DPP × eSignature：適格電子署名がプロダクトパスポートのコンプライアンスをどう支えるか

事業者がEU DPPレジストリにアカウントを作成し、組織情報を提出し、初期 identity 検証を行います。

事業者はレジストリからPDF宣言をダウンロードします。このPDFには欧州委員会の機関印が既に押されています。事業者はEU信頼リスト上のQTSPからQSealを適用する必要があります。QSeal証明書のサブジェクト名は登録組織名と文字レベルで一致する必要があります。

レジストリが二重署名PDFを検証し、QSealをEU信頼リストと照合し、事業者アカウントを有効化します。

XAdES-BESは署名時には有効ですが、証明書の有効期限切れ後に検証不能になります。ESPRは10年間の検証可能性を要求します。XAdES-LTAはアーカイブタイムスタンプを組み込むことでこれを解決します。

署名システムはAPI経由でXAdES-LTA署名を生成：ハッシュを計算→署名APIに送信→署名を受信→ローカルで組み立て。スループット：毎分1,000回以上。

JAdES-LTAはREST APIネイティブアーキテクチャ向けのXAdES-LTAのJSON equivalent。同じeIDASコンプライアンスでより軽量なペイロード。

HSMが非EU管轄にある場合、一部の税関監査人が信頼の連鎖を疑問視する可能性があります。

DPPバッチ署名は毎分1,000+署名を必要とします。一部のQTSPは50/分に制限しています。

QTSPは自動更新通知、ロールオーバーAPI、OCSP/CRLエンドポイントを提供すべきです。

非EU製造業者はQSeal発行前に身份確認が必要です。地域のRAがあれば大幅に加速します。

QTSPは署名済み監査ログ、TSA受領書、TSLスナップショットを提供すべきです。