欧盟 eIDAS 框架经常出现三个缩写：SES、AES、QES。它们都被称为“电子签名”，但在身份核验、密钥保护、证书来源和法律推定上并不相同。企业如果在合同或招标文件里看到“qualified electronic signature”要求，却提交了普通电子签名，可能在收件方审核阶段被退回。
本文做概念性说明，不构成法律意见。具体合同效力、行业要求和跨境认可，应结合签署地法律与专业顾问意见。更多 QES 申请与使用内容可参考本站QES 合格电子签名栏目，产品说明见QES 页面。
一、SES：基础层级的电子签名
SES 是 Simple Electronic Signature，通常指点击确认、输入验证码、手写签名图片等电子形式。eIDAS 对 SES 没有统一的身份核验和签名设备要求，因此它的可信程度取决于具体实现。企业内部审批、低风险确认可以使用 SES，但在需要证明签署人身份或抵抗抵赖的场景，证据强度有限。
很多平台把“电子签名”包装成一项功能，实际只是账号登录后点击同意。这样的签名可以记录操作日志，但不等于具备合格签名设备或 CA 证书。判断时要看背后是否有身份核验、密钥保护和可验证的签名值。
二、AES：高级电子签名
AES 是 Advanced Electronic Signature，要求签名与签署人单一关联、能够识别签署人、由签署人单独控制，并且签名后对文档修改可检测。它强调签名设备和流程的安全属性，但不要求证书必须由合格信任服务提供者签发。
AES 可以通过组织证书、硬件密钥或合规的签名平台实现。对大多数商业合同，AES 已经能提供较强的身份关联和防篡改能力。但 AES 不是 QES，收件方如果明确要求合格签名，AES 不能直接替代。
三、QES：合格电子签名
QES 是 Qualified Electronic Signature，要求使用合格签名创建设备，并由合格信任服务提供者签发合格证书。它通常需要面对面或等效的身份核验，私钥保护要求更高。eIDAS 对 QES 有法律推定安排，但具体适用仍受签署地法律和场景约束。
QES 的“合格”不是企业自封的标签，而是由合格信任服务提供者按 eIDAS 要求签发和管理。证书、签名设备、身份核验和时间戳构成一套证据链。仅有一张写着“Qualified”的证书图片，不能说明签名流程合格。
四、四个维度对比
| 维度 | SES | AES | QES |
|---|---|---|---|
| 身份核验 | 无统一要求 | 需能识别签署人 | 合格身份核验 |
| 签名设备 | 无统一要求 | 需由签署人控制 | 合格签名创建设备 |
| 证书来源 | 不要求 | 可由普通 CA 签发 | 合格信任服务提供者 |
| 修改检测 | 视实现而定 | 要求可检测 | 要求可检测 |
从 SES 到 QES，要求逐步提高，成本和操作复杂度也相应增加。企业不必所有文件都用 QES，但涉及欧盟公共机构、受监管行业或客户明确要求的合同，应优先确认 QES 要求。
五、企业怎么选
先看收件方规则，而不是先看价格。招标文件、客户合同、行业监管要求如果写明“qualified”，就按 QES 准备；如果只要求可验证的电子签名，AES 可能已经满足。内部审批和低风险确认可以使用 SES，但要保留操作日志和审批记录。
还要看签署对象和保存年限。QES 通常需要线下核验，签署人不在同一城市时会增加安排成本。跨境合同还要确认收件方是否接受该国合格信任服务提供者签发的证书，以及是否需要合格时间戳。
六、常见误解
- “有证书就是 QES”：普通组织证书不是合格证书。
- “PDF 能签名就是合格签名”：阅读器功能不等于 eIDAS 等级。
- “QES 在所有国家自动有效”：认可规则受当地法律和场景影响。
- “AES 一定比 SES 安全”：实现方式不同，关键看身份核验和密钥保护。
把这些概念写进内部培训材料，能减少销售、法务和 IT 之间的沟通偏差。对外报价或承诺前，先确认证书类型和签名流程，不要用模糊的“欧盟电子签名”描述替代具体等级。
七、SSLDUN 与 Certum 的角色
SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权。2026 年 6 月起，针对欧盟 QTSP 授权范围内的 QES 业务，SSLDUN 可协助安排线下核验与材料准备，授权书编号为 699/P/CC/2026。具体签发、身份核验标准和认可范围仍由合格信任服务提供者按 eIDAS 规则执行。
企业准备 QES 时，应预留线下核验时间，确认经办人身份、授权文件和企业登记信息一致。对跨境客户，提前提供证书说明和验签方法，避免文件发出后才发现对方不认可签名等级。
八、实施提示
企业落地时可以先做一张“签名等级对照表”，把合同类型、收件方要求、签署人、证书等级、时间戳和归档年限逐列写清。销售和法务在对外承诺前查表，避免把 AES 说成 QES，也避免所有文件都过度配置。对照表每半年复核一次，跟随客户要求和法规变化更新。
对首次使用 QES 的团队，安排一次内部演练：从证书介质连接、签署、验签到归档完整走一遍，记录失败点和操作时间。演练使用测试文件，不涉及真实合同。演练后再确定操作手册和应急联系人，比直接上生产更稳妥。
九、常见问题
问：QES 一定比 AES 更适合合同吗？
答：取决于收件方要求和风险等级。QES 的证据要求更高，但成本和流程也更复杂。
问：SES 有法律效力吗？
答：eIDAS 不对 SES 作统一效力推定，具体效力取决于场景、证据和适用法律。
问：QES 签名需要时间戳吗？
答：长期保存和审计场景通常需要可信时间戳与验证证据，具体配置按签名服务和归档要求执行。