🟡 【痛点提示块】 长期以来，国内使用 Certum 证书的用户普遍遇到同类难题： 证书申请阶段，缺少符合 CA 规范的 CSR 快速生成工具； 软件签名发布前，很难快速核验代码签名证书权限、时间戳是否写入成功； 跨境业务收到 Certum QES 签章 PDF 文件，本地阅读器验签信息不全，核验门槛高； 企业多证书资产依靠人工台账，极易遗漏到期时间，引发业务故障； 混合密码项目中，国际证书体系和国密算法调试缺少稳定在线辅助工具。 本次升级，正是针对 Certum 证书全生命周期高频痛点补齐核验与管理短板。

🔥 四大新增核心功能详解（重点板块）

1、代码签名检测工具｜适配 Certum OV / EV 代码签名证书，双模块核验闭环

代码签名检测分为证书资质预检与文件签名验签两大独立模块，覆盖证书使用前、程序发布前两个关键节点：

• 📌 证书预检模块：上传证书文本，自动读取证书 EKU 扩展、密钥用法、签名算法、证书链信息，快速判断当前 Certum 代码签名证书是否具备合法代码签名权限，提前排查证书属性配置异常，避免证书签发完成后无法正常签名。
• 📌 文件验签模块：支持上传 exe、dll、sys、ocx、efi、cab 等 Windows 可执行程序文件，自动解析 Authenticode 签名结构、RFC3161 时间戳信息，识别签名类型为 Certum OV 代码签名或 EV 代码签名。输出报告包含：签名有效性、证书链信任状态、SHA256 双签名配置、时间戳嵌入结果。

🟢 【重点提醒】 时间戳是 Certum EV 代码签名的核心要点：即使证书本身到期，带有有效时间戳的签名文件依旧保持可信，不会被 Windows 标记为未知发布者。 传统验签依赖 signtool 命令行，测试、商务人员上手难度大；网页端工具上传即可生成可视化报告，适合软件发布自检、客户安全告警快速排查。

2、QES 电子签章校验工具｜面向 Certum eIDAS 合格电子签名跨境合规场景

Certum QES 合格电子签名、电子印章遵循欧盟 eIDAS 法规，在跨境合同、外贸单据、跨境政务材料中具备对应的合规效力，也是cncertum.com重点服务品类。 ✅ 支持核验：PDF 内嵌电子签章、p7s、p7m 签名文件 ✅ 校验逻辑：按照 PDF ByteRange 规则重新计算原文摘要，比对签名值，判定文档在签章完成后是否被篡改 ✅ 自动提取信息：签章证书主体、是否为 Certum QES 合格证书、签章时间、签名算法、完整证书签发链路

🟠 【边界说明提示】 国内很多外贸、供应链企业接收海外合作方使用 Certum QES 签署的 PDF 文件，常规 PDF 阅读器经常无法完整展示 eIDAS 合格签章详情。 本工具无需安装专业客户端，上传文件一键获取验签报告，辅助法务、合规人员完成材料审核。 ⚠️ 重要声明：工具仅做技术层面文档完整性核验，技术核验结果不等同于法律意见，合规判定需要结合 eIDAS 法规与实际业务场景综合评估。

3、国密 SM2/SM4 密码工具箱｜国密调试辅助，适配混合密码架构项目

本次上线国密算法工具箱，集成 SM2 非对称签名验签、SM4 对称加解密、SM3 哈希运算能力：

• SM2：支持密钥生成、公私钥格式转换、签名验签调试
• SM4：支持 ECB、CBC 两种常用工作模式，支持自主配置密钥与偏移向量

很多企业同时双线布局：对外业务使用 Certum 国际算法 SSL、代码签名证书对接海外市场；对内业务系统需要满足等保、商用密码规范。开发人员对接国密接口时，经常缺少轻量化在线调试工具，难以快速比对接口输出结果、定位摘要不匹配、加解密异常问题。

🔵 【安全提示】 本工具箱定位开发自测、联调排错辅助工具，不建议直接在生产级高安全业务中依赖网页端密码工具，仅用于开发阶段结果核对。

4、批量证书监控工具｜集中管理多张 Certum 证书资产，规避过期风险

针对持有多张 Certum SSL、代码签名、文档签名证书的企业用户打造： ✅ 批量录入域名或者证书文本，批量创建监控任务 ✅ 自动抓取证书主题、签发 CA、有效期起止、剩余有效天数 ✅ 自动分组归类：正常证书、即将到期证书、已过期证书 ✅ 支持导出 CSV 证书清单，方便运维归档、内部同步

🟢 【重点提醒】 受 CA/B 论坛规则约束，代码签名证书有效期规则持续收紧，证书过期会直接造成网站 HTTPS 告警、软件签名失效，影响业务正常交付。 使用批量监控工具可以定期刷新证书状态，统一管理全部 Certum 证书资产，运维人员无需逐个查询证书页面，提前规划续费、重签计划，降低过期故障风险。

🧰 原有成熟工具矩阵同步开放，覆盖证书申请与部署全流程

四大新功能之外，平台原有全套工具持续优化，和 Certum 证书服务深度适配：

• ✅ CSR 生成 & 解析工具：支持 RSA、ECC 算法，一键输出 CSR 请求文件与私钥，输出格式适配 Certum 证书申请规范，兼容 Nginx、Apache、IIS 等主流服务器
• ✅ SSL 链路检测工具：远程探测域名 HTTPS 服务、证书链、协议版本、加密套件，排查证书链缺失、配置错误引发的浏览器安全告警
• ✅ 证书解析工具：粘贴证书文本，读取全部扩展字段、SAN 多域名列表、吊销状态信息
• ✅ DNS 预检工具：提交 Certum 域名验证之前，提前解析 A 记录、NS 记录，提前识别解析异常，提升 DV/OV 证书验证通过率
• ✅ 证书格式转换工具：PEM、PFX、CER 等证书格式互转，适配各类服务器、签名工具的格式要求

整套工具平台采用自研架构，不依赖第三方公共检测接口，检测运算在本地完成，减少外部调用带来的不稳定问题，适配 Certum 证书审核、部署、运维全流程习惯。 工具站面向所有用户免费开放，无论您是在cncertum.com提交 Certum 证书订单的客户，还是行业技术人员，都可以直接访问 tools.ssldun.com 使用全部功能，配套教程持续更新，与cncertum.com站点内 Certum 产品介绍、申请指南、QES 核验、代码签名服务内容相互配套。

📊 升级价值总结

Certum 作为欧洲老牌可信服务提供商，产品矩阵覆盖 SSL 传输加密、代码签名、文档签名、eIDAS 合格电子签章 QES 等品类。国内落地数字信任方案，除证书审核签发服务之外，配套技术工具的完善同样关键。

本次工具站升级，打通 Certum QES 签章、代码签名两大特色产品核验能力，补齐国密调试、批量证书资产管理能力，形成完整链路：

证书申请材料生成 → 证书部署诊断 → 签名文件验签 → 签章文件校验 → 证书生命周期监控

✅ 软件厂商：Certum OV/EV 代码签名流程配套自检，提前核验证书、校验程序签名、核对时间戳，降低发布事故 ✅ 跨境贸易企业：快速核验 Certum 出具的 eIDAS QES 合格签章 PDF 文件，支撑跨境合同、单证流转 ✅ 政企集成商：国密工具箱辅助混合密码架构开发调试，批量监控统一管理国内外多品牌证书资产 ✅ 运维工程师：一站式 SSL 检测、CSR 生成、格式转换、DNS 预检，简化 Certum 证书部署排障流程

后续，SSLDUN 还会持续跟进 Certum 官方政策更新、eIDAS 规范变化、CA/B 论坛规则迭代，持续优化工具校验逻辑，跟进代码签名、QES 电子签名相关规则调整，持续完善配套技术服务能力，为国内用户使用 Certum 全系列数字信任产品提供稳定、便捷的技术支撑。

• Certum OV Cloud 代码签名证书
• Certum EV Cloud 代码签名证书

均为 SimplySign 云端证书，无硬件 UKey，密钥托管在 Certum 云端，不本地导出

二、材料清单（护照核验版）

✅ OV 企业证书

1. 营业执照清晰扫描件
2. 申请人护照原件（如果没有护照，须提供手持身份证正面和背面各1张经过人工上传认证，可以加多重水印）
3. 申请人如果不是法人：Certum 固定模板的英文授权书签字盖章（如果是法人，不需要这个授权书，）

✅ EV 企业证书

1. OV 全部材料
2. 企业注册地址证明（近 3 个月房租或水费或电费发票，地址与营业执照保持一致）

三、完整签发步骤

1. SSLDUN 平台下单支付 登录 SSLDUN 站点，选择 Certum OV/EV 云端代码签名，提交订单并完成付款。然后证书管理填写公司资料生成certum订单，certum系统同步向申请人预留邮箱发送订单通知以及 Certum 官方身份核验链接，该链接是护照核验入口。
2. 核验入口：手机打开邮件链接做原件核验 优先使用手机浏览器打开邮件内核验链接，电脑摄像头识别成功率偏低。

• 核对表单内申请人英文姓名：必须和护照机读区拼音完全一致，拼写、空格、连字符不能修改
• 证件类型选择护照原件(不能是复印件，也不需要手持)，进入拍摄环节
• 现场实拍护照个人信息原件页，保证四角完整、文字清晰、无反光、无遮挡，禁止截图、翻拍扫描件
• 完成活体人脸核验：跟随指引完成眨眼、转头动作，系统自动比对人脸与护照照片
• 提交核验，结果自动回传给 Certum 审核系统

3. SSLDUN 预审 SSLDUN 后台同步接收订单状态，提前校验企业资料、授权书格式，提前排查信息不一致问题，降低 Certum 驳回概率。护照自助在线核验链路下，不需要再提供手持身份证正反面上传。
4. Certum 组织资质审核

• OV：核验工商信息、申请人授权关系，材料齐全一般 2 小时～1 个工作日完成审核
• EV：增加注册地址核验、企业电话回访核验，审核周期 1~2个工作日

5. 证书签发 & SimplySign 账号激活 资质 + 身份核验全部通过后，证书签发在申请人对应的 SimplySign 云端虚拟卡。申请人邮箱收到激活邮件：

• 下载 SimplySign 桌面客户端、手机 App
• 完成 MFA 二次验证绑定

6. 代码签名使用 使用 signtool 调用云端证书签名，签名命令必须携带 Certum 时间戳，保证证书过期后签名依旧有效。 i免费时间戳地址：http://time.certum.pl

四、护照核验重点注意事项

1. 核验链接具备有效期，收到邮件建议尽快操作，超时需要联系 SSLDUN 重新推送链接
2. 只支持护照原件现场拍摄，扫描件、照片翻拍直接核验失败
3. 核验模式二选一，选定护照链路，不要重复提交身份证相关材料，避免审核混乱
4. 护照破损、信息涂改、有效期不足，都会直接核验失败

这次调整主要涉及内容分类和阅读路径，不改变本站既有产品或服务范围。具体证书能否签发、如何审核，仍以 CA 规则和实际申请流程为准。读者可以从新闻中心首页进入全部文章，也可以按下方栏目分别浏览。

一、六个栏目分别放什么

公告资讯用于发布站点说明、服务安排、行业动态和政策观察，例如新闻中心改版、证书管理提醒、电子签名规则变化。代码签名证书栏目聚焦 Windows 驱动、软件安装包、脚本和发布流程。文档签名证书栏目讨论 PDF、Office 文档、合同签署、时间戳与长期验证。

QES 合格电子签名栏目面向欧盟 eIDAS 框架下的合格签名，包括身份核验、跨境使用和批量签署。Qseal 电子印章栏目讨论企业电子印章、用印审批和盖章文件验证。SSL 证书栏目覆盖 DV、OV、EV 选型、域名规划、证书链部署和 HTTPS 迁移。

