelegd dat het certificaat is verlopen, maar dat het document is ondertekend toen het certificaat geldig was. Dit is het verwachte validatiegedrag op de lange termijn en duidt niet op een probleem met de handtekening.
Strategie voor handtekeningvalidatie op lange termijn
Voor documenten die tientallen jaren in de toekomst verifieerbaar moeten zijn, combineert u tijdstempels met periodieke herondertekening. Voordat het huidige handtekeningcertificaat verloopt, past u een nieuwe handtekening met een nieuwe tijdstempel toe met behulp van een huidig certificaat. De keten van handtekeningen en tijdstempels creëert een continue validatiegeschiedenis. Elke nieuwe schakel in de keten bevestigt dat alle voorgaande schakels geldig waren toen de nieuwe schakel werd toegevoegd.
Bewaar de ondertekende PDF's met hun validatie-informatie intact. Optimaliseer of comprimeer ondertekende PDF's niet met tools die handtekeninggegevens verwijderen. Bij sommige optimalisatiebewerkingen wordt de cryptografische handtekeninginformatie verwijderd, terwijl alleen het visuele uiterlijk van de handtekening behouden blijft. Een PDF die er ondertekend uitziet maar geen verifieerbare handtekeninggegevens bevat, is slechter dan een niet-ondertekende PDF, omdat deze een valse indruk van authenticiteit wekt.
In de meeste gevallen biedt een digitale handtekening met tijdstempel op een PDF de sterkste vorm van documentauthenticatie die beschikbaar is buiten gespecialiseerde juridische documentplatforms. De combinatie van cryptografisch verantwoorde identiteitsverificatie en onafhankelijk bevestigde timing zorgt voor een handtekening die jaren of decennia na de oorspronkelijke ondertekeningsgebeurtenis bestand is tegen nauwkeurig onderzoek, waardoor documentauthenticiteit op lange termijn wordt geboden die de juridische, financiële en regelgevende context vereist, jarenlang nadat het oorspronkelijke handtekeningcertificaat al lang is verlopen en niet langer rechtstreeks kan worden geverifieerd.
| Handtekeningtype | ID-verificatie | Tijdstempelondersteuning |
|---|---|---|
| Zelfondertekend certificaat | Geen, op basis van vertrouwen | Gratis openbare TSA of geen |
| Door CA uitgegeven certificaat | Overheids-/organisatie-ID | Commerciële TSA aanbevolen |
| Cloud handtekeningservice | Serviceprovider geverifieerd | Inbegrepen bij service |
Tijdens typische workflows, als het gaat om documentworkflows, stellen organisaties die regelmatig documenten ondertekenen een ondertekeningsbeleid vast dat specificeert wanneer tijdstempels vereist zijn. Voor routinematige interne documenten zijn mogelijk geen tijdstempels nodig. Contracten, registratiedossiers en documenten met meerjarige relevantie profiteren van tijdstempels. Het beleid neemt onduidelijkheid weg over wanneer de extra stap bij het configureren van een TSA gerechtvaardigd is.
Als we dit praktisch bekijken, is de marginale inspanning van het inschakelen van tijdstempels in de praktijk minimaal na de initiële TSA-configuratie. De standaard tijdstempelinstelling is automatisch van toepassing op elke volgende handtekening. Het voordeel van verifieerbaarheid op de lange termijn geldt voor elk ondertekend document, zonder inspanning per document.
Kiezen tussen gratis en commerciële tijdstempelautoriteiten
Gratis openbare TSA's, zoals die van universiteiten en certificeringsinstanties, bieden een basistijdstempel die geschikt is voor niet-kritieke documenten. Ze hebben mogelijk gebruikslimieten, geen uptime-garanties en geen ondersteuning als de tijdstempel later niet kan worden geverifieerd. Commerciële TSA's bieden serviceniveauovereenkomsten die de beschikbaarheid en langdurige ondersteuning voor tijdstempelverificatie garanderen.
