密碼保護和數位簽章解決了兩個完全不同的文件安全問題，但人們經常討論它們，就好像它們是可以互換的一樣。密碼控制誰可以開啟或修改檔案。數位簽章可驗證內容的建立者或核准者以及文件自簽章後是否已變更。使用密碼和數位簽章保護 PDF 可建立兩層獨立的安全層，一層用於存取控制，一層用於真實性和完整性驗證。了解如何正確配置這兩者對於合約、監管備案以及任何未經授權的存取和篡改都會帶來嚴重後果的文件都很重要。
密碼和數位簽章之間的區別
PDF 密碼在文件存取層級運作。開啟密碼會對整個文件進行加密，並防止在沒有正確憑證的情況下開啟它。權限密碼允許打開，但限制編輯、列印或複製。兩種密碼類型都控制收件者可以對檔案執行的操作。數位簽名在內容層級運行。它在簽名時對文件內容套用加密哈希，並嵌入可識別簽署者的憑證。如果任何人在簽署後更改文件的單一位元組，簽名就會中斷，並且檢視器會顯示警告，表示文件自簽名以來已被修改。
將這兩種保護新增至單一 PDF 會建立未經授權方無法開啟的文檔，且授權方無法在未偵測到的情況下對其進行變更。這種組合是法律合約、政府備案和財務協議的標準做法。密碼提供的PDF安全性回答了誰可以存取文件的問題，而數位簽章回答了文件是否仍如批准時所述的問題。
首先應用密碼保護
結合這兩種保護時，操作順序很重要。在簽名之前先套用密碼。簽章後更改密碼會修改文件元數據，破壞數位簽章。當您套用密碼時，請選擇需要輸入才能查看文件的開放密碼和允許檢視但限制進一步操作的權限密碼。對於還帶有數位簽名的文檔，權限密碼通常就足夠了，因為簽名本身可以防止篡改。
將加密等級設為 AES-256，這是 PDF 規格中可用的最強選項，並且所有現代 PDF 檢視器都支援。避免使用較舊的 RC4 加密，它容易受到已知攻擊，並且無法針對確定的繞過它的嘗試提供有意義的安全性。設定密碼時，請使用大小寫字母、數字和符號混合的至少 12 個字元的字串。簡短或可預測的密碼甚至會破壞最強的加密演算法。
密碼保護後添加數位簽名
密碼保護到位後，在支援基於數位憑證的簽章的簽章工具中開啟受保護的 PDF。選擇數位簽章選項而不是新增電子簽名影像。數位簽章過程將提示您選擇數位憑證。如果沒有，您可以從受信任的憑證授權單位取得憑證或建立自簽名憑證以供內部使用。證書頒發機構在頒發證書之前會驗證您的身份，這使收件人確信簽名確實屬於您。
將簽名區塊放置在文件上簽署者傳統上手寫簽名的位置。當收件者查看文件時，數位簽章區塊將顯示您的姓名、簽章日期和憑證授權單位。配置簽名以在簽名後鎖定文檔，這樣可以防止對內容、表單欄位或註釋進行任何進一步更改，而不會使簽名失效。此鎖定選項是簽名對話框中的複選框，很容易被忽視，但對於完整性保護的意義至關重要。
配置後測試兩種保護
套用密碼和數位簽章後，從預期收件者的角度測試文件。完全關閉 PDF 並重新開啟它。在查看任何內容之前，系統應該提示您輸入密碼。輸入正確的密碼後，驗證數位簽章面板是否顯示有效的簽章狀態，且沒有任何修改警告。嘗試使用 PDF 編輯器編輯文件。應透過權限密碼阻止該嘗試，或如果允許，應立即使數位簽名無效。
下表總結了每個安全層保護的內容和不保護的內容：
| 安全層 | 防護 | 不防護 |
|---|---|---|
| 打開密碼 | 未經授權觀看 | 授權使用者開啟後分享密碼或複製內容 |
| 權限密碼 | 編輯、列印、影印 | 螢幕截圖或拍攝螢幕 |