二、栏目入口与文章地址

六个栏目分别对应独立列表页：公告资讯、代码签名证书、文档签名证书、QES 合格电子签名、Qseal 电子印章、SSL 证书。列表页按发布时间展示文章摘要，点击标题进入详情页。

文章详情页地址采用 /article/ 加英文标识的形式，便于分享和长期引用。页面内提供发布日期、栏目归属、摘要和正文，并在文末列出同栏目相关内容。读者如果从搜索引擎进入单篇文章，可以通过栏目入口继续浏览同一主题。

三、阅读顺序建议

初次接触代码签名证书的读者，可以先读“代码签名证书怎么选”与“发布前规划”，再根据产品类型查看驱动、脚本或安装包文章。文档签名读者可以从证书类型、企业签署流程、时间戳与长期验证依次阅读。QES 与 Qseal 涉及较多合规概念，建议先区分电子签名、电子印章和合格等级，再看具体申请流程。

SSL 证书读者可以先做域名盘点，再选证书等级，随后阅读部署排查和续期监控。公告资讯中的政策观察用于了解背景，不替代具体法规原文。遇到项目决策，仍应结合业务合同、收件方要求和专业意见。

四、内容更新与纠错

新闻中心会按主题持续补充文章，优先覆盖企业在申请、部署、续期和归档中反复遇到的问题。文章中的流程、材料和工具说明基于一般实践，CA 规则、浏览器策略和平台要求可能调整。读者发现表述过时、链接失效或内容错误，可以通过本站公布的联系方式反馈。

对涉及具体证书产品的信息，本站尽量区分“一般知识”“申请条件”“审核结果”三个层面。审核结果由 CA 按当期规则作出，文章不承诺签发时间、通过率或特定展示效果。读者在采购前应核对产品页面和申请说明。

五、站内链接与引用

文章中的站内链接用于补充背景和延伸阅读，不构成对特定产品的购买建议。引用本站文章时，请保留原文链接和发布日期，避免截取片段造成歧义。涉及法规、标准或第三方平台规则的内容，建议同时查阅官方原文。

本站文章为原创内容，欢迎在注明来源的前提下用于内部培训和业务交流。如需批量转载、商业合作或内容纠错，请通过站点联系方式沟通。

六、关于 SSLDUN 与 Certum

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，2022 年起通过 API 方式对接相关签发流程。2026 年 6 月起，针对欧盟 QTSP 授权范围内的 QES 业务，可协助安排线下核验，授权书编号为 699/P/CC/2026。上述信息用于说明服务背景，不构成对审核结果或签发时间的承诺。

读者在选择证书时，应重点确认申请主体、使用场景、收件方要求和后续维护能力。证书只是数字信任的一环，流程、权限和归档同样重要。

栏目页面的排序按发布时间倒序，同一天发布时按后台设定的顺序展示。读者如果只想看某一类内容，使用栏目 tab 切换，不必在全部文章里翻找。移动端和桌面端使用同一套内容结构，页面宽度变化时卡片会重新排列，不影响阅读。

如果读者希望按关键词查找，可以使用站内搜索或搜索引擎的 site 语法。文章标题和摘要尽量包含主题词，正文中的站内链接也提供上下文。我们发现链接失效或分类错误时，会尽快修正并在页面上更新。

七、常见问题

问：新闻中心改版后，旧文章链接还能用吗？
答：文章详情页按独立地址生成，栏目调整主要影响列表归类。若发现旧链接无法访问，可通过站内搜索或栏目入口查找。

问：文章能否作为申请依据？
答：文章用于一般说明，具体材料、审核标准和费用以 CA 当期申请页面为准。

问：如何推荐选题？
答：可以通过本站联系方式提交业务场景和问题，我们会根据共性需求安排内容。

本文做选型说明，不构成对浏览器展示或商业合作的承诺。证书规则和浏览器策略会调整，购买前应以 CA 当期说明为准。更多 SSL 内容可参考本站SSL 证书栏目，产品信息见SSL 证书页面。

一、DV：只验证域名控制权

DV 是 Domain Validation，CA 通过 DNS 记录、文件上传或邮件等方式确认申请人控制该域名。审核速度快，通常几分钟到数小时完成。证书只包含域名信息，不显示企业名称。它适合博客、测试环境、内部工具、临时活动页等以加密传输为主要目标的场景。

DV 不证明企业身份。对需要展示组织信息的电商、金融、政务或企业官网，单靠 DV 可能不足以建立信任。用户点击锁形图标只能看到连接加密，不能确认运营主体。

二、OV：验证组织身份

OV 是 Organization Validation，除域名控制权外，还要核验企业或组织的注册信息、名称、地址和电话。证书详情中会包含组织名称，浏览器通常通过证书信息或站点标识展示。审核需要提交营业执照、授权文件等材料，周期比 DV 长。

OV 适合企业官网、SaaS 平台、客户门户、B2B 交易站点。它能在证书层面证明“这个域名由某组织运营”，对需要建立商业信任的站点更有价值。审核材料中的名称一致性很重要，企业更名、地址变更时要提前准备证明。

三、EV：扩展验证

EV 是 Extended Validation，审核更严格，通常要求更完整的企业身份核验和授权确认。过去浏览器会用醒目的绿色地址栏展示 EV 信息，现在主流浏览器的展示方式已经变化，不能把“绿色地址栏”作为单一判断依据。EV 的价值更多体现在审核深度、证书信息和部分行业准入要求。

EV 适合对身份验证要求较高的金融、支付、大型企业门户，以及客户或平台明确要求 EV 的场景。是否需要 EV，应先看业务规则和收件方要求，而不是只看浏览器外观。

四、三个等级对比

三种证书的加密强度并不由等级决定，而由密钥算法、密钥长度和服务器配置决定。等级影响的是身份验证深度和证书信息，不应把 DV 说成“不加密”，也不应把 EV 说成“加密更强”。

五、按业务分层配置

企业不必所有域名都用同一等级。主站、客户登录、支付相关页面可以使用 OV 或 EV；营销活动页、测试环境、内部工具可以使用 DV；多个子域按实际用途规划。分层配置能平衡审核成本和管理复杂度。

如果同一品牌下有多个站点，建议统一证书主体和运维规范，避免出现主站是 OV、子站是 DV、证书信息不一致的情况。对外展示时，清楚说明不同站点的用途，减少用户困惑。

六、选型时容易忽略的问题

• 域名数量：单域名、多域名还是通配符，先盘点实际使用范围。
• 组织名称：营业执照名称与网站品牌名可能不同，需要说明。
• 审核联系人：电话能否接通，是否了解申请事项。
• 部署环境：服务器、CDN、负载均衡是否都支持证书链。
• 续期方式：手工续期还是自动化，是否有到期监控。
• 合规要求：行业或客户是否指定证书等级、CA 或密钥算法。

这些问题在购买前确认，比证书下来后才发现不匹配更省时间。尤其是多域名和通配符，证书覆盖范围一旦确定，后续追加域名可能需要重新签发。

七、SSLDUN 与 Certum 的服务边界

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业准备 SSL 证书申请材料、沟通审核问题和安排续期。证书能否签发、浏览器如何展示，由 CA 规则和浏览器策略决定，服务方不能作出结果承诺。

企业应指定证书管理人，建立域名和证书台账，记录到期时间、部署位置和续期联系人。对多站点企业，建议每季度核对一次证书清单，避免遗漏即将到期的域名。

八、采购前的确认清单

下单前把域名、主体、联系人、部署环境和续期方式写成一张确认单。域名要区分主域、www、子域和旧域名；主体要确认营业执照名称与英文翻译；联系人要能接听核验电话；部署环境要确认服务器、CDN 和负载均衡都支持证书链；续期要明确由谁负责。

若企业有多个品牌或多个业务线，按站点分别确认，不要用一张证书覆盖所有场景。对需要 EV 的项目，先确认审核材料和办理周期，再安排上线时间。确认单由业务、运维和采购共同签字，减少后续变更。

九、常见问题

问：DV 证书能否用于企业官网？
答：技术上可以加密，但证书不显示组织信息。是否需要 OV 取决于业务信任要求。

问：EV 证书是否一定显示绿色地址栏？
答：主流浏览器展示方式已变化，不能以此作为单一判断。应以证书详情和实际审核为准。

问：证书等级越高，网站速度越快吗？
答：没有直接关系。速度主要取决于服务器配置、网络和 TLS 优化。

本文做概念性说明，不构成法律意见。具体合同效力、行业要求和跨境认可，应结合签署地法律与专业顾问意见。更多 QES 申请与使用内容可参考本站QES 合格电子签名栏目，产品说明见QES 页面。

一、SES：基础层级的电子签名

SES 是 Simple Electronic Signature，通常指点击确认、输入验证码、手写签名图片等电子形式。eIDAS 对 SES 没有统一的身份核验和签名设备要求，因此它的可信程度取决于具体实现。企业内部审批、低风险确认可以使用 SES，但在需要证明签署人身份或抵抗抵赖的场景，证据强度有限。

很多平台把“电子签名”包装成一项功能，实际只是账号登录后点击同意。这样的签名可以记录操作日志，但不等于具备合格签名设备或 CA 证书。判断时要看背后是否有身份核验、密钥保护和可验证的签名值。

二、AES：高级电子签名

AES 是 Advanced Electronic Signature，要求签名与签署人单一关联、能够识别签署人、由签署人单独控制，并且签名后对文档修改可检测。它强调签名设备和流程的安全属性，但不要求证书必须由合格信任服务提供者签发。

AES 可以通过组织证书、硬件密钥或合规的签名平台实现。对大多数商业合同，AES 已经能提供较强的身份关联和防篡改能力。但 AES 不是 QES，收件方如果明确要求合格签名，AES 不能直接替代。

三、QES：合格电子签名

QES 是 Qualified Electronic Signature，要求使用合格签名创建设备，并由合格信任服务提供者签发合格证书。它通常需要面对面或等效的身份核验，私钥保护要求更高。eIDAS 对 QES 有法律推定安排，但具体适用仍受签署地法律和场景约束。

QES 的“合格”不是企业自封的标签，而是由合格信任服务提供者按 eIDAS 要求签发和管理。证书、签名设备、身份核验和时间戳构成一套证据链。仅有一张写着“Qualified”的证书图片，不能说明签名流程合格。

四、四个维度对比

从 SES 到 QES，要求逐步提高，成本和操作复杂度也相应增加。企业不必所有文件都用 QES，但涉及欧盟公共机构、受监管行业或客户明确要求的合同，应优先确认 QES 要求。

五、企业怎么选

先看收件方规则，而不是先看价格。招标文件、客户合同、行业监管要求如果写明“qualified”，就按 QES 准备；如果只要求可验证的电子签名，AES 可能已经满足。内部审批和低风险确认可以使用 SES，但要保留操作日志和审批记录。

还要看签署对象和保存年限。QES 通常需要线下核验，签署人不在同一城市时会增加安排成本。跨境合同还要确认收件方是否接受该国合格信任服务提供者签发的证书，以及是否需要合格时间戳。

六、常见误解

• “有证书就是 QES”：普通组织证书不是合格证书。
• “PDF 能签名就是合格签名”：阅读器功能不等于 eIDAS 等级。
• “QES 在所有国家自动有效”：认可规则受当地法律和场景影响。
• “AES 一定比 SES 安全”：实现方式不同，关键看身份核验和密钥保护。