Op het punt waar het gaat om documentworkflows, voor juridische documenten en registratiedossiers, is een commerciële TSA met een contractuele verplichting om tijdstempelverificatiediensten gedurende 10 jaar of langer te onderhouden de kosten waard. De TSA-vergoeding is verwaarloosbaar vergeleken met de waarde van een verifieerbare handtekening op een contract dat jaren later kan worden aangevochten. Voor interne goedkeuringen en routinedocumenten zijn gratis TSA's voldoende.
Problemen oplossen met tijdstempelverificatiefouten
Als de verificatie van een handtekening met tijdstempel mislukt, controleer dan de TSA-certificaatketen. Het TSA-certificaat moet gekoppeld zijn aan een vertrouwd basiscertificaat dat in de PDF-lezer is geïnstalleerd. Als de lezer de TSA-root niet vertrouwt, kan de tijdstempel niet worden geverifieerd. Door het TSA-basiscertificaat te installeren in het vertrouwde certificaatarchief van de lezer wordt dit probleem opgelost.
Controleer ook of de systeemklok op de verificatiecomputer ongeveer correct is. Bij tijdstempelverificatie wordt de tijdstempel vergeleken met de huidige tijd om te bevestigen dat deze niet in de toekomst ligt. Als de systeemklok jaren in het verleden of de toekomst ligt, kan het zijn dat geldige tijdstempels de verificatie mislukken. Door de systeemklok te corrigeren en opnieuw te verifiëren, worden klokgerelateerde fouten opgelost.
Cloudgebaseerde handtekeningservices gebruiken met ingebouwde tijdstempels
De meeste cloudgebaseerde diensten voor PDF-handtekeningen bevatten tijdstempels als standaardfunctie. DocuSign, Adobe Acrobat Sign en Dropbox Sign passen allemaal automatisch tijdstempels van hun eigen TSA's toe. De gebruiker hoeft een TSA niet afzonderlijk te configureren. De tijdstempel wordt standaard bij elke handtekening vermeld.
Cloudhandtekeningservices vereenvoudigen het tijdstempelbeheer door TSA-configuratie, certificaatvernieuwing en tijdstempelverificatie achter de schermen af te handelen. De ondertekende PDF bevat een ingesloten tijdstempel die elke PDF-lezer kan verifiëren. Voor organisaties die digitale certificaten en TSA's liever niet intern beheren, bieden cloudhandtekeningservices handtekeningen met tijdstempel en minimale installatie.
Digitale handtekeningen met tijdstempel zijn de gouden standaard voor authenticatie van PDF-documenten. Ze combineren een cryptografisch identiteitsbewijs met een onafhankelijk bewijs van de timing. Voor documenten waarvan de authenticiteit jaren na ondertekening in twijfel kan worden getrokken, is de tijdstempel het verschil tussen een verifieerbare handtekening en een niet-verifieerbare handtekening.
Het configureren van tijdstempels duurt minuten en is van toepassing op elke volgende handtekening. De bescherming die het biedt, duurt gedurende de levensduur van het ondertekende document. Voor documenten die er toe doen, wordt de kleine configuratie-inspanning ruimschoots gerechtvaardigd door de verificatiegarantie op de lange termijn.
Digitale handtekeningen met tijdstempels bieden de sterkste beschikbare documentauthenticatie voor PDF's. De technologie is volwassen, breed ondersteund en toegankelijk via zowel desktopsoftware als cloudservices. Voor elk document waarvan de authenticiteit in de toekomst mogelijk moet worden bewezen, is ondertekening met tijdstempel de norm waaraan moet worden voldaan.
Binnen deze context zijn de hier beschreven praktijken in de praktijk van toepassing op elke workflow voor het ondertekenen van PDF's. De specifieke tools variëren, maar de principes van certificaatbeheer, tijdstempelconfiguratie en langetermijnvalidatie zijn universeel voor alle implementaties van PDF-ondertekening. De combinatie van cryptografische identiteitsverificatie en vertrouwde tijdstempels zorgt voor documentauthenticatie die jaren of decennia na de oorspronkelijke ondertekeningsgebeurtenis doorstaat.