"一证四步"守护每一份电子签名——读懂《电子认证业务规则规范》与数字信任升级

从在线签约、远程开户，到供应链单据确认，电子签名、数字证书已成为数字业务运转的基础设施。当一份电子合同产生争议时，问题的焦点往往不是"签没签"，而是这份签名是否具备法律效力——签署人身份是否真实、签署是否出于本人真实意愿、签名过程是否可靠可控。

依照《电子签名法》第十三条，可靠的电子签名须同时满足四项条件：电子签名制作数据属于电子签名人专有，签署时仅由电子签名人控制，签署后对电子签名的任何改动能够被发现，签署后数据电文内容和形式的任何改动能被发现。

围绕这四项条件，今年实施的《电子认证业务规则规范》（新规），为电子认证服务机构（CA）制定自身业务规则（CPS）提供了统一的执行标尺，也让"一张证书怎么办理、凭什么可信"有了全国统一的答案。按照监管部门的统一部署，本轮合规升级过渡期将持续至2026年10月30日，相关业务规则修订与服务升级正在此日期前有序推进。

一、新规是什么：为电子认证立起一把“统一的尺子”

过去，不同CA机构的办证流程、查验强度、留痕标准并不一致：有的机构核验身份严谨，有的相对宽松；有的将查验环节委托给外部渠道，出现问题时难以追溯。标准差异的后果，往往要在纠纷发生时才会暴露——举证链条在某个环节中断，签名效力随之存疑。

新规的出台，正是要消除这种不确定性。

它对证书分类、身份查验、意愿确认、协议签署、数据留存等全流程环节，给出了明确、可执行、可核查的要求，并与《电子签名法》《电子认证服务管理办法》共同构成我国电子认证行业的合规框架。按照监管部门的统一部署，各CA机构须在规定时间内完成CPS的修订与备案，以统一的尺度提供电子认证服务。

天威诚信作为国内首批全国性电子认证服务机构之一，系本次新规的起草单位，现正依据新规要求有序推进自身服务体系的合规升级。参与起草的经历，让我们对新规每一处要求背后的考量有着直接体会——这也是写下本文的原因，希望帮助合作伙伴与用户理解这次行业性升级的来龙去脉。

二、为什么升级：签名的法律效力，建立在查验的严谨之上

电子签名之所以"算数"，依靠的并非签名动作本身，而是其背后完整的信任链条：

01

身份真实性——证书确为本人申领，签名确为本人所为；

02

意愿有效性——签署确为本人真实意愿的表达；

03

签名可靠性——签名私钥始终处于本人控制之下。

实践中，围绕电子签名的争议，相当比例集中于三类情形：身份查验流于形式，导致证书被冒名申领；告知不充分、"默认勾选"式确认，使签署人事后主张"并非本人意愿"；办理与签署过程缺乏完整留痕，争议发生后无法提供有效证据。

司法机构在审查电子签名可靠性时，相关机构是否遵循行业规范完成身份查验与全程留痕，正日益成为重要的参考因素——查验与记录越严谨，签名在争议中的证明力越强。

正因如此，新规选择把"信任"前置为办理证书时的标准化动作：事前多一分严谨，事后少一分争议。对每一位证书使用者而言，这直接关系到自己签下的每一份文件，在需要时能否"拿得出手"。

三、证书分类分级：让查验强度与场景风险精准匹配

新规按证书主体类型与风险等级，将电子签名认证证书划分为个人高等级、个人基础级、机构高等级、机构基础级四类。每类证书在证书扩展项中携带对应的证书策略OID，从证书本身即可识别其适用的风险等级与应用范围。

与之对应，不同等级证书适用于不同场景：

高等级证书面向涉及生命健康、财产权益的高风险业务，如电子病历、知情同意书等医疗文书签署，金融信贷、支付结算等金融业务；基础级证书适用于一般电子签名场景。

新规明确，涉及生命健康、财产权益等高风险活动，禁止使用基础级证书；同时要求CA在CPS中明示不适用于电子签名的其他证书类型，从源头防止证书混用带来的法律风险。

对使用者而言，分类分级并非增加负担，而是让"查验强度"与"场景风险"精准匹配——签署一份贷款合同与确认一份普通单据，理应承担不同的验证成本，也理应获得相应强度的法律保障。分级适配越准确，业务的法律底座越稳固。