把这些概念写进内部培训材料，能减少销售、法务和 IT 之间的沟通偏差。对外报价或承诺前，先确认证书类型和签名流程，不要用模糊的“欧盟电子签名”描述替代具体等级。

七、SSLDUN 与 Certum 的角色

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权。2026 年 6 月起，针对欧盟 QTSP 授权范围内的 QES 业务，SSLDUN 可协助安排线下核验与材料准备，授权书编号为 699/P/CC/2026。具体签发、身份核验标准和认可范围仍由合格信任服务提供者按 eIDAS 规则执行。

企业准备 QES 时，应预留线下核验时间，确认经办人身份、授权文件和企业登记信息一致。对跨境客户，提前提供证书说明和验签方法，避免文件发出后才发现对方不认可签名等级。

八、实施提示

企业落地时可以先做一张“签名等级对照表”，把合同类型、收件方要求、签署人、证书等级、时间戳和归档年限逐列写清。销售和法务在对外承诺前查表，避免把 AES 说成 QES，也避免所有文件都过度配置。对照表每半年复核一次，跟随客户要求和法规变化更新。

对首次使用 QES 的团队，安排一次内部演练：从证书介质连接、签署、验签到归档完整走一遍，记录失败点和操作时间。演练使用测试文件，不涉及真实合同。演练后再确定操作手册和应急联系人，比直接上生产更稳妥。

九、常见问题

问：QES 一定比 AES 更适合合同吗？
答：取决于收件方要求和风险等级。QES 的证据要求更高，但成本和流程也更复杂。

问：SES 有法律效力吗？
答：eIDAS 不对 SES 作统一效力推定，具体效力取决于场景、证据和适用法律。

问：QES 签名需要时间戳吗？
答：长期保存和审计场景通常需要可信时间戳与验证证据，具体配置按签名服务和归档要求执行。

本文按开发者的实际流程梳理三条常见路径，并说明 EV 代码签名在其中的位置。文中信息用于一般技术说明，微软与 CA 的具体规则可能调整，提交前应以对应平台当期文档和审核要求为准。想了解证书类型与申请材料，可同时参考本站代码签名证书栏目。

一、三个概念分别解决什么问题

WHQL 是 Windows Hardware Quality Labs 的兼容性测试体系，重点在于硬件与驱动在 Windows 平台上的兼容性和稳定性。通过相关测试并完成微软侧签署后，驱动会获得对应的兼容性标识，适合有正式硬件产品、需要进入 Windows Update 分发或强调兼容性背书的企业。

Attestation 提交则面向不进入 WHQL 测试范围的驱动。开发者通过微软合作伙伴平台提交驱动包，由平台完成签署，使驱动能够在启用了强制签名策略的 Windows 系统中加载。它解决的是“能否被系统接受加载”的问题，不等同于兼容性认证。

EV 代码签名证书是 CA 签发的组织验证型代码签名证书，通常用于对驱动、安装包和可执行文件做发布者签名。它解决的是“文件由谁发布、发布后是否被篡改”的问题。三者的目标不同，不能互相替代。

二、不同驱动对应的常见路径

很多企业会把“驱动文件签名”和“驱动提交签署”混为一谈。前者是在本地用代码签名证书给 .sys、.cat、安装包签名，后者是把驱动包提交给微软平台完成系统侧签署。实际项目往往两者都要做：先用企业证书确保发布链路完整，再按驱动类型走平台提交。

三、EV 代码签名在流程中的作用

EV 代码签名证书需要完成较严格的组织身份核验，证书私钥通常存放在硬件令牌或符合要求的密钥介质中。对驱动项目来说，它既是发布者身份的证明，也是微软合作伙伴平台组织账号验证中经常被要求的一环。证书上的组织名称应与提交主体、驱动发布者信息保持一致，避免因为主体不一致导致审核退回。

在构建环节，建议把签名放在发布流水线的固定步骤：编译产物校验、版本号写入、签名、时间戳、验签、归档。签名顺序不要随意调整，尤其是安装包内含多个可执行文件时，应先签内部文件，再签外层安装包，否则外层签名可能因内层文件变更而失效。

四、常见卡点与排查方向

• 组织名称不一致：营业执照、英文翻译、微软账号、证书主体四处名称不统一，审核阶段容易被要求补充说明。
• 私钥介质不合规：使用导出型私钥或来源不明的证书，可能无法通过平台校验，也不利于密钥安全。
• 缺少时间戳：证书到期后，没有时间戳的签名会失去可信时间依据，历史版本验签容易出现异常。
• 签名后再次改动文件：任何字节变化都会破坏签名，打包脚本应在签名后禁止二次写入。
• 驱动包结构不完整：缺少 .inf、.cat 或目录结构不符合提交规范，会在平台预检阶段被退回。

遇到签名失败时，先用系统自带工具查看签名链和错误码，再判断是证书链、时间戳、文件被改动还是平台策略问题。不要直接在原包上反复重签，保留未签名产物和日志，便于定位。

五、时间戳与证书生命周期

代码签名证书有明确有效期。为了让已发布的驱动在证书到期后仍可验证，签名时必须添加可信时间戳。时间戳证明“文件在该时间点已经完成签名”，验签工具会结合证书有效期和可信时间判断签名是否有效。没有时间戳的历史版本，在证书过期后可能出现提示异常。

证书续期不是简单换一个新文件。企业需要盘点仍在维护的驱动分支、历史安装包、合作伙伴交付版本，确认哪些需要重新签名，哪些只需保留归档。对长期供货的硬件厂商，建议建立版本台账，将证书序列号、有效期、签名时间和哈希值一并记录。

六、给开发团队的行动清单

1. 确认驱动属于 WHQL、Attestation 还是普通用户态组件，分别列出提交要求。
2. 核对组织主体、英文名称、地址和联系电话，确保与证书申请材料一致。
3. 准备符合要求的密钥介质，规定私钥使用人和审批流程。
4. 在 CI 中固定签名与时间戳步骤，签名后执行验签并保存日志。
5. 为每个发布版本记录哈希、签名时间、证书序列号和下载渠道。

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业完成资料预审、中文沟通和续期提醒。证书审核与签发仍由 CA 按当期规则执行，开发团队应预留材料补充和平台审核时间，避免把签名安排压到发布前一刻。

七、常见问题

问：有了 EV 代码签名，是否还需要微软平台签署？
答：两者目的不同。EV 证书证明发布者身份，平台签署解决驱动在 Windows 中的加载与分发要求。是否需要提交，取决于驱动类型和分发方式。

问：Attestation 提交后，本地还需要签名吗？
答：通常需要保留企业侧发布者签名，用于安装包、可执行文件和历史版本验证。具体顺序按平台文档执行。

问：证书到期后旧驱动还能用吗？
答：已在有效期内完成可信时间戳的签名，通常仍可进行历史验证；但新版本必须使用有效证书重新签名。建议在到期前完成续期和版本切换。

本文汇总续期中的高频疑问，供开发和采购团队参考。不同证书类型和 CA 的规则不同，具体材料与流程以当期申请页面为准。更多代码签名内容可参考本站代码签名证书栏目。

一、续期为什么要提前启动

代码签名证书涉及组织身份核验，部分类型还需要硬件介质交付。续期可能需要重新提交材料、接听核验电话、等待审核和邮寄介质。若等到到期前几天才启动，遇到补正或物流延迟，发布计划就会受影响。

建议在到期前两到三个月开始评估，至少预留一个月用于审核和测试。EV 证书、跨境主体或名称变更的项目，预留时间应更长。把续期写进年度发布计划，而不是等提醒邮件。

二、续期材料与主体一致性

续期时企业名称、注册地址、联系电话和经办人应与当前登记一致。若企业做过名称变更、地址迁移或法定代表人变更，准备变更证明，确保审核人员能串联历史信息。英文翻译、网站主体和软件发布者名称也应统一。

经办人更换时，重新出具授权文件。不要沿用旧授权或让不了解申请的人接听核验电话。材料中的软件用途描述应更新为当前产品，避免审核人员认为申请内容与历史不符。

三、旧证书和新证书能否并存

在旧证书到期前，新证书可以提前签发并用于测试。企业可以在测试环境验证新证书的签名、时间戳和平台兼容性，确认无误后再切换生产。旧证书到期后，已签名的历史版本仍可依靠时间戳进行验证，但新版本必须使用有效证书。

不要在同一批次中混用新旧证书而不记录。发布台账应标明每个版本使用的证书序列号和签名时间，便于客户验证和问题排查。

四、签名链与时间戳

新证书可能使用不同的中间证书或根证书。部署签名工具时，确认证书链完整，时间戳服务可访问。签名后立即验签，检查证书链、时间戳和文件哈希。若客户环境较旧，提前提供根证书或测试文件。

续期不会自动修复旧文件的时间戳。历史版本若缺少时间戳，在旧证书到期后可能验证困难。企业应评估是否需要重新签名历史版本，或保留原有证据链。

五、平台与驱动提交

涉及微软合作伙伴平台、驱动提交或应用商店的项目，续期后要确认平台是否接受新证书。组织账号、发布者信息和证书主体应保持一致。平台规则可能要求重新验证组织身份，提前查看后台通知。

如果新证书主体名称变化，平台侧可能需要更新资料。不要在未确认的情况下直接提交新版本，先用测试包验证流程。

六、历史版本与客户沟通

• 保留旧证书、旧安装包和签名日志，方便客户验证历史版本。
• 在更新说明中注明证书续期和发布者信息变化。
• 对关键客户提供新证书的指纹和验签方法。
• 检查下载页、自动更新程序和镜像站点的证书配置。
• 确认卸载、升级和回滚流程在新旧版本间正常。

客户看到发布者名称变化时，可能担心软件来源。提前沟通、提供签名验证说明，比事后解释更有效。若主体确实变更，准备官方说明和过渡方案。

七、续期检查清单

1. 确认证书到期时间和续期负责人。
2. 核对营业执照、地址、电话和经办人信息。
3. 准备授权文件和软件用途说明。
4. 申请并测试新证书，验证签名链和时间戳。
5. 更新构建流水线、签名工具和密钥介质。
6. 小批量发布，观察用户和平台反馈。
7. 归档旧证书、旧版本和验证记录。

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业准备续期材料、沟通审核问题和安排介质交付。证书能否续期、何时签发由 CA 按规则决定。把续期当成发布流程的一部分，才能避免“证书到期才发现”的被动局面。

续期沟通中还要确认“谁负责验证”。申请和续期通常由采购或行政发起，但真正使用证书的是开发和发布团队。让使用方参与测试和验收，能避免证书装好了、发布流程却没跑通的情况。验收记录和证书指纹一并归档，后续排查有据可查。

八、常见问题

问：续期后旧版本还能安装吗？
答：通常可以，历史签名依赖原证书和时间戳验证。新版本应使用新证书签名。

问：主体名称变更会影响已发布软件吗？
答：历史签名仍指向原主体，新版本显示新主体。提前告知客户并保留变更证明。

问：续期需要重新购买硬件介质吗？
答：取决于证书类型和服务方规则，部分续期可沿用介质，部分需要更换，申请时确认。

本文做概念说明，不构成法律意见。电子印章的效力、适用范围和行业要求，应结合适用法律与专业顾问意见。更多电子印章内容可参考本站Qseal 电子印章栏目，产品说明见Qseal 页面。

一、印章图片：只是视觉元素

把公章拍照或扫描后插入 PDF，看到的是图像，不是密码学签名。任何人只要拿到图片，都可以复制到其他文件；文件内容被修改后，图片不会变化，也无法证明盖章时间和盖章主体。图片印章适合内部草稿、版式预览，不适合作为正式文件的完整性证据。

有些系统会在图片上叠加水印、二维码或编号，增加追溯信息，但本质仍是“图像 + 辅助记录”。判断时要看是否存在证书、私钥签名和可验证的时间戳，而不是只看红色圆形图案。

