שירותי חתימה מקוונים פותרים בעיה לוגיסטית ספציפית: קבלת חתימה על מסמך כאשר לחותם אין תוכנת PDF, אין זמן להדפיס, ואין מכשיר פקס. DigiSigner יושב במרחב הזה. הוא מטפל בקובצי PDF, Word, Excel ותמונות בדפדפן, מאפשר לך למקם שדות חתימה בכל דף, ומספק קובץ מלא מבלי לדרוש מהצד השני להתקין דבר. האם החלפה זו אכן מחזיקה מעמד תלויה בפרטים שדף השירות נוטה לעבור עליהם ברפרוף
מה זרימת החתימה עושה בפועל
המכניקה פשוטה. אתה מעלה את המסמך דרך HTTPS, גורר שדות חתימה ותאריך לדפים שאליהם הם שייכים, וחותם בעצמך או שולח הזמנה לצד אחר. החותם מקבל קישור, פותח את המסמך בדפדפן שלו, לוחץ על השדות ומגיש. אתה מקבל התראה ויכול להוריד את הקובץ המלא
נתיב תלת-שלבי זה עובד היטב עבור אישורים פנימיים, הסכמי ספק מהירים, ומצבים שבהם מהירות חשובה יותר מערבויות קריפטוגרפיות. המקום שבו הוא מתחיל להתקשות הוא מסמכים מפוקחים, רצפים מרובי צדדים, וכל דבר שעשוי להיות מאותגר בבית המשפט. במקרים אלה תהליך העבודה טוב רק כמו ראיות הביקורת שעומדות בבסיסו
נתיבי ביקורת וראיות להתערבות
נתיב הביקורת (audit trail) הוא הדבר החשוב ביותר שיש לוודא לפני שמתחייבים לכל שירות חתימה. עליו לתעד את זהות החותם (לרוב מאומתת על ידי דוא"ל), כתובת IP, חותמת זמן (timestamp), וגיבוב (hash) של מצב המסמך ברגע החתימה. שירותים מסוימים מאגדים ראיות אלה לתוך ה-PDF עצמו כקובץ מצורף נפרד או כמטא-נתונים מוטבעים; אחרים שומרים אותן בצד השרת ומנפיקים אישור על פי בקשה. דע באיזו גישה השירות משתמש לפני שתצטרך להציג את הראיות עבור סכסוך
ראיות להתערבות (tamper evidence) היא שאלה קשורה אך נפרדת. PDF מלא משירות חתימה עשוי לשאת חתימה דיגיטלית שהוחלה על ידי האישור של השירות עצמו, מה שאומר שכל שינוי לאחר החתימה ישבור את החתימה ויהיה גלוי במציג תואם. זה שונה מחתימה קריפטוגרפית מקצה-לקצה שנוצרה עם המפתח הפרטי של החותם עצמו. עבור רוב תהליכי העבודה העסקיים האישור שהוחל על ידי השירות הוא מספק. עבור תעשיות מפוקחות או עסקאות חוצות גבולות המכוסות על ידי eIDAS, ייתכן שזה לא המצב
טענות תאימות: קראו את האותיות הקטנות
רוב שירותי החתימה המקוונים מונים את ESIGN, UETA ו-eIDAS בשיווק שלהם. חוקים אלה קובעים דרישות מתי חתימה אלקטרונית היא מחייבת משפטית, אך הם אינם מאשרים תוכנה. שירות שטוען לתאימות eIDAS יכול להיות כל דבר החל מ-"אנו עומדים בדרישות הבסיסיות עבור חתימה אלקטרונית פשוטה" ועד "אנו ספק שירותי אמון מוסמך המנפיק חתימות אלקטרוניות מאושרות (QES)." הפער בין השניים משמעותי בכל תחום שיפוט שבו ל-QES יש שקילות משפטית לחתימה בכתב יד
בדוק את תיעוד מרכז האמון של השירות ולא את דף הנחיתה. חפש פרטים ספציפיים: איזו רמת eIDAS, אילו מדינות מכוסות על ידי חוות דעת משפטית נפרדת, והאם תנאי השירות כוללים שיפוי על סכסוכי חתימה. אם סוג המסמך דורש QES או חתימה נוטריונית לפי החוק המקומי, חתימה אלקטרונית פשוטה (SES) מבוססת-דפדפן אינה מהווה תחליף, ללא קשר למה שהשיווק אומר
אחסון מסמכים ותושבות נתונים (data residency)
כאשר אתה מעלה חוזה או מסמך פיננסי לשירות חתימה בענן, הוא יושב בתשתית שלהם עד שאתה או הם מוחקים אותו. השאלות המעשיות הן: היכן הוא מאוחסן, למי בתוך השירות יש גישה אליו, כמה זמן נמשכת תקופת השמירה כברירת מחדל, והאם אתה יכול להפעיל מחיקה לפי דרישה. עבור מסמכים המכילים נתונים אישיים המכוסים על ידי ה-GDPR, התשובה ל-"היכן זה מאוחסן" אינה אופציונלית
