用手指在触摸屏上绘制的电子签名具有法律效力且可直观识别。但它没有携带谁签署该文件的加密证明。任何有权访问该文件的人都可以绘制该签名。由数字证书支持的数字签名解决了这个问题。该证书由受信任的证书颁发机构在验证您的身份后颁发，将您的加密密钥与您的真实身份绑定。当您使用该证书签名时，签名在数学上证明了两件事：自您签名以来文档没有被修改过，并且签名来自您的私钥，只有您可以控制它。
使用数字证书对 PDF 进行数字签名是可用的最强 PDF 签名形式。它是必须可执行的合同、必须可验证的监管文件以及必须可证明签名者身份的法律文件的标准。本指南介绍如何获取证书、如何将其应用于 PDF 以及收件人如何验证签名。
根据 ISO 32000 标准，PDF 中的数字签名使用公钥加密技术。签名者私钥创建签名。通过证书分发的签名者公钥允许任何人验证它。加密基础与保护 HTTPS 连接和电子邮件加密的技术相同。
用于 PDF 签名的数字证书类型
| 证书类型 | 发布者 | 身份验证 | 最适合 |
|---|---|---|---|
| 自签名证书 | 由签名者使用 PDF 软件或操作系统工具创建 | 没有任何。该证书声明身份，但不提供第三方验证 | 所有收件人均已知晓签名者身份的内部文件 |
| 机构颁发的证书 | 由组织 IT 部门通过内部证书颁发机构颁发 | 经组织核实。在组织内部受到信任，但在外部却不受信任 | 收件人位于同一组织内的企业文档 |
| CA颁发的证书 | 由公共证书颁发机构（例如 DigiCert、GlobalSign 或 Sectigo）颁发 | CA 在颁发之前验证签名者身份。提供最强的身份保证 | 需要第三方验证身份的外部合同、监管备案、法律文件 |
| AATL认证证书 | 由 Adobe 批准的信任列表上的 CA 颁发。自动受到 Adobe 产品信任 | CA 验证的身份以及对 Adobe Acrobat 和 Reader 的自动信任 | 收件人使用 Adobe 软件并期望蓝带信任指示器的文档 |
获取数字证书
对于 CA 颁发的证书，如果收件人使用 Adobe 产品，请从 Adobe 批准的信任列表中选择证书颁发机构，或者从任何受信任的 CA 中选择一般用途的证书颁发机构。购买文档签名证书。 CA 将验证您的身份，这可能涉及提供政府身份证明、确认您的电子邮件地址以及验证您的组织隶属关系。验证过程需要几个小时到几天的时间，具体取决于 CA 和验证级别。验证后，CA 会将您的证书作为可下载文件颁发给您并安装在您的计算机上。
对于自签名证书，请直接在 Adobe Acrobat 中的“编辑”、“首选项”、“签名”、“身份”和“受信任证书”下创建。自签名证书会立即创建并立即可供使用。它仅在您的计算机以及您手动分发和信任证书的计算机上受信任。 签署 PDF 工作流程首先在需要签名的文档到达之前准备好证书。
将数字签名应用于 PDF
在支持数字证书的签名工具中打开 PDF。选择数字签名选项，而不是放置电子签名。该工具会提示您选择证书。选择证书并输入其密码（如果需要）。绘制或选择签名外观，这控制签名在页面上的外观。将签名字段放置在文档上。应用签名。该工具创建文档的加密哈希，使用您的私钥对其进行签名，并将签名和您的证书嵌入 PDF 中。
WukongPDF 签名工具支持电子签名。对于带有证书的数字签名，请使用专门支持基于证书的数字签名的签名工具。 数字签名通过其提供的加密证明与电子签名区分开来。
验证您收到的数字签名
在支持签名验证的阅读器中打开签名的 PDF。 Adobe Acrobat 和 Reader 显示签名面板，其中显示签名者姓名、签名有效性状态以及文档自签名后是否已修改。有效签名会显示绿色复选标记。由于文档修改而无效的签名会显示警告图标。单击签名可查看证书详细信息，包括颁发者和过期时间。
如果签名无效，请勿依赖该文档。无效签名意味着文档在签名后被修改，或者用于签名的证书不再受信任。对收到的签名进行PDF 安全性验证与正确应用您自己的签名同样重要。
长期签名有效性
数字证书过期。今天有效的证书五年后就不再有效。应用时验证正确的签名在证书过期后可能会显示为无效，除非签名中嵌入了长期验证信息。长期验证 (LTV) 包括证书链、证书吊销状态和来自受信任时间服务器的时间戳，所有这些都与签名一起嵌入在 PDF 中。启用 LTV 后，即使在证书过期后也可以验证签名，因为验证所需的所有信息都包含在文档中。
在签署必须保持多年可验证性的文档时启用 LTV。 PDF 安全 长期验证功能可在证书有效期之外保留签名可验证性。
管理证书过期和续订
数字证书过期。今天有效的证书三年后就不再有效。在您的证书过期之前，请通过颁发证书的机构对其进行续订。续订可延长有效期，同时保留您的身份约束力。续订后，新签名将使用续订的证书。如果嵌入了长期验证信息，则使用旧证书创建的现有签名仍然有效。如果未启用 LTV，证书过期后旧签名将显示为无效。
计划在到期前更新证书。由于证书过期而变得无效的签名在不签署文档的情况下无法恢复。 数字签名生命周期管理包括从证书颁发之日起的续订规划。
可见与不可见的数字签名
数字签名可以作为签名字段明显地显示在文档页面上，其中包含您的姓名、日期和签名的图形表示形式。或者它可以是不可见的，应用加密保护而页面上没有任何视觉指示符。当收件人需要查看签名者时，可见签名是合适的。当加密证明很重要但视觉指示是不必要的或会使文档混乱时，隐形签名是合适的。
可见和不可见之间的选择取决于文档类型和收件人的期望。合同通常带有可见的签名。一批自动生成的证书可能会使用不可见的签名来避免每个页面混乱。应用签名时配置Sign PDF可见性设置。
使用单个证书签署多个页面或部分
使用数字证书签名的多页文档可以保护每一页。签名涵盖整个文档内容。如果签名后修改任何页面，签名对整个文档无效。这种全有或全无的保护适用于完整内容的完整性很重要的文档。对于不同部分可能需要不同人员独立签名的文档，请使用多个签名字段，每个签名字段覆盖其指定的页面范围。
默认情况下，单个签名的数字签名覆盖范围扩展到整个文档。多个签名可以共存于同一个文档上，每个签名都由不同的签名者应用于签名时存在的内容。签名面板列出了所有签名及其有效性状态。