二、电子签名：指向自然人

电子签名通常绑定自然人身份，证明“某个具体的人”签署了文件。PDF 数字签名、QES 合格电子签名都属于这一类。证书主体是个人姓名，签名行为由持有人控制，验证时看到的是签署人信息。

企业合同往往既需要自然人签署，也需要企业盖章。只做个人签名，不能自动代表企业意志；只做企业印章，也不等于具体经办人完成了审批。两者需要配合，才能形成完整的签署链。

三、Qseal：面向法律实体的电子印章

Qseal 是面向企业、机构等法律实体的电子印章形式。它使用与组织绑定的证书和私钥，对文件生成密码学签名，验证时显示企业或机构名称。与自然人电子签名不同，Qseal 证明的是“该组织对文件加盖了印章”，而不是“某个自然人签了字”。

Qseal 通常需要完成组织身份核验，私钥存放在受控介质或服务中。合格电子印章还会涉及合格信任服务提供者和合格设备要求。具体等级和认可范围，以签发机构与适用规则为准。

四、三者对比

从图片到 Qseal，证据强度逐步提高，但操作和审核成本也增加。企业不必所有文件都用 Qseal，内部流转、对外正式文件、法定代表签署等场景可以分层配置。

五、Qseal 能解决什么，不能解决什么

Qseal 可以证明文件由某个组织加盖电子印章，且文件在盖章后未被修改；配合可信时间戳，可以证明盖章时间。它不能替代合同审批、授权管理或法定代表人的意思表示。企业仍需通过内部制度确认“谁有权申请用印、用印范围是什么”。

Qseal 也不能自动让所有收件方认可。跨境业务中，对方可能要求特定等级、特定 CA 或特定格式。使用前确认收件方规则，必要时提供验签说明和证书信息。

六、常见误用

• 把公章图片称为“电子印章”，对外宣称具备防篡改能力。
• 用个人证书代替企业印章，导致合同主体不一致。
• 盖章后继续编辑文件，破坏签名。
• 多个部门共用一个印章介质，无法追溯实际操作人。
• 忽视时间戳，导致证书到期后历史文件验证困难。

这些误用往往不是技术问题，而是流程和认知问题。企业应在制度中写清电子印章的定义、适用范围和操作规范，避免采购、法务和 IT 各说各话。

七、落地建议

先选一类文件试点，例如供应商合同、投标授权书或内部证明文件。确认文件模板、用印位置、审批流程、签署人和归档方式，再决定证书类型和工具。试点阶段记录验签结果和收件方反馈，逐步扩展。

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业了解 Qseal 电子印章的申请条件、材料和使用方式。证书签发与认可范围由 CA 和适用规则决定。把电子印章放回“组织意志 + 可验证证据”的位置，才能避免把它当成一张更清晰的公章图片。

试点期间还要记录收件方的真实反馈：对方是否能在常用阅读器中看到企业名称、是否理解印章与签名面板的关系、是否需要额外说明。把这些反馈整理成问答，更新到对外说明模板。对经常合作的客户，可以提前互认验证方式，减少每份文件的解释成本。

八、常见问题

问：Qseal 和 QES 可以互相替代吗？
答：不能简单替代。QES 面向自然人签名，Qseal 面向组织印章，合同场景常需配合使用。

问：电子印章需要线下核验吗？
答：取决于证书类型和服务方要求，合格电子印章通常有较严格的组织核验。

问：PDF 上显示红色印章就代表有效吗？
答：不一定。要看是否存在可验证的数字签名和证书信息。

本文讨论文档签名证书的类型差异，不构成法律意见。涉及合同效力、行业监管和跨境认可时，应结合签署地法律、收件方要求和专业顾问意见判断。更多文档签署实践可参考本站文档签名证书栏目，产品说明见文档签名证书页面。

一、先区分“电子签名”和“数字签名”

电子签名是更宽泛的概念，包括点击确认、验证码、手写笔迹图片和基于密码学的数字签名。数字签名使用证书私钥对文档摘要运算，收件方可以用公钥验证文档是否被修改、签名者身份是否可信。PDF 中的数字签名通常会在阅读器中显示签名面板、证书信息和时间戳。

“能签 PDF”只是功能描述，不代表具备同等信任等级。判断一个签名是否可靠，要看证书由谁签发、是否在受信任列表中、是否包含可信时间戳、证书状态能否被验证，以及签名后文档是否被改动。

二、AES 是什么

AES 常指 Adobe Approved Trust List，是 Adobe 阅读器信任的证书体系之一。进入该列表的 CA 所签发的文档签名证书，在支持的环境中可以被识别为可信签名。AES 侧重 PDF 阅读器生态的信任体验，适合需要与 Adobe Acrobat、Reader 用户频繁交换签署文件的企业。

但 AES 不是全球通用的法律效力标签。它解决的是阅读器是否信任证书，不能替代当地法律对电子签名形式、身份核验和合格签名设备的要求。跨境业务中，收件方可能同时看 eIDAS 等级、行业规范和企业内部制度。

三、QES 的定位

QES 是欧盟 eIDAS 框架下的合格电子签名，要求使用合格签名创建设备，并由合格信任服务提供者签发。它通常需要线下或等效的身份核验，证书和私钥的保护要求更高。对需要与欧盟企业签署合同、参与公共采购或满足特定合规要求的场景，QES 常被作为较高等级的签名形式。

QES 也不能脱离使用场景谈效力。签署双方所在地、合同适用法律、行业监管规则都会影响认可程度。选择 QES 前，先确认收件方是否明确要求“合格电子签名”，以及是否需要配套的合格时间戳和长期验证服务。

四、普通组织证书适合什么场景

普通组织验证型文档签名证书完成企业身份核验，能对 PDF 做数字签名并显示企业名称。它适合内部审批文件、供应商对账单、普通业务确认、归档文件完整性保护等场景。对签署双方没有强制 QES 要求、主要目的是确认企业身份和防篡改的流程，这类证书往往够用。

若企业同时有 Adobe 生态和跨境合同需求，可以按业务分层的思路配置：内部文件使用组织证书，对外高风险合同使用 QES，特定客户要求 AES 信任时再选择对应证书。没有必要让所有文件都走同一等级，成本和操作复杂度都会增加。

五、选型时问五个问题

1. 收件方是否明确要求 QES、AES 或特定 CA 的证书？
2. 签名文件是内部归档、普通业务确认，还是对外合同？
3. 是否需要可信时间戳和长期验证，文件要保存多少年？
4. 签署人身份如何核验，是个人还是企业经办人？
5. 签名后由谁验证，使用 Adobe、业务系统还是自建平台？

把这五个问题写进选型表，再对照证书能力，能避免“买了用不上”或“能用但不被认可”。对需要批量签署的企业，还要确认签名工具是否支持自动化、是否支持多证书、是否能保留审计日志。

六、签名后的验证与留存

文档签名不是签完就结束。收件方需要验证签名状态、证书链和时间戳；企业内部需要保存签署记录、文件哈希和验证结果。对保存周期较长的合同，建议使用长期验证机制，避免证书到期或吊销后无法确认历史签名。

如果签名显示“签名有效但证书未知”，先检查收件方是否安装了对应根证书和中间证书，再确认证书是否在信任列表中。不要通过修改系统时间或关闭验证来“让签名变绿”，这会破坏证据链。

七、企业落地建议

先选一个真实业务流程做试点，例如采购合同或供应商对账单，记录从证书申请、签署、发送、验收到归档的每一步。确认收件方能够打开并验证，再逐步扩展。证书主体名称、企业印章样式和签署说明应统一，避免同一家企业出现多个不同签名主体。

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业了解文档签名证书类型、准备申请材料和沟通审核问题。证书是否签发、签名是否被特定机构认可，仍由 CA 和收件方规则决定。选型时把“谁验证、按什么规则验证”放在前面，后续争议会少很多。

八、常见问题

问：有企业公章图片的 PDF 算数字签名吗？
答：公章图片只是视觉元素，不能证明文档未被修改。数字签名需要证书和密码学运算。

问：AES 证书能否替代 QES？
答：不能简单替代。两者服务的信任体系和适用规则不同，以收件方要求为准。

问：证书到期后，之前签的 PDF 还有效吗？
答：有可信时间戳和长期验证证据时，历史签名通常仍可验证；缺少时间戳会增加验证难度。

本文说明单域名、多域名和通配符证书的覆盖规则，不构成具体产品承诺。不同 CA 的证书配置和数量限制可能有差异，购买前以产品说明为准。更多 SSL 内容可查看本站SSL 证书栏目。

一、单域名证书覆盖什么

单域名证书通常只保护一个完整域名，例如 example.com。是否同时覆盖 www.example.com，取决于证书配置和 CA 规则。有些产品把带 www 和不带 www 视为两个域名，需要分别列入或使用多域名证书。购买前确认主域名和常用访问方式。

如果站点同时通过 HTTP 和 HTTPS、裸域和 www 访问，还要配置跳转，把用户统一到一个规范地址。证书只解决加密和身份验证，不自动处理域名归一。

二、多域名证书（SAN）

多域名证书通过 Subject Alternative Name 扩展覆盖多个域名。一个证书可以包含主域名、子域名、关联品牌域名，甚至不同主域下的域名。适合拥有多个站点、需要统一管理证书的企业。

多域名证书的容量有上限，超出后需要追加或拆分成多张证书。把所有域名塞进一张证书，虽然管理集中，但一旦私钥泄露或部署出错，影响范围也更大。建议按业务线或环境分组，不要把生产、测试、合作方域名混在一起。

三、通配符证书的边界

通配符证书通常写作 *.example.com，覆盖 example.com 下一层的子域名，例如 shop.example.com、mail.example.com。它不覆盖 example.com 本身，也不覆盖多层子域，例如 a.b.example.com。不同 CA 对通配符的规则可能不同，购买前确认。

通配符适合子域较多、命名规则统一的场景，例如客户子域、区域站点。它不适合所有子域分散在不同团队、私钥需要隔离的场景。一个通配符私钥可以签发多个子域证书，权限集中，泄露后的影响也大。

四、三种方式对比

选择时先列域名清单，标注主域、子域、旧域名、测试域名、合作方域名和未来新增计划。再判断哪些必须同证书、哪些可以分开。不要凭记忆采购，域名往往比想象的多。

五、常见误区

• 以为通配符覆盖主域名，部署后发现裸域不匹配。
• 以为通配符覆盖多层子域，实际只覆盖一层。
• 把测试域名加入生产证书，扩大私钥使用范围。
• 多域名证书塞得太满，续期时难以拆分。
• 忽略国际化域名或特殊字符域名的编码规则。

这些误区会导致证书显示不匹配、浏览器提示异常，或者续期时需要重新规划。采购前让运维、开发和业务一起确认域名用途，比事后补证书更省成本。

六、部署与续期规划

多域名和通配符证书通常部署在多个服务器、CDN 或负载均衡上。建立部署清单，记录每个域名对应的证书、私钥位置、到期时间和负责人。续期时按清单逐项替换，避免只更新主站而漏掉子站。

通配符私钥应限制访问，部署到不同环境时评估是否需要独立证书。对高价值子域，可以考虑单独证书，降低私钥集中带来的风险。自动化续期工具要支持 SAN 列表和通配符，否则可能出现续期后域名缺失。

七、企业域名台账怎么做

台账至少包含：域名、用途、解析服务商、证书类型、覆盖范围、签发时间、到期时间、部署位置、负责人和续期方式。每季度核对一次，新增域名及时登记，停用域名及时清理证书。

