中国电子认证新规 2026：10月30日整改截止与 CA 合规电子签名

中国监管机构收紧了电子签名之下的规则。2026 年 4 月，工业和信息化部（工信部）发布《关于做好电子认证业务规则相关工作的通知》（工信发函〔2026〕181号），并同步发布行业标准《电子认证业务规则规范》T/CQAE 11034-2025。电子认证服务机构必须全面改造业务流程，在过渡期于 2026 年 10 月 30 日结束前满足四项不可妥协的要求：CA 直验、CA 直签、意愿留证、私钥直管。

对于在中国大陆境内或与中国大陆主体签署合同的企业而言，这不是供应商的内部事务。一旦已签署的合同发生争议，法院审查的正是信任链中的这些环节。本文将说明此次监管变化、四条红线的具体要求，以及买方应当核实的内容。

2026 年新规覆盖的范围

中国的电子签名制度包含两个常被混淆的层级。《电子签名法》规定签名何时具有法律可靠性；在其之下，电子认证业务规则规范持牌认证机构（CA）如何核验身份、签发证书并留存证据。

2026 年的相关举措针对的是第二个层级。工信部通知（工信发函〔2026〕181号）要求各电子认证服务机构对照修订后的业务规则全面自查并实施合规改造。配套行业标准 T/CQAE 11034-2025——它是行业协会标准，并非通知正文本身——规定了核查所依据的操作细则。

这条监管线与国家密码管理局另行推进的电子认证服务密码使用管理不同：后者规范的是密码使用许可，而非业务规则本身，两条监管线对同一批机构提出了不同的义务。

这次改革明确不是表面文章。服务机构仅靠修订内部制度或更新电子认证业务规则（CPS）文本无法达标。通知同时排除了规避做法：平台不得借合同约定将认证服务变相转为"安全服务"或"辅助认证服务"，也不得把第三方认证服务违规改造为自建项目以规避监管。

四条红线

该标准把整改归结为四项要求，业内称之为红线——没有豁免，也没有"过渡版本"。

• CA 直验。 身份必须由持牌 CA 本身核验。严禁委托外部机构或个人（非同一法人主体视为外部机构）执行身份查验，以从源头保障数字身份的真实性与唯一性。
• CA 直签。 认证服务协议必须由 CA 与证书订户直接签署，使双方权利义务被明确告知并接受，而不是以默认勾选或模糊授权代替。
• 意愿留证。 订户的签署意愿须全程记录、可追溯。高等级证书需通过音频或视频录制确认；基础级证书需留存可追溯的确认记录。
• 私钥直管。 签名密钥原则上由订户自行持有。若由 CA 托管，须取得订户书面授权，加密存储，并完整记录每一次调用——杜绝未经授权调用。

这四项要求改变了基于"对接 CA"或"联合认证"的既有合作结构，因为在那些模式中，受监管的环节往往并非由持牌 CA 本身完成。

为何法院已在适用该标准

此次改革不仅是行政层面的要求。近期，景德镇市昌江区人民法院在一起案件的审核意见中引用《电子认证业务规则规范》，以"CA 机构不得将用户身份核验委托给第三方"为依据，要求当事人提交 CA 直验的验证报告。

对企业的实际影响是：若合同日后遭到质疑，而身份核验链条被外包、以默认勾选完成、或从未留证，这些缺口就会成为争议的突破口。签署时看似有效的签名，一旦涉诉可能难以辩护。

买方应做的三项核查

通知把过渡期义务落在服务机构身上，但也给了买方一份核查清单。服务机构无法清楚回答的问题，都是进一步核查认证链的理由。

• 查牌照。 确认电子签名服务商、以及实际签发证书的 CA，均持有有效的电子认证服务许可证。通过工信部官方查询渠道验证：https://ythzxfw.miit.gov.cn/index，而不是依赖宣传页面。缺证即一票否决。
• 查是否 CA 直验。 这是核心红线。个人签名身份核验应由持牌 CA 系统直接执行实名核验加人脸或短信二次核验，无第三方中转。企业签章身份核验应由 CA 直接完成营业执照核验与对公打款或活体核验，平台不得触碰核心核验数据。若任一环节的答案是"由平台完成"或"对接了第三方核验服务"，则核验链条断裂。
• 查证书签发主体。 打开一份已签署的合同，查看数字证书信息。签发主体应与持牌 CA 完全一致。警惕"代发""联合签发""合作签发"等模糊表述，并确认证书可在工信部电子认证服务系统中查询验证。若签发主体并非持牌 CA 本身，该证书在新规框架下的法律效力将大打折扣。

外国企业应当做什么

在中国大陆境外、但与中国大陆对手方签约的团队，应把 10 月 30 日截止视为一个选型与复核窗口，而不只是一件远方的合规事件。

• 向服务商索取每一种签署方式对应的证书签发主体的法定名称，以及其背后的牌照证明。平台品牌、注册流程与持牌 CA 可能是三个不同的主体。
• 询问身份如何核验、订户协议如何展示与接受、密钥在何处生成、谁可以调用，以及每个环节留存了哪些记录。
• 索取一份证据包样本：已签署文件、证书信息、签署人认证事件、同意与意愿记录、时间戳与审计记录。
• 记住服务商持牌与合同可执行性相关但不等同。某份文件是否具有约束力，仍取决于文件类型、当事人意愿、签名方式的可靠性以及可用的证据。关于中国大陆签署的整体图景，可参阅中国大陆电子签名概览。

后续将发生什么

过渡期于 2026 年 10 月 30 日结束，此后工信部预计将转入全维度从严核查。无法达标的服务机构将面临不合规业务停服，乃至清退或吊销牌照。现在复核服务商的企业，可避免在争议发生时才发觉认证链条已经断裂。

要点

• 工信部《关于做好电子认证业务规则相关工作的通知》（工信发函〔2026〕181号）与行业标准 T/CQAE 11034-2025，为中国电子认证划定四条红线。
• 四条红线是：CA 直验、CA 直签、意愿留证、私钥直管。
• 过渡期于 2026 年 10 月 30 日结束，此后预计展开核查与牌照处置。
• 法院已开始适用该标准：景德镇一起案件中，法院要求提交 CA 直验验证报告。
• 买方在依赖中国签发的证书前，应核实服务商牌照、CA 直验环节以及证书签发主体的身份。