四、“一证四步”：办一张可信证书的四道工序

证书申办的合规动作凝练为"一证四步"，即证书服务告知、身份查验及意愿记录、签署服务协议、数据留存。

1、证书服务告知。向订户充分告知证书等级与用途、双方权利义务、服务收费标准、签名私钥存储方式与安全要求等内容。告知须以单独页面展示、强制阅读等方式完成，禁止"默认勾选同意"；高等级证书还须通过面对面、电话或视频等更直接的方式告知，并留存告知记录。充分告知，是保障签署意愿真实的第一道关口。

2、身份查验及意愿记录。这是整个流程的核心。新规明确，身份查验义务须由CA直接履行，不得委托给任何外部机构或个人（同一法人主体以外的机构均视为外部机构）。查验方式依证书等级差异化执行：高等级证书须采用面对面查验、远程人工视频查验或活体人脸等生物特征验证；基础级证书可采用电信运营商三要素、银行卡四要素等核验方式完成。每一次查验的过程与结果均完整记录，每张证书建立独立的身份验证档案。

3、签署服务协议。CA须与证书订户直接签订电子认证服务协议，将双方的权利义务、责任边界以书面形式固定，杜绝第三方代签与权责不清。协议条款清晰，一旦发生争议，责任认定便有了明确依据。

4、数据留存。告知、查验、意愿确认、协议签署的全流程信息，均须以可追溯、不可篡改的方式完整留存，相关记录至少保存至证书失效后五年。这些记录既是签署意愿的真实凭证，也是争议发生时还原事实、完成举证的基础——对高等级证书，意愿确认还须通过录音录像等方式完成，确保"签"与"愿"的对应关系可查可证。四道工序环环相扣，指向同一目标：让每一张证书都经得起查验，让每一份签名都担得起责任。

五、致合作伙伴：合规升级的路上，我们与您同行

根据行业统一部署，电子认证服务正处在合规升级的过渡期，相关升级与业务适配工作，须于2026年10月30日前全部完成。近期，各注册机构与合作伙伴已陆续收到我们的业务协同与服务升级通知。借这篇文章，就大家关心的问题再多说几句。

1、这次升级，与您的业务直接相关。

证书办理的严谨程度，决定了您所服务用户电子签名的法律效力：身份查验到位、证书分级准确、全程留痕完整，意味着一旦发生纠纷，您和您的用户可以凭完整的证据链迅速厘清责任；反之，若查验、分级或留痕存在疏漏，争议中可能陷入举证被动——事后补救历史数据、补强证据的成本，远高于事前把流程做扎实。

合规不是单方面增加的负担，而是给业务留下的"后手"，是对您和您的用户共同的保障。

2、我们做了什么？

目前，天威诚信已完成CPS修订与内部流程升级，全面落地证书分类分级配置、分级身份查验与意愿留存机制，核心业务环节全部由CA自主办理、全程留痕。同时，我们为每家合作机构配备专属项目经理作为统一对接窗口，全程负责进度同步、问题协调与技术支撑，并开放联调测试环境，配合大家完成系统对接与业务场景验证。

3、需要您配合什么？

主要是两件事：一是对照新规与修订后的CPS，梳理自身业务系统与办理流程，完成证书分级适配与接口联调；二是指定一位对接负责人，与我们保持常态化沟通。改造过程中如遇技术适配、流程衔接等问题，可随时通过现有渠道与我们联系，我们将及时提供支持。

4、如果确有困难怎么办？

个别业务若因客观原因难以在过渡期内完成升级，尤其是涉及民生保障、公共服务等重点领域的，请尽早与我们沟通。我们将在符合监管要求的前提下，与您共同研判，协商制定稳妥的停服方案，尽可能减少对您业务和终端用户的影响。

六、结语

当前行业发展重心已经从“能用电子签名”转向“可信、安全、规范的电子签名”。数字经济发展到新阶段，可信将成为核心命题，可信身份、可靠意愿、可追溯行为共同构筑数字经济的信任底座。本轮电子认证合规改造，表面是行业整治，本质是为数字经济筑牢可信根基。

监管要求是行业的共同底线，也是我们服务好每一位用户的共同基础。过去二十余年，天威诚信始终致力于"构建信任、传递信任"。这一次的合规升级，我们愿与所有合作伙伴一道，把每一张证书办得更严谨，让每一份电子签名守护得更可靠——让数字世界里的每一次"落笔"，都经得起法律与时间的检验。

更多企业动态推荐