对品牌升级、业务拆分或收购场景，提前规划域名迁移和证书切换。旧域名保留跳转时，证书也要覆盖到跳转期结束，避免用户访问旧地址时出现警告。

八、容量与命名规则

域名规划还要考虑未来增长。新业务上线、地区站点扩展、测试环境增加，都可能带来新域名。预留多域名证书的剩余槽位，或提前规划通配符的命名规则，可以减少临时追加。对命名不统一的子域，先整理命名规范，再决定是否使用通配符。

证书命名和文件存放也要有规则。证书文件、私钥、中间链和部署脚本按域名或业务线分目录，文件名包含到期年份。不要把生产私钥和测试私钥混在同一目录，也不要用“新建文件夹”这类无法追溯的命名。

对旧域名和跳转域名，设定保留期限。迁移完成后，证书覆盖到跳转期结束，再清理台账。对合作方域名，明确谁负责申请、谁负责续期，避免双方都以为对方在管。

九、结语

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业了解 SSL 证书的域名覆盖规则、准备申请材料和安排续期。证书签发与覆盖范围由 CA 按产品规则确定。先把域名盘清，再选证书类型，能避免大部分部署返工。

本文给出一套适用于桌面软件、驱动程序、脚本和安装包的规划框架。不同产品的签名要求并不相同，涉及平台政策时应以对应平台当期规则为准。证书类型和申请材料可参考本站代码签名证书栏目，产品信息以代码签名证书页面为准。

一、先确定证书类型，而不是先比价格

代码签名证书常见分为组织验证型（OV）和扩展验证型（EV）。OV 证书完成企业或组织身份核验，适合常规软件安装包、脚本和更新程序签名。EV 证书的核验更严格，通常要求硬件密钥介质，在微软合作伙伴平台、驱动提交和部分高信任场景中使用较多。

选择时先回答三个问题：发布对象是谁，是否涉及内核驱动或平台白名单，私钥由谁保管。面向普通用户的工具软件，OV 往往已经满足基本发布者身份展示；涉及驱动、平台账号验证或客户明确要求 EV 的项目，则应优先确认 EV 的申请条件和交付周期。

二、把实名材料准备放在项目排期里

证书申请不是付款后立即签发。组织名称、注册地址、联系电话、经办人身份、营业执照或登记文件都需要核验，部分场景还会进行电话回访或补充材料。跨境主体可能涉及翻译件、公证文件或额外的地址证明。建议在计划发布日前预留至少两到三周，遇到材料补正再顺延。

材料准备的核心是“一致性”：营业执照名称、英文翻译、网站主体信息、软件发布者名称、发票抬头应能互相对应。若企业近期做过名称变更，提前准备变更证明，避免审核时出现主体断裂。经办人应熟悉企业基本信息，能够接听核验电话。

三、签名顺序要与构建流程绑定

一个安装包往往包含主程序、动态库、服务、脚本和卸载程序。合理的顺序是先签所有需要独立验证的内部文件，再签安装包外层。若先签外层再修改内部文件，外层签名会失效；若只签外层，内部文件在解包后仍可能显示未知发布者。

建议把签名步骤写成流水线任务：构建完成后生成哈希清单，按清单逐个签名，统一添加时间戳，随后执行验签。验签不通过就阻断发布，而不是把问题留给用户。签名日志、证书序列号、时间戳服务和产物哈希应一起归档，方便后续追溯。

四、时间戳不是可选项

证书有效期有限，签名时间戳用于证明文件在某个可信时间点已经完成签名。没有时间戳的文件，在证书到期后可能无法通过历史验证。对需要长期下载、长期维护或客户留存的软件，时间戳尤其重要。

时间戳服务也可能出现网络异常。构建脚本应设置重试和超时，并在失败时明确报错，不能生成一个“看似签名成功但没有时间戳”的产物。发布前抽查历史版本，确认签名链、时间戳和文件哈希均可验证。

五、版本迭代中的证书管理

• 建立证书台账：记录颁发者、主体、序列号、有效期、密钥介质编号和保管人。
• 区分“重新签名”和“重新打包”：仅换证书时，确认文件内容未变化，避免无意引入新差异。
• 保留历史证书和已发布产物：客户验证旧版本时需要完整签名链。
• 设置续期提醒：在到期前完成新证书申请、测试签名和发布切换。
• 限制私钥使用：签名操作留痕，离职或交接时回收介质并更新权限。

续期阶段容易出现的风险是“新证书主体信息变化”。如果企业名称、地址或英文翻译发生调整，新签名与旧版本可能显示不同发布者。应提前和客户沟通，并在更新说明中解释主体变更原因。

六、发布前的检查清单

1. 确认证书类型与产品要求匹配，EV 项目已准备合规密钥介质。
2. 核对组织名称、地址、电话、网站与申请材料一致。
3. 构建流水线已包含签名、时间戳、验签和归档步骤。
4. 安装包内部文件与外层文件均完成签名。
5. 在干净系统上安装、升级、卸载，观察发布者提示。
6. 记录版本号、签名时间、证书序列号与哈希值。
7. 安排证书续期和旧版本维护计划。

SSLDUN 在 Certum 相关产品的服务中，可协助企业做材料预审、中文沟通和续期提醒。需要说明的是，证书审核与签发由 CA 按其规则完成，任何服务方都不能替代 CA 的审核结论。把流程做扎实，比在发布前临时寻找捷径更可靠。

七、常见问题

问：开发测试阶段也需要正式证书吗？
答：测试可以使用测试签名或内部证书，但发布产物必须使用正式证书。测试证书不要流入公开下载渠道。

问：签名后修改版本信息会怎样？
答：文件字节发生变化，原签名失效。版本信息应在签名前写入，签名后只做只读校验。

问：OV 证书能否用于驱动提交？
答：是否接受取决于平台当期要求。涉及驱动和合作伙伴平台时，先确认 EV 要求，避免申请错类型。

本文说明企业申请 QES 时常见的线下核验准备事项，不替代具体服务方的操作指南。不同合格信任服务提供者的流程可能有差异，预约时应以当期通知为准。更多 QES 内容可查看本站QES 合格电子签名栏目。

一、先确认申请主体和签署人

QES 证书可以签发给自然人，也可以用于企业授权代表。企业申请时，先明确证书持有人是谁、代表哪家企业、签署范围是什么。经办人如果只是提交材料，不等于可以代替法定代表人完成全部核验，授权文件要写清权限和期限。

证书主体名称应与营业执照、授权文件和合同签署主体一致。若使用品牌名或简称，准备品牌授权或说明，避免核验人员无法确认证书持有人与企业的关系。

二、必备证件与授权材料

• 经办人有效身份证件原件，姓名、号码和照片清晰可辨。
• 企业营业执照或同等登记文件，处于有效状态。
• 法定代表人身份证明和签署授权文件。
• 授权文件应包含申请 QES、办理核验、领取介质等权限。
• 企业联系方式、注册地址和实际办公地址说明。
• 如涉及跨境使用，准备英文名称、地址和用途说明。

授权文件不要只写“办理相关业务”，应具体到 QES 申请和身份核验。文件需加盖企业印章，注明日期和有效期。经办人变更时，重新出具授权，不要沿用旧文件。

三、预约与到场

线下核验通常需要提前预约，确认地点、时间、可受理的业务类型和所需材料。到场时携带原件，不要只带照片或复印件。若核验点需要读取证件或采集生物特征，按现场指引配合，不要试图由他人代替。

跨境企业或经办人不在证书签发地时，可能需要通过使领馆、公证机构或合作核验点完成等效核验。提前确认路线、时区和翻译要求，避免预约后无法到场。

四、现场会核实什么

核验人员通常会确认经办人身份、企业授权、申请用途和联系方式。问题可能包括企业主营业务、证书使用场景、签署文件类型、谁负责保管密钥介质。回答应与申请材料一致，不需要夸大业务范围。

如果企业近期更名、迁移或法定代表人变更，带上变更证明。核验人员需要把历史信息与当前登记串联起来，缺少证明会增加补正时间。

五、核验后的介质领取与保管

QES 私钥通常存放在合格签名设备或受控介质中。领取时确认包装完整、序列号记录、使用说明和初始密码。企业应指定保管人，建立领用登记，避免多人共用同一介质。介质丢失或损坏时，及时联系服务方挂失和补办。

首次使用前在测试文件上完成签名和验签，确认驱动、阅读器和证书链正常。不要在正式合同上直接做首次测试。

六、常见补正原因

1. 授权文件权限描述含糊，未明确 QES 办理事项。
2. 经办人证件与申请表信息不一致，或证件即将到期。
3. 企业登记地址无法核实，缺少地址证明。
4. 英文名称与营业执照翻译不一致，缺少说明。
5. 预约后未按时到场，或材料未带原件。
6. 证书用途描述过于宽泛，无法判断签署场景。

补正并不等于拒绝。按要求补充真实材料即可继续，关键是不要提交经过修改的证件或虚假授权。核验环节的核心是确认“人、企业、授权、用途”四者一致。

七、时间安排建议

把线下核验放在合同签署计划的前段，预留预约、出行、补正和介质领取时间。跨境项目还要考虑签证、翻译和时差。若合同有固定签署日，提前与对方沟通 QES 办理进度，避免临近截止日才发现无法到场。

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权；2026 年 6 月起，针对欧盟 QTSP 授权范围内的 QES 业务，可协助企业安排线下核验和材料预审，授权书编号 699/P/CC/2026。核验标准与签发决定由合格信任服务提供者作出，企业应如实准备材料。

八、材料复核清单

提交前按“人、企业、授权、用途”四项复核：证件是否在有效期、姓名与申请表是否一致；企业登记文件是否完整、地址能否对应；授权文件是否盖章、权限是否覆盖 QES 办理；用途说明是否具体到合同或文件类型。四项都通过，再预约核验，能减少现场补正。

对多经办人的企业，建立预约台账，记录姓名、时间、地点、材料和结果。有人临时变更时，及时更新预约并重新确认授权文件。核验完成后把回执、介质序列号和验签结果归档，后续续期或审计可以直接调用。

九、常见问题

问：可以由同事代替经办人到场吗？
答：通常不可以。身份核验要求本人到场，具体以服务方规则为准。

问：线下核验后多久能拿到证书？
答：取决于核验结果、审核流程和介质制作，材料齐全时通常按服务方通知的时间领取。

问：证书可以借给其他同事使用吗？
答：不建议。QES 与持有人身份绑定，转借会破坏责任追溯，也可能违反服务协议。

本文做框架性梳理，不构成法律意见。法规适用、合同效力和跨境认可应结合签署地法律与专业顾问意见。更多 QES 内容可参考本站QES 合格电子签名栏目。

一、eIDAS 管什么

eIDAS 是欧盟关于电子身份识别和信任服务的法规框架，涉及电子签名、电子印章、时间戳、电子送达和网站认证等信任服务。它把电子签名分为不同等级，并对合格信任服务提供者提出监管要求。企业不需要逐条背法规，但需要理解等级差异和验证逻辑。

eIDAS 的目标之一是促进跨境互认，但互认不是无条件的。具体文件、行业和收件方仍可能有额外要求。合同适用法律、公共采购规则和监管规定，都会影响签名形式是否被接受。

二、QTSP 是什么

QTSP 是 Qualified Trust Service Provider，即合格信任服务提供者，需接受监督机构审核并满足相应要求。合格证书、合格时间戳和合格电子印章等信任服务，通常由 QTSP 提供。企业选择 QES 时，应确认签发机构是否具备相应资质，证书类型是否与业务匹配。

“来自欧盟”不等于“自动合格”。判断时要看签发机构资质、证书类型、签名设备和验证链，而不是只看公司注册地。申请材料中应保留签发机构名称、证书序列号和服务说明。

三、QES 由哪些要素构成

• 合格证书：由 QTSP 签发，绑定签署人身份。
• 合格签名创建设备：保护私钥，确保签署人控制。
• 身份核验：在签发前完成，确确保书主体真实。
• 可信时间戳：证明签名发生的时间。
• 验证证据：证书链、吊销状态和长期验证材料。

