ガイド
電子署名付きPDFを受け取ったら何を確認する？
要点
最初に受領した元のPDFを保存し、署名者、署名対象の内容、署名後の変更を確認します。証明書が信頼できるかという結果は、内容が改変されていないかという結果とは別です。確認できない項目が残ったら、問題なしと扱わず提出元に確認します。
最初に変換や圧縮をしてはいけない理由は？
署名のある見積書を受け取り、メールに添付し直そうとしていませんか。確認より先に圧縮、結合、印刷からのPDF作成を行うと、元の署名の情報を失うことがあります。原本を別の場所に保存し、まずそのファイルを検証します。
PDFの署名を検証に元の文書を選び、見つかった署名の数と署名者を確認します。この確認はファイルを処理に送るため、機密文書を送信してよいかも先に判断してください。本人確認用の秘密鍵や、署名用証明書のパスワードを入力する作業ではありません。
検証結果のどこを読む？
- 予定していた署名者の名前があるかを見ます。同姓同名や部署名だけでは不十分な場合があるので、必要な識別情報を照合します。
- 署名で保護された内容の整合性を確認します。エラーの詳細を読み、単に色だけで判断しません。
- 署名後に変更がある場合、その対象を確認します。後から追加されたページや振込先が、最初の署名者の承認を受けたものとは限りません。
- 証明書の発行元、有効期間、失効情報、時刻に関する証拠を確認します。取得できない情報は未確認として残します。
当社の検証処理で、署名を模した文字を載せただけの1ページの試験PDFを調べたところ、組み込まれた電子署名は0件でした。画面に署名らしいものがあることと、署名データがあることは別です。印影画像との違いも判断の参考になります。
証明書が期限切れなら、過去の署名も無効？
現在の期限だけでは結論を出せません。署名した時点の状態を確認できる証拠が必要です。文書中に印字された日時は、信頼できる時刻の証拠と同じではありません。時刻や失効情報を確認できない場合、その限界も含めて相手に照会します。
最後に、原本と確認結果を一組で保管します。印刷した紙や画面の写真に置き換えないでください。契約上の判断には電子署名の法的効力の説明を読み、代表権や必要な手続も別途確認します。
検証に使う原本は変更せずに保管します。配布用コピーの扱いを決めるときは、開封用パスワードと印刷・コピーの制限を区別してください。アクセス設定は、元の署名の検証結果を示すものではありません。
よくある質問
署名が0件なら偽物ですか？
直ちにそうとはいえません。画像による署名、別ファイルの署名、変換された写しなどが考えられます。原本と署名方式を提出元に確認します。
証明書が信頼不明なら内容も壊れていますか？
それらは別の結果です。内容の整合性が保たれていても、確認に必要な証明書や信頼情報が不足することがあります。
確認のために自分の秘密鍵を渡しますか？
他人から受け取った文書の検証に、自分の署名用秘密鍵は不要です。文書と公開の署名情報を確認します。
確認後にPDFを結合してよいですか？
提出用の写しが必要なら原本とは別に作ります。結合後のファイルを、署名された原本と同じものとして扱わないでください。