DigiSigner, כמו רוב השירותים בקטגוריה זו, מאחסן מסמכים בתשתית ענן ושומר אותם לתקופה ניתנת להגדרה לאחר סיום החתימה. סקור את הסכם עיבוד הנתונים לפני ניתוב של משהו רגיש דרך השירות. אם הארגון שלך פועל תחת רגולציה ספציפית למגזר כגון HIPAA או כללי שירותים פיננסיים, ודא האם השירות יחתום על הסכם עמית עסקי (Business Associate Agreement) או נספח שווה ערך
היכן ש-DigiSigner מתאים, והיכן שלא
DigiSigner הוא בחירה סבירה עבור אישורים פנימיים קלים, חוזים של עסקים קטנים, וארגונים שזקוקים לחתימה מזדמנת מבוססת-דפדפן מבלי להקים תשתית משלהם. המסלול החינמי מטפל במספר מוגבל של מסמכים בחודש, שזה מספיק כדי להעריך האם תהליך העבודה מתאים לפני שמתחייבים
זה לא הכלי הנכון כאשר תהליך עבודת החתימה צריך להשתלב באופן הדוק עם צינור יצירת מסמכים, כאשר הנפח גבוה מספיק כדי להפוך את התמחור לכל מסמך למשמעותי, או כאשר המסמכים נושאים חובות רגולטוריות הדורשות אישור מוסמך. במקרים אלה הארכיטקטורה זקוקה לספרייה שפועלת באופן מקומי, נותנת לך שליטה על שרשרת האישורים, ומאפשרת לך להטמיע את החתימה כחלק מיצירת המסמך ולא כשלב של עיבוד לאחר מעשה
הכנת PDF שנוצר על ידי מפתח לחתימה חיצונית
אם היישום שלך יוצר את ה-PDF לפני העברתו לשירות חתימה, כמה מאפיינים של המסמך הופכים את שלב החתימה לנקי יותר. שמור על גודל דף עקבי: מסמך A4 שנשלח לשירות שברירת המחדל שלו היא תצוגה מקדימה בגודל letter יכול ליצור שדות חתימה שאינם מיושרים כראוי. שטח (Flatten) כל שדות טופס אינטראקטיביים שאינם ממלאי-מקום (placeholders) לחתימה, משום ששירותים מסוימים מחליפים או משליכים שדות AcroForm קיימים כאשר הם מוסיפים את שלהם. שמור מפורשות מקום לבן (white space) בדפים שאליהם שייכות החתימות במקום לתת לשירות להציב אותן כשכבה על גבי תוכן חי
אחסן הן את העותק שלפני החתימה והן את העותק החתום המלא, כשהם בעלי שם כך שהשניים מקושרים בבירור. כאשר חותם חולק על מה שהוא הסכים לו, החזקת המסמך המדויק שנשלח היא נקודת הפתיחה לכל חקירה. אם הגרסה החתומה חוזרת עם ספירת דפים שונה או מטריקות גופנים שונות ממה שהוכנס, משהו בצינור הרינדור של השירות שינה את המסמך, שזה דבר שכדאי להבין לפני שאתה מתייחס לפלט כאל סמכותי
שירות לעומת ספרייה: הבחנה מעשית
שירות חתימה מקוון וספריית חתימה דיגיטלית של PDF פותרים בעיות שונות וההבחנה חשובה כאשר אתה מתכנן תהליך עבודה למסמכים. שירות מטפל בלוגיסטיקה: ניתוב מסמכים לצדדים מרובים, איסוף ראיות זהות, הוצאת התראות דוא"ל ואחסון קבצים מלאים. ספרייה מטפלת בקריפטוגרפיה: בניית מילון החתימה, החלת שרשרת האישורים, והטמעת הגיבוב (hash) החתום לתוך טווח הבתים של הקובץ בהתאם ל-ISO 32000-2. השניים יכולים להתקיים יחד באותו צינור, אבל החלפת אחד באחר משום ששניהם כוללים את המילה "חתימה" נוטה ליצור תהליכי עבודה שאינם מבוקרים כראוי ולא חתומים כראוי
עבור רוב מקרי השימוש של עסקים קטנים ואישורים פנימיים, שירות כמו DigiSigner מכסה את מה שנדרש ועולה פחות מאשר בניית תשתית חתימה מאפס. עבור יישומים עתירי-מסמכים שבהם חתימות הן חלק מהיצירה, היכן שניהול אישורים חשוב, או היכן שהתוצר החתום צריך להיות ניתן לאימות ללא התייחסות לשרת צד-שלישי, ספרייה הפועלת בתוך המערכת שלך היא הארכיטקטורה הניתנת יותר להגנה