缺一项都可能影响签名等级或验证结果。企业不能只买一张证书，就宣称完成了合格签名流程。签署设备、核验记录和时间戳要配套，形成完整证据链。

四、电子签名与电子印章的区别

电子签名通常面向自然人，证明某个具体的人签署了文件；电子印章面向法律实体，证明组织对文件盖章。eIDAS 框架下两者有不同概念和要求。合同场景常需要自然人签名与企业印章配合，不能用一个替代另一个。

企业设计流程时，先确定文件需要表达谁的意志：法定代表人、授权代表还是企业本身。再选择对应证书和印章类型。签署权限、授权文件和内部审批，仍是技术之外的必要环节。

五、跨境签署要核对什么

先看收件方是否明确要求 QES、特定 QTSP 或特定格式。再看合同适用法律和行业规则是否对签名形式有规定。然后确认己方证书等级、签名设备、时间戳和验证材料能否满足。对方使用不同阅读器时，提供测试文件和验签说明。

不要假设 QES 在所有场景自动有效，也不要因为对方没有明确要求就随意降级。对高风险合同，宁可提前确认，也不要在签署后补解释。

六、企业落地建议

建立一张“签署方式矩阵”，按合同类型、对方所在地、金额、行业和保存年限选择签名等级。矩阵由法务、业务和 IT 共同维护，定期更新。对首次使用 QES 的团队，安排演练和操作手册，确认线下核验、介质使用和验签流程。

归档时保存证书信息、时间戳、验签报告和授权文件。对长期合同，关注证书到期、吊销和算法变化，定期抽查可验证性。

七、SSLDUN 的授权背景

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，2022 年起通过 API 方式对接相关签发流程。2026 年 6 月起，针对欧盟 QTSP 授权范围内的 QES 业务，可协助企业安排线下核验，授权书编号为 699/P/CC/2026。具体签发、核验标准和认可范围由合格信任服务提供者按 eIDAS 规则执行。

企业在申请前应确认自身主体、签署人和使用场景，准备好登记文件、授权材料和联系方式。QES 办理涉及线下环节，时间安排要留足。

八、常见材料与时间安排

QES 申请通常需要企业登记文件、授权文件、经办人身份证明、联系方式和用途说明。跨境主体可能还需要翻译、公证或额外地址证明。材料准备的核心仍是“人、企业、授权、用途”一致，任何一项含糊都可能导致补正。

线下核验要预约，介质制作和领取需要时间，企业应把办理周期写进合同签署计划。若合同有固定生效日，提前与对方沟通进度，必要时先使用其他双方接受的签署方式完成过渡。不要假设提交当天就能拿到证书。

对多签署人企业，按角色分配证书，避免所有人共用一枚介质。证书台账记录序列号、有效期、保管人和使用范围，离职时回收并更新权限。

九、常见问题

问：QTSP 签发的证书一定是 QES 吗？
答：不一定。QTSP 可以提供多种信任服务，需确认具体证书类型和等级。

问：eIDAS 下 QES 是否在所有欧盟国家自动有效？
答：框架促进互认，但具体场景仍受当地法律、行业规则和收件方要求影响。

问：企业能否用 QES 代替公章？
答：QES 是自然人签名形式，企业印章应使用对应的电子印章类型，两者配合使用。

本文以企业公文场景说明签名流程，不讨论具体法律效力认定。不同单位对公文格式、印章和归档的要求不同，落地时应结合内部制度。更多文档签名知识可查看本站文档签名证书栏目。

一、签署前：确定文件与签署人

先明确哪些文件需要数字签名。对外函件、合同附件、投标材料、供应商通知通常需要；内部草稿和过程文件可以只做版本管理。签署人应是文件中载明的授权人员，避免用行政人员账号代替负责人签名。

PDF 在签署前应完成排版、盖章位、页码和附件合并。签署后任何修改都会破坏签名，因此不要在上传后再调整文件。若需要加盖视觉印章，应把印章图片放在签署前，或使用支持签名外观的模板，避免签名后叠加图片。

二、证书部署与权限

文档签名证书通常以文件或硬件介质交付。企业应指定专人保管，设置使用密码，记录领用和归还。多人共用一个证书会削弱责任追溯，建议按签署人分配证书，至少做到“谁签署、谁负责”。

在 Adobe Acrobat 等工具中配置签名身份时，确认证书链完整、签名外观包含企业名称和签署人信息。签名外观不是身份证明，真正的验证依据是证书和签名域。外观可以设计，但不能替代证书。

三、签署时的关键选项

• 签名域：选择已预留的签署位置，避免覆盖正文。
• 签名原因：填写“审批”“确认”“授权”等实际用途。
• 时间戳：启用的可信时间戳，确保签名时间可验证。
• 锁定文档：签署后禁止修改，防止后续误编辑。
• 证书链：确认中间证书随签名嵌入或收件方可获取。

时间戳服务不可用时，不要生成“无时间戳”的正式文件。可以先保存未签名版本，待服务恢复后重新签名。对批量签署，工具应记录每个文件的签名结果，失败文件单独重试，不能混在成功批次中发送。

四、收件方如何验签

收件方打开 PDF 后，在签名面板查看签名状态、签名者、签发者和时间。绿色勾选通常表示签名有效且证书受信任；黄色提示可能表示证书未知或时间戳缺失；红色提示表示文档被修改或签名无效。不同阅读器的提示文案不同，应以证书详情和文档哈希为准。

若收件方显示“证书未知”，可提供根证书和中间证书，或让对方更新信任列表。不要要求对方关闭验证功能。对重要文件，可以在邮件中附上文件哈希和签署说明，方便收件方核对。

五、归档与审计

归档不只保存 PDF，还应保存签署记录：文件名称、版本、签署人、证书主体、证书序列号、签名时间、时间戳结果、文件哈希和验证截图。对保存周期较长的文件，定期抽查是否仍可验证，关注证书到期、吊销和算法更新。

如果企业使用文档管理系统，签署后的 PDF 应设为只读，原始未签名版本单独保存。版本命名应包含日期和业务编号，避免出现“终版”“终版二”这类无法追溯的文件名。

六、跨部门协作的分工

行政或办公室负责文件定稿和签署排期，法务确认签署权限和文本内容，IT 负责证书介质、阅读器配置和归档系统，财务或业务部门确认收件方信息。四方职责写清，能减少“证书在谁手里”“签完谁发送”这类扯皮。

建议建立一张公文签署登记表，记录文件编号、签署人、证书、签署时间、发送对象和验证结果。遇到客户投诉签名无效时，可以快速定位是证书链、时间戳还是文件被修改。

七、常见问题与处理

签名后文件被压缩或转码：压缩工具可能重写 PDF 结构，导致签名失效。发送原文件，不要用截图或在线转换工具二次处理。

签名位置遮挡正文：签署前预留签名域，或使用不可见签名域配合视觉印章。不要为了美观在签名后移动页面元素。

收件方使用不同阅读器：提前确认对方软件版本和信任列表，必要时提供验证说明。重要文件可先发送测试样本。

八、落地建议

从一个固定公文类型开始，例如供应商通知或授权函，跑通“定稿、签名、发送、验签、归档”全流程，再扩展到合同和投标材料。每次复盘记录失败原因，更新操作手册。证书续期前完成新证书测试，避免签署中断。

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业准备文档签名证书材料和沟通审核问题。证书签发与具体文件的法律效力仍由 CA 规则和适用法律决定。流程规范化，才能让数字签名真正成为可验证的公文基础设施。

本文给出一套排查顺序，帮助运维和开发快速定位。不同服务器和 CDN 的配置方式不同，具体命令以实际环境为准。更多 SSL 内容可参考本站SSL 证书栏目。

一、先看证书链是否完整

浏览器验证证书时，需要从服务器证书追溯到受信任的根证书。服务器应发送“服务器证书 + 中间证书”，根证书通常由客户端内置。若只发送服务器证书，部分浏览器可能自己补链，部分客户端会直接报错。用在线链检查工具或命令行查看服务器实际发送的证书列表。

缺失中间证书是部署中常见的问题。把 CA 提供的中间证书按正确顺序配置到证书文件，重启服务后再次检查。不要凭感觉拼接证书，顺序错误也会导致链验证失败。

二、检查域名与证书是否匹配

证书的 Common Name 和 SAN 必须包含用户访问的域名。访问 www.example.com 但证书只含 example.com，或者访问裸域但证书只含 www，都会提示不匹配。通配符只覆盖一层子域，多层子域不在范围内。

还要确认没有访问到旧证书。负载均衡、CDN、反向代理和多台服务器可能各自持有不同证书，更新时只换了一台。逐台检查或通过不同网络环境访问，确认实际返回的证书序列号一致。

三、SNI 与多站点配置

一个 IP 承载多个 HTTPS 站点时，依赖 SNI 选择证书。老旧客户端或不支持 SNI 的访问方式可能拿到默认站点证书，显示域名不匹配。检查虚拟主机配置，确保每个域名绑定正确证书，默认站点不要返回无关证书。

如果使用 CDN，确认 CDN 回源和边缘节点都配置了证书。有时边缘证书正常，回源证书过期或域名不匹配，用户侧仍可能出现异常。查看 CDN 的证书管理面板和回源日志。

四、时间与根证书信任

服务器或客户端系统时间偏差过大，会导致证书被判断为“尚未生效”或“已过期”。检查服务器时间同步，确保使用可靠的时间源。证书有效期、签发时间和时区也要核对。

部分旧设备或内部系统可能缺少新根证书，导致链验证失败。对外站点应使用主流受信任 CA 的证书，并提供完整中间链；对内系统可以更新根证书库，但不建议通过关闭验证来“解决”。

五、混合内容与重定向

页面通过 HTTPS 加载，但图片、脚本、样式或 iframe 仍使用 HTTP，浏览器会提示“混合内容”，部分资源被拦截。锁形图标可能显示警告，用户以为证书有问题。检查页面资源 URL，统一改为 HTTPS 或使用相对协议。

还要检查重定向链：HTTP 跳到 HTTPS 时是否跳到了错误域名，是否出现多次跳转，是否在跳转过程中丢失路径。配置规范的 301 跳转，把裸域、www 和旧域名统一到目标地址。

六、排查工具与步骤

1. 用浏览器查看证书详情，记录颁发者、有效期、SAN 和序列号。
2. 用命令行或在线工具检查服务器发送的完整证书链。
3. 确认访问域名在 SAN 列表中，通配符层级匹配。
4. 检查负载均衡、CDN 和多台服务器的证书是否一致。
5. 核对服务器时间、根证书库和中间证书配置。
6. 检查页面混合内容和重定向配置。
7. 清理浏览器缓存或用无痕环境复测。

排查时一次只改一个变量，记录修改前后的证书序列号和错误提示。不要同时替换证书、改 DNS、调服务器配置，否则无法判断哪一步生效。

七、CDN 与反向代理的额外检查

使用 CDN 时，用户看到的是边缘节点证书，回源链路可能使用另一张证书。更新证书要同时检查边缘和回源，确认两端域名、链和有效期一致。部分 CDN 会代管证书，需在控制台确认部署状态，而不是只更新源站。

反向代理和后端服务之间也可能存在 HTTPS。代理到后端的证书若域名不匹配或过期，用户侧可能只看到 502 或 526 错误。查看代理日志和回源配置，确认每一段链都正常。多级代理时，逐段验证，不要假设上游一定正确。

八、上线前的检查清单

证书部署前，在测试环境验证链、域名匹配、协议版本和加密套件。上线后从不同网络、不同设备访问，确认没有区域性问题。配置证书到期监控，提前续期，避免到期当天临时处理。