| 數位簽名 | 未偵測到的內容篡改 | 簽名者應用了不正確或未經授權的簽名 |
安全管理密碼和證書
這兩種保護的強度取決於您管理憑證的程度。將文件密碼儲存在密碼管理器中，而不是與 PDF 一起透過電子郵件發送或將其寫在訊息正文中。透過單獨的管道（例如電話或簡訊）將密碼傳達給收件人，以便破壞收件人電子郵件的攻擊者不會自動取得文件及其密碼。對於數位證書，請將私鑰保存在受其自身強密碼保護的安全性金鑰庫中，並且切勿與任何人共用私鑰檔案或其密碼。
如果同一個 PDF 需要由多方簽名，請按順序配置簽名字段，而不是在單一會話中套用所有簽名。每個簽名者都應該檢查當前狀態的文檔，應用他們的簽名，然後將其傳遞給下一個簽名者。最終接收者可以驗證整個簽名鏈。 WukongPDF 在統一介面中提供密碼保護和簽署工具，從而簡化了將兩種保護應用於單一文件的工作流程，而無需在多個應用程式之間切換。
在團隊環境中管理已簽署和受保護的文件
當多人需要使用兩種保護機制的文件時，請建立明確的程序來確定誰應用哪種保護以及以什麼順序。數位簽章應始終是最後應用的操作。如果有人在簽名後編輯文檔，簽名就會被破壞。如果有人在簽名後更改密碼，簽名就會被破壞。簽名方應該是分發前最後接觸文件的人。
對於團隊工作流程，請考慮使用支援簽章欄位和密碼範本的 PDF 工具。簽名欄位為每個簽署者在頁面上保留一個位置並強制執行簽名順序。密碼模板儲存加密設置，以便在專案中的所有文件中一致應用相同的保護等級。標準化這些設定可以防止合約包中一半文件具有一種保護配置而另一半具有不同保護配置的情況。
WukongPDF 在單一平台中提供密碼保護和數位簽章功能，從而簡化了將分層安全性應用於 PDF 文件的工作流程，而無需在每種保護類型的單獨工具之間進行切換。
將受保護且已簽署的 PDF 傳送給收件者時，請透過與傳送文件的電子郵件不同的管道傳達密碼。在同一封電子郵件中同時發送 PDF 及其密碼就達不到密碼保護的目的。電話、簡訊或加密訊息應用程式都是適合密碼傳送的帶外管道。
對於長期保留文檔，請考慮多年後密碼和數位證書是否仍可存取。使用每個人都忘記的密碼加密的 PDF 實際上會遺失。將密碼記錄在安全密碼管理器中，並在行事曆提醒中記下憑證到期日期，以免其失效。
當簽署和受保護的文件是監管提交的一部分時，請在最終確定之前驗證特定的技術要求。某些監管系統拒絕使用某些加密類型的 PDF，或要求數位簽章使用來自特定授權提供者的憑證。 SEC EDGAR 系統和許多法院電子歸檔平台發布了技術規範，詳細說明了哪些 PDF 安全功能被接受以及哪些會導致自動拒絕。
將安全性配置記錄在伴隨記錄中，該記錄與專案文件一起保留，但與 PDF 本身分開儲存。請注意加密類型、密碼提示（如果已配置）、憑證頒發者和到期日期以及套用保護的日期。該記錄回答了幾個月後當有人需要驗證文件真實性或向新團隊成員授予存取權限時不可避免地出現的問題。
在最終確定任何受保護和簽署的文件之前，有一個實際的測試步驟：在以前從未訪問過且沒有快取憑證的裝置上開啟該文件。此乾淨環境測試模擬外部收件者將經歷的情況，並揭示在主要工作電腦上進行測試期間快取密碼或儲存的憑證可能掩蓋的問題。
受保護和簽署文件的快速預先發送清單：確認密碼在乾淨的裝置上有效，驗證簽名顯示是否有效，並檢查解密後所有頁面是否正確顯示。