Jak sprawdzić poprawność pliku podpisanego elektronicznie?

Poprawność pliku podpisanego elektronicznie sprawdzisz wyłącznie za pomocą narzędzia walidującego, na przykład usługi na podpis.gov.pl albo programu do weryfikacji podpisów. Sam widoczny na dokumencie znaczek, podpis odręczny lub informacja „dokument podpisany” nie potwierdzają ważności podpisu.

Dlaczego obrazek podpisu nie wystarcza?

Graficzny znak umieszczony w dokumencie to faksymile, czyli wizualizacja podpisu. Może wyglądać jak odręczny podpis albo zawierać imię i nazwisko osoby podpisującej, ale sam w sobie jest tylko elementem treści dokumentu. Można go wkleić do pliku bez składania jakiegokolwiek podpisu elektronicznego.

Weryfikacja techniczna sprawdza między innymi tożsamość podpisującego, certyfikat oraz integralność danych. Narzędzie walidujące porównuje podpisaną treść z informacjami zapisanymi w strukturze podpisu. Zmiana choćby jednego bajta w podpisanej części pliku może spowodować negatywny wynik weryfikacji.

Usługa na podpis.gov.pl potwierdza ważność podpisu, gdy podpisana część dokumentu nie została zmieniona, a certyfikat osoby podpisującej jest ważny w chwili sprawdzania albo był ważny w momencie złożenia podpisu i dokument zawiera dane pozwalające to potwierdzić.

Jak sprawdzić plik na podpis.gov.pl?

Do podstawowej weryfikacji nie potrzebujesz własnego certyfikatu ani płatnego programu. Rządowa usługa pozwala sprawdzać podpisy w wielu formatach, między innymi PDF i XML. Zgodnie z informacjami usługi można jednocześnie sprawdzić do pięciu plików, których łączny rozmiar nie przekracza 25 MB. Limity i sposób działania serwisu mogą się zmieniać, dlatego przy problemach warto sprawdzić aktualne komunikaty na stronie.

Weryfikację wykonasz w następującej kolejności:

1. Wejdź na stronę podpis.gov.pl i wybierz usługę podpisywania lub sprawdzania dokumentu.
2. Dodaj otrzymany plik albo przeciągnij go na wskazane pole.
3. Poczekaj, aż dokument zostanie prawidłowo wczytany.
4. Przy pliku zawierającym podpis wybierz przycisk „Sprawdź, kto podpisał”.
5. Odczytaj szczegóły i status każdego podpisu.

Najważniejszy jest status „Ważny”. Oznacza on, że system pozytywnie ocenił podpisaną treść oraz certyfikat w zakresie objętym walidacją. Przy dokumencie z kilkoma podpisami sprawdź osobno każdy z nich. Jeden nieważny podpis nie musi oznaczać, że wszystkie pozostałe również są nieprawidłowe.

Wynik można zapisać w pliku PDF. Ma to znaczenie, gdy dokument jest istotny urzędowo, umownie lub procesowo. Sama usługa podpis.gov.pl jest usługą weryfikacji, a nie kwalifikowaną usługą zaufania, i nie służy do automatycznej walidacji dużych zbiorów dokumentów.

PAdES, XAdES i rodzaje plików podpisu

To, gdzie znajduje się podpis, zależy od formatu i typu podpisu. PAdES jest przeznaczony dla dokumentów PDF. Podpis znajduje się w strukturze pliku PDF, dlatego użytkownik zazwyczaj otrzymuje jeden dokument, który można otworzyć w czytniku PDF.

XAdES jest formatem opartym na XML i może służyć do podpisywania różnych rodzajów danych. Często spotkasz go jako osobny plik z rozszerzeniem .xades. W takim przypadku nie wolno traktować pliku podpisu jako samodzielnego dokumentu.

Przy podpisie zewnętrznym potrzebne są dwa elementy: plik źródłowy, na przykład PDF, oraz plik podpisu .xades. Pełnomocnik, urząd lub inny odbiorca musi otrzymać oba pliki. Sam plik PDF nie pozwala wtedy zweryfikować podpisu, a sam plik XAdES nie zawiera pełnej treści dokumentu.

W podpisie otaczającym podpis i podpisywana treść są zapisane w jednym pliku, ale plik może mieć rozszerzenie właściwe dla podpisu, a nie dla dokumentu, który chcesz odczytać. Podpis otoczony jest zapisywany wewnątrz struktury podpisywanego dokumentu, typowo XML. Nazwy typów nie opisują więc tego samego co formaty PAdES i XAdES.

Co oznacza status „Nieważny”?

Status „Nieważny” nie jest zwykłym ostrzeżeniem dotyczącym wyglądu dokumentu. Oznacza, że walidator nie może potwierdzić podpisu w aktualnym stanie pliku. Najczęstsze przyczyny są następujące:

• Zmiana podpisanej treści – plik został edytowany, zapisany ponownie albo uszkodzony po złożeniu podpisu.
• Wygaśnięcie certyfikatu – certyfikat nie jest już ważny, a podpis nie zawiera danych pozwalających potwierdzić jego ważność z chwili podpisania.
• Unieważnienie certyfikatu – wystawca certyfikatu odwołał go przed upływem terminu ważności.
• Brakujący element podpisu – przy podpisie zewnętrznym nie dołączono pliku źródłowego albo pliku .xades.

Nie zapisuj podpisanego pliku ponownie w edytorze tekstu ani w programie do tworzenia PDF, jeśli nie wiesz, jakie zmiany wprowadzi aplikacja. W dokumentach PDF mogą występować modyfikacje umieszczone poza podpisaną treścią. System może wtedy pozostawić status „Ważny”, ale zaznaczyć w szczegółach, że po podpisaniu dodano elementy wpływające na wizualizację dokumentu. Dlatego przy ważnym pliku trzeba przeczytać nie tylko ogólny status, lecz także szczegóły walidacji.

Przy podpisie zewnętrznym PDF i plik .xades są jednym kompletem. Do weryfikacji zawsze zachowaj oba pliki.

Jeżeli wynik jest negatywny w sprawie urzędowej, podatkowej, sądowej lub umownej, nie edytuj otrzymanych plików i nie próbuj ich naprawiać przez zmianę rozszerzenia. Zachowaj oryginalne załączniki, sprawdź ponownie komplet plików i w razie potrzeby poproś nadawcę o ponowne przesłanie dokumentu. Przy istotnych skutkach prawnych warto skonsultować problem ze specjalistą.

Jak zachować dowód weryfikacji?

Jeśli wynik sprawdzenia może mieć znaczenie dowodowe, zapisz raport lub Elektroniczne Poświadczenie Weryfikacji, czyli EPW. Taki dokument wskazuje wynik walidacji w określonym momencie i może zostać dołączony do akt sprawy razem z oryginalnym podpisanym plikiem.

Jest to istotne, ponieważ późniejszy wynik może zależeć od terminu ważności certyfikatu, statusu wystawcy oraz dostępności danych potrzebnych do walidacji. EPW nie zastępuje podpisanego dokumentu. Stanowi potwierdzenie, że weryfikację wykonano i jaki był jej rezultat w danym czasie.

Najbezpieczniejsza procedura jest prosta: zachowaj oryginalny plik, przy podpisie zewnętrznym przechowuj również plik źródłowy i .xades, sprawdź status każdego podpisu, a przy ważnej sprawie zapisz raport z weryfikacji. Nie ufaj samemu faksymile ani treści komunikatu widocznego na stronie dokumentu.