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业准备 SSL 证书材料、沟通审核问题和安排续期。证书签发由 CA 决定，部署问题需结合服务器和网络环境排查。把证书链和域名匹配作为上线必检项，能减少大部分“不受信任”提示。

八、常见问题

问：浏览器提示不受信任，但证书没过期，为什么？
答：常见原因是中间证书缺失、域名不匹配或客户端缺少根证书，不一定是有效期问题。

问：安装中间证书后仍报错怎么办？
答：检查证书顺序、服务器是否重启、负载均衡是否同步，以及是否访问到旧节点。

问：能否让用户忽略警告继续访问？
答：不应把忽略警告作为方案。应修复证书链或域名配置，避免用户暴露在风险中。

本文讨论代码签名与 Windows 安全提示之间的关系，不构成对拦截结果的承诺。微软的声誉算法会持续调整，具体表现应以实际环境为准。证书申请与签名实践可结合本站代码签名证书栏目阅读。

一、SmartScreen 在判断什么

SmartScreen 是 Windows 中的安全提示机制，会根据文件声誉、下载来源、签名状态、发布者历史、用户举报等信息综合判断。一个新发布、下载量有限、此前没有信誉记录的程序，即使签名有效，也可能出现“Windows 已保护你的电脑”提示。用户可以选择“仍要运行”，但提示本身不代表文件一定恶意。

签名的作用是让系统确认文件由某个主体发布，且签名后未被篡改。它不能自动为发布者建立良好声誉，也不能消除所有提示。把签名理解为“身份与完整性证明”，而不是“通行证”，更接近实际。

二、EV 证书能带来什么

EV 代码签名证书经过较严格的组织核验，私钥通常存放在硬件介质中，签名操作更难被复制。对用户而言，签名有效时可以看到更明确的发布者信息；对平台而言，EV 证书有助于确认组织身份。部分平台和合作伙伴流程会把 EV 作为准入条件之一。

但 EV 不等于自动获得 SmartScreen 信誉。证书新签发、发布者此前没有下载记录、安装包首次出现，都可能仍处于信誉积累阶段。把 EV 说成“立即消除拦截”并不准确，也不符合实际体验。

三、影响信誉的常见因素

• 证书与发布者历史：持续使用同一主体签名，比频繁更换主体更利于识别。
• 下载与安装量：真实用户下载、安装和正常使用会逐步形成信号。
• 文件哈希与版本连续性：稳定更新、避免频繁改包，有助于建立版本关联。
• 用户举报与安全事件：恶意行为、捆绑安装、异常弹窗会迅速破坏信誉。
• 下载渠道：正规站点、HTTPS 分发和清晰的文件说明能减少风险提示。
• 签名完整性：缺少时间戳、证书链异常或文件被二次修改，都会影响验证。

这些因素互相影响。单靠一张证书无法覆盖下载渠道、软件行为和用户反馈带来的问题。发布团队应把信誉建设看作长期工作，而不是一次配置。

四、签名实践中的细节

签名前确认文件已经完成所有写入操作，签名后不要再用脚本修改资源、版本信息或安装包配置。对多文件产品，按“内部文件到外层安装包”的顺序签名，并统一添加可信时间戳。发布前在干净虚拟机中下载、安装、升级，观察系统提示和发布者名称是否一致。

如果签名有效但提示仍出现，先检查证书链、时间戳和文件哈希，再判断是否属于信誉积累阶段。不要通过重复上传、频繁更换文件名或伪造下载量来“养号”，这类做法可能违反平台规则，也会带来安全风险。

五、用户侧提示如何解释

企业客户看到提示时，往往需要一份可核对的说明。可以告知用户：在文件属性中查看数字签名，确认签名者名称、证书颁发者和时间戳；通过企业官网公布的哈希值核对文件；从固定渠道下载。对于内部软件，可以通过组策略或应用控制策略做白名单，但这类配置应由 IT 管理员按安全规范执行。

对面向公众的软件，建议在下载页提供版本号、发布日期、文件哈希和签名者名称。用户遇到提示时，能够快速判断文件是否来自预期发布者，而不是只看到“未知发布者”就放弃安装。

六、长期维护建议

1. 保持发布者主体稳定，证书续期时提前评估名称变更影响。
2. 建立版本哈希台账，发布页与安装包内信息保持一致。
3. 监控用户反馈和举报，及时排查捆绑、弹窗和异常联网行为。
4. 在证书到期前完成续期，避免新旧版本签名链断裂。
5. 对高风险行业客户，提供签名验证和安装说明，减少误判。

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业准备 EV 证书材料、沟通审核问题并安排续期。证书能否签发由 CA 审核决定，SmartScreen 的具体提示由微软机制决定，服务方无法作出结果承诺。把预期说清楚，反而更有利于长期合作。

七、常见问题

问：EV 证书签名后，提示多久会消失？
答：没有固定时间。取决于文件声誉、下载行为和微软策略，不能以某一天为承诺。

问：换成新证书会重置信誉吗？
答：发布者主体和文件历史仍可能被关联，但新证书、新文件和新下载渠道都需要重新积累信号。保持主体和发布流程稳定更重要。

问：自签名证书能替代正式证书吗？
答：自签名可用于内部测试，不适合公开分发。公开软件应使用受信任 CA 签发的证书。

本文给出一套制度框架，企业可按自身规模调整。涉及法律效力和行业监管时，应结合适用规定与专业顾问意见。更多电子印章实践可参考本站Qseal 电子印章栏目。

一、明确电子印章的范围

制度开头先定义：本制度所称电子印章，指使用组织证书和私钥对电子文件生成的可验证印章，不包括公章图片、扫描件和普通水印。明确适用范围，避免员工把图片盖章当成电子印章使用。

同时列出不适用场景，例如需要纸质原件存档、法律明确要求实体印章、收件方不接受电子印章的文件。对边界不清的场景，由法务或合规部门判断。

二、申请与制作

电子印章的制作应由企业指定部门统一办理，通常由行政或法务发起，IT 配合证书和介质，财务确认费用。申请材料包括企业登记文件、授权文件、印章样式、使用范围和保管人信息。

印章样式应与企业在公安机关备案的实体印章保持合理一致，包含企业名称、印章类型和编号。不要自行设计与实体印章差异过大的图案，以免收件方误认。制作完成后进行首次验签，记录证书序列号、介质编号和交付日期。

三、保管与使用权限

• 指定保管人，签订保管责任书，明确遗失、损坏和异常使用的报告义务。
• 介质存放在受控场所，不与其他钥匙、U 盘混放。
• 使用密码单独保管，不与介质放在同一处。
• 按业务线分配使用权限，禁止跨部门随意借用。
• 用印操作留痕，记录申请人、文件、时间、操作人和结果。

对高频用印部门，可以设置“申请人—审批人—操作人”三角色分离。申请人发起，审批人确认业务真实性，操作人执行盖章。角色可以兼任，但高风险文件应避免同一人完成全部步骤。

四、用印审批

审批流程应包含文件类型、合同金额、对方主体、用印理由和附件。审批人按授权矩阵确认，不接受口头指令或事后补批。对空白文件、内容不完整文件、主体不清文件，应拒绝用印。

盖章前确认文件已定稿，盖章后文件设为只读。若需要修改，重新走审批并重新盖章，不得在原文件上覆盖印章。审批记录与盖章文件关联保存，便于审计。

五、审计与对账

每月或每季度导出用印记录，与合同台账、发文登记和归档清单对账。抽查文件验签状态、证书信息和时间戳。发现异常用印、证书过期、介质未登记，及时处理并记录整改结果。

审计人员不应同时担任印章保管人，保持基本分离。对跨境或投标文件，额外检查收件方是否接受该电子印章形式，避免文件发出后被退回。

六、变更、挂失与停用

企业名称变更、印章样式调整、保管人更换时，办理变更或重新制作。旧印章停用并收回介质，历史文件保留验证证据。介质遗失或密码泄露，立即挂失，评估是否吊销证书，并通知正在合作的客户。

持有人离职时，完成未结文件交接、介质归还、权限回收和台账更新。不得把介质留给同事“先用着”，这会破坏责任追溯。

七、培训与检查

对申请人、审批人和操作人分别培训：申请人学习文件准备和审批要求，审批人学习授权矩阵和风险识别，操作人学习介质连接、盖章和验签。培训记录留存，新员工上岗前完成。

每年至少做一次制度检查，更新授权矩阵、联系人、证书有效期和工具版本。制度不是挂在墙上的文件，而要能回答“现在谁能盖、盖了什么、怎么验证”。

八、模板、台账与应急

制度落地需要几份基础表单：电子印章申请单、用印审批单、介质领用登记、异常报告和年度检查表。表单字段不必复杂，但要能关联申请人、文件、审批人、执行人和证书信息。台账按印章类型和保管人分类，每月更新状态。

应急场景也要写进制度：介质损坏、密码遗忘、证书吊销、平台故障、客户临时要求纸质件。为每种情况指定联系人和替代流程，准备备用介质或临时授权方案。应急处理后补记原因和结果，避免长期绕过正常审批。

培训材料应使用真实操作截图，但隐去敏感信息。新员工先做模拟用印，再由老员工复核。制度发布后设置过渡期，收集问题并修订，不要一次性发完就束之高阁。

九、结语

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业了解 Qseal 电子印章的申请条件、材料和使用方式。证书签发与具体文件效力由 CA 和适用法律决定。制度、权限和审计三者配套，电子印章才能真正替代部分纸质用印流程。

本文讨论跨境业务中 QES 的常见要求与沟通要点，不构成法律意见。具体认可规则取决于签署地法律、客户所在国要求和合同约定。更多 QES 内容可参考本站QES 合格电子签名栏目。

一、客户在确认什么

对方通常不是只看 PDF 上有没有“签名”字样，而是确认四件事：证书是否由合格信任服务提供者签发；签名是否使用合格签名创建设备；签署人身份是否经过合格核验；签名是否包含可信时间戳并可验证。任一环节缺失，都可能被要求补充说明。

有些客户还会核对证书主体与合同主体是否一致、证书是否在有效期内、签名后文件是否被修改。跨境场景中，阅读器版本和根证书信任列表差异也会影响显示结果。

二、公共采购与受监管行业更关注等级

欧盟公共采购、金融、医疗、法律服务和部分受监管行业，对电子签名形式有内部规范。招标文件可能直接写明 QES 或特定标准，合同附件也可能要求签署方使用合格签名。企业如果只提供普通电子签名，可能在形式审查阶段被退回。

即使客户没有明确写 QES，合同适用法律和证据要求也可能影响选择。高风险合同、金额较大的框架协议、需要长期保存的文件，使用证据链更完整的签名形式，通常更便于后续争议处理。

三、QES 之外还要准备什么

• 证书信息说明：签发机构、证书主体、有效期和等级。
• 签署流程说明：身份核验方式、签名设备和时间戳。
• 验签指引：推荐阅读器、根证书获取方式和验证步骤。
• 签署人授权文件：证明签署人有权代表企业。
• 文件哈希和签署记录：便于对方核对文件完整性。

这些材料不必每次发送全套，但应提前准备模板。客户提出审核时，能快速提供，而不是临时解释。说明材料使用英文或对方语言，术语与 eIDAS 保持一致。

四、验签环境差异怎么处理

欧盟客户可能使用 Adobe Acrobat、专用验签平台或本国信任列表工具。不同环境对证书链、时间戳和长期验证的支持不同。发送前先确认对方使用什么工具，必要时提供测试文件。若对方显示“证书未知”，提供根证书和中间证书，不要要求对方关闭验证。

对长期合同，确认对方是否需要 PAdES 长期验证（LTV）证据。若需要，签署时启用相应选项并保存验证报告。仅发送签名后的 PDF，可能不足以满足对方归档要求。

五、合同条款怎么写

涉及 QES 的合同，可以在签署条款中写明签名形式、证书等级、时间戳和验签方式。不要只写“电子签名有效”，而应说明双方接受的签名类型和证据要求。对跨境合同，明确适用法律和争议解决方式，避免对签名效力产生不同理解。

如果对方要求特定 CA 或特定格式，提前确认己方证书是否满足。无法满足时，讨论替代方案，例如由对方指定平台签署或使用双方认可的第三方服务，不要自行降低签名等级后隐瞒。

六、常见沟通误区

“我们的 PDF 有数字签名，所以就是 QES。” 数字签名是技术形式，QES 是 eIDAS 等级，不能混用。

“证书是欧盟 CA 签发的，就自动被所有国家认可。” 认可还受当地法律、客户规则和具体场景影响。

“对方只是形式要求，随便说明一下就行。” 合规审核可能影响合同生效和付款流程，应按正式材料准备。

七、企业准备清单

1. 梳理欧盟客户和合同类型，标记明确要求 QES 的业务。
2. 确认证书等级、签名设备和时间戳配置。
3. 准备中英文证书与验签说明。
4. 培训签署人正确使用介质和阅读器。
5. 建立签署记录与归档流程。
6. 在合同条款中写明签名形式与验证方式。

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权；2026 年 6 月起，针对欧盟 QTSP 授权范围内的 QES 业务，可协助企业安排线下核验与材料沟通，授权书编号 699/P/CC/2026。证书签发与认可范围由合格信任服务提供者及适用规则决定。跨境业务中，把等级说清楚、把证据留完整，比事后解释更有效。

八、对外说明模板

准备一段简短的英文说明，包含证书签发机构、证书等级、签名设备、时间戳和验签方法。说明中不要使用模糊的“official”“guaranteed”等表述，也不要承诺对方一定认可。把说明与证书信息、测试文件放在同一个压缩包，客户提出审核时可以快速发送。

对方提出额外要求时，先记录具体条款和联系人，再判断是证书等级、验签环境还是归档格式问题。不要在没有确认的情况下自行降级或更换证书，也不要把普通数字签名描述为合格签名。

九、常见问题

问：欧盟客户是否都要求 QES？
答：不是。取决于客户行业、合同类型和内部合规要求，普通商业合同可能接受 AES。

问：QES 签名后对方仍说无法验证怎么办？
答：先确认对方阅读器和信任列表，再提供证书链、时间戳和验签说明。

问：跨境快递介质是否安全？
答：应使用可追踪物流、防拆包装，并记录序列号。收到后先核对包装和介质状态。

本文说明两类签名的区别与落地要点，不涉及绕过宏安全策略。更多文档签名内容可参考本站文档签名证书栏目，产品信息见文档签名证书页面。

一、文档内容签名保护什么

Office 的文档签名功能会对文件内容生成密码学签名，签署后如果内容被修改，签名状态会变化。它适合合同、报价单、审批表、财务报表等需要确认版本完整性的文件。收件方可以在文件信息或签名面板中查看签名者和证书状态。

文档内容签名不等同于 PDF 的数字签名。Office 文件的签名验证依赖 Office 客户端和证书信任链，跨平台、在线预览或第三方工具可能无法完整显示签名状态。对外发送前，应确认收件方使用的软件环境。

二、宏签名保护什么

VBA 宏签名针对的是宏工程代码。企业常通过宏签名让受信任的宏在 Office 中运行，减少安全警告。签名绑定的是宏代码，不是文档正文。若只签宏，文档内容仍可被修改而不影响宏签名状态；若只签文档，宏代码的信任策略也不会自动改变。

宏签名的证书可以是组织代码签名证书或自签名证书。自签名证书只适合内部测试，公开分发应使用受信任 CA 签发的证书。宏签名后修改代码，签名会失效，需要重新签署并重新分发。

三、企业常见的四种误用

• 把宏签名当成文档签名，认为文件内容已被锁定。
• 把文档签名当成宏信任，导致用户打开文件仍被宏安全栏拦截。
• 签名后继续编辑文档，保存时破坏签名。
• 使用个人自签名证书对外发送，收件方无法验证。

这些问题的根源是把“代码信任”和“内容完整性”混为一谈。企业应在内部说明中明确两类签名的用途，避免员工在同一个文件上重复操作却得不到预期效果。

四、部署与操作建议

先确认业务目标：如果目的是确保合同或报表内容不被修改，使用文档内容签名；如果目的是让内部宏在受控环境中运行，使用宏签名。两者都需要时，分别签署，并在文件说明中写清各自作用。

签名前完成文档定稿、宏代码测试和版本号写入。签名后设置文件为只读，避免误编辑。对外发送时保留原始文件，不要用在线转换、截图或压缩工具二次处理。对批量报表，建议使用支持自动化的签名工具，并记录每个文件的签名结果。

五、验证与排查

文档签名异常时，先查看签名面板中的证书链、时间戳和内容修改提示。宏签名异常时，查看宏安全设置、受信任发布者列表和证书状态。不要通过降低宏安全级别来“解决问题”，这会扩大攻击面。

如果收件方看不到签名，确认对方 Office 版本、操作系统和证书信任列表。跨平台场景可以先发送测试文件，确认显示效果后再发正式文件。重要文件可同时提供 PDF 版本，减少环境差异。

六、审计与留存

企业应保存签名文件的版本、签署人、证书主体、签名时间和文件哈希。对财务报表、合同附件等长期保存文件，定期抽查签名是否仍可验证。证书到期或人员离职时，确认历史文件是否仍能打开和验证。

宏文件还应保存代码版本和审批记录。签名只证明代码由某个主体签署，不证明代码逻辑安全。宏的权限、联网行为和数据访问范围仍需按企业安全规范审查。

七、版本与模板管理

企业使用文档签名的另一项基础工作是模板管理。合同、报价单、审批表应建立受控模板，模板中包含固定的签署域、版本号和责任部门。员工从模板生成文件，而不是复制旧文件后删改内容，可以减少隐藏修订、旧签名域和失效证书残留。

模板更新应走版本审批，发布后旧模板归档。每次更新记录变更内容、适用日期和负责人。对已经签署的历史文件，不要用新模板覆盖；对需要重新签署的文件，生成新版本并注明替代关系，避免同一合同编号出现多个互相矛盾的版本。

八、常见问题

问：Word 文档签名后还能编辑吗？
答：可以编辑，但编辑会破坏签名。正式文件应设为只读，修改后重新签署。

问：宏签名能防止文档内容被改吗？
答：不能。宏签名保护宏代码，文档正文需要单独的内容签名或其他完整性措施。

问：内部使用的宏一定要买证书吗？
答：内部测试可用自签名，但跨部门分发或对外发布建议使用受信任证书，并进行安全审查。

九、结语

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业了解文档签名与代码签名证书的差异、准备材料并沟通审核问题。证书签发由 CA 按其规则执行。把两类签名放在正确的场景里，才能既保护文件内容，又管理宏信任。

本文讨论证书到期监控与续期流程，不构成具体工具推荐。不同 CA 和自动化工具的接口不同，实施时以实际环境为准。更多 SSL 内容可查看本站SSL 证书栏目。

一、先建立证书清单

把企业所有对外和对内 HTTPS 服务列出来：主站、子站、API、客户门户、测试环境、旧域名跳转、CDN 边缘证书。每条记录域名、证书类型、签发者、有效期、部署位置、负责人和续期方式。没有清单，监控就无从谈起。

清单可以由运维牵头，业务、品牌和市场配合补充。新上线的站点必须登记，停用的域名及时清理。每季度核对一次，避免“幽灵域名”仍在运行却无人负责。

二、监控哪些指标

• 到期时间：至少提前 30 天提醒，关键业务提前 60 天。
• 证书链完整性：中间证书是否缺失，链顺序是否正确。
• 域名匹配：SAN 是否覆盖当前访问域名。
• 签发者与序列号：确认没有被替换成测试证书或旧证书。
• 协议与加密套件：是否符合企业安全基线。
• 部署一致性：多节点、CDN 和回源证书是否同步。

监控应覆盖实际用户访问路径，而不是只检查某一台服务器。对外站点可以从多个区域探测，内部系统可以通过网关或探针检查。告警要送到具体负责人，而不是一个无人查看的群。

三、续期提醒怎么设

证书到期前设置多个提醒节点，例如 60 天、30 天、7 天和 1 天。提醒内容包含域名、到期时间、负责人、续期进度和部署计划。续期不是下单就完成，还要审核、签发、部署和验证，时间要留足。

OV 和 EV 证书涉及组织审核，续期可能需要重新提交材料或电话核验。跨境主体、名称变更、地址变更都会延长周期。把审核时间写进计划，不要按 DV 的速度估算。

四、自动化续期的边界

ACME 等自动化协议可以完成域名验证、证书签发和部署，适合 DV 证书和标准化环境。自动化能减少人工操作，但也带来新的风险：验证凭据保管、私钥权限、部署脚本权限、失败重试和告警。没有监控的自动化，只是把故障推迟。

OV、EV 证书通常需要组织审核，自动化程度有限。可以将签发后的部署自动化，但审核和授权仍需人工。对多域名、通配符证书，确认自动化工具支持 SAN 列表和部署目标，避免续期后漏域名。

五、部署后的验证

1. 检查新证书序列号与旧证书不同，有效期正确。
2. 验证证书链完整，域名匹配。
3. 从外部网络访问，确认 CDN 和负载均衡已同步。
4. 检查混合内容和重定向，确认页面没有 HTTP 资源。
5. 观察错误日志和用户反馈，确认没有异常。
6. 更新证书台账，记录部署时间和验证人。

部署后不要立即删除旧证书，保留一段时间以便回滚。回滚方案要提前测试，不能等到故障时才找旧文件。对多节点环境，按批次部署并逐批验证。

六、责任与交接

证书管理不能依赖某一个人的记忆。指定主负责人和备份负责人，交接时移交台账、账号、部署脚本和续期记录。负责人离职或调岗时，更新监控告警和 CA 联系人。

对集团多站点，可以按业务线设分负责人，总部统一汇总。每月开一次短会，核对即将到期证书和新增域名。把证书管理纳入运维例行工作，而不是临时任务。

七、自动化失败怎么处理

自动化续期失败常见于验证记录未更新、DNS 接口权限变化、部署脚本路径错误、目标节点不可达或证书链不完整。监控应区分“签发失败”和“部署失败”：签发失败检查域名验证和 CA 接口，部署失败检查服务器、权限和配置。

失败后不要反复重试同一任务而不看日志。先确认旧证书是否仍有效，保留回滚空间；再修复根因，重新执行。对关键业务，设置人工兜底流程，自动化连续失败时通知负责人手工处理。

续期成功后抽查实际访问的证书序列号，确认 CDN、负载均衡和多节点都已更新。只看到“任务成功”不代表用户侧已经切换。把验证结果写入台账，形成闭环。

八、常见问题

问：证书还有 30 天到期，为什么现在就要续？
答：OV/EV 审核、材料补正和部署验证都需要时间，提前启动可以避免截止前故障。

问：自动化续期后还需要人工检查吗？
答：需要。自动化可能失败、漏域名或部署到错误节点，监控和抽检不能省。

问：旧证书到期后还能保留吗？
答：可以归档，但不应继续部署。保留旧文件用于排查和回滚，不作为线上证书。

八、结语

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业准备 SSL 证书材料、安排续期和沟通审核问题。证书签发由 CA 按规则决定，部署与监控由企业运维负责。把清单、提醒、验证和交接四件事固定下来，证书到期才不会变成突发事故。