DPP Series | Part 3: 从 eCoC 到 QSeal：eSign.AI 如何支持 DPP 就绪

数字产品护照（DPP）正变得不只是一个产品数据项目。2026 年 7 月 17 日，欧盟发布了 Commission Implementing Regulation (EU) 2026/1778，为《可持续产品生态设计法规》项下的 DPP 注册系统建立了详细实施安排。该条例将身份、授权、API、验证和持久证明纳入运营图景。

对于制造商和出口商而言，这改变了关于就绪度的讨论。问题不再只是产品数据是否存在。企业还需要知道由哪个法律实体提交数据、如何验证授权行为者、系统如何交换数据，以及哪些证据可以证明注册和提交事件已经发生。

这篇 eSign.AI DPP 系列的最终文章说明，电子符合性证书（eCoC）、QSeal 交付、长期签名和 API 工作流如何组合为实用的 DPP 就绪解决方案。

2026 年 7 月 DPP 注册系统规则新增了什么

Regulation (EU) 2026/1778 描述了欧盟委员会将如何运营 DPP 注册系统和验证平台。其涵盖访问控制、经济运营商注册、验证、唯一注册标识符、基于 API 的接口、日志和注册证明。

对于自然人，该条例提供了高保障身份路径，可包括合格电子签名、高保障电子身份识别方案或合格电子属性证明。对于法人，该条例提供的路径包括由合格信任服务提供商签发的合格证书支持的合格电子印章，或电子证明路径。

该条例还规定，经验证的经济运营商仍对其提交的数据负责。技术可以建立受控流程并保存证据，但不会将产品信息的法律责任从运营商转移出去。

在设计面向注册系统的控制措施时，应使用 Commission Implementing Regulation (EU) 2026/1778 的官方文本。

为什么 eCoC 经验具有相关性

电子符合性证书和数字产品护照是不同的工具。eCoC 支持车辆符合性和注册流程，而 DPP 根据适用于某一产品组的法规提供产品信息。数据模型、主管机构和法律要求不能互换。

然而，二者都揭示了同一个运营挑战：受监管的产品数据必须从权威业务系统进入外部数字流程，同时保留身份、完整性和证据。已经将制造数据、审批工作流和可信签名连接到 eCoC 流程的企业，具备对 DPP 就绪有用的构建模块。

这些构建模块包括受控主数据、清晰的法律实体所有权、基于角色的审批、API 监控、异常处理、证据导出和长期留存。复用控制措施比尝试复用整个特定产品解决方案更有价值。

QSeal 是一种信任服务，而不是软件标签

合格电子印章通常简称为 QSeal，是符合 eIDAS 合格状态要求的电子印章。它使用合格电子印章创建设备生成，并基于电子印章的合格证书。根据 eIDAS，它享有数据完整性和来源正确性的推定。

合格状态不能通过营销声明或工作流设置创建。提供商及其合格服务必须出现在适用的欧盟国家信任列表中。eSign.AI 通过其 Registration Authority 服务以及与 ANF AC 的集成满足这一要求；ANF AC 签发合格电子印章，并作为合格提供商列入欧盟信任框架。

对于客户而言，这意味着 eSign.AI 可以将 QSeal 申请和签发旅程作为 DPP 或 eCoC 解决方案的一部分交付：组织文件收集、身份验证协调、证书数据匹配、印章激活，以及接入签名工作流。客户无需单独组建海外信任服务路径。

eSign.AI 如何支持与 QSeal 相关的就绪工作

第一项能力是 QSeal 入驻。eSign.AI 可引导组织完成申请材料包和验证流程，协调 Registration Authority 步骤，并将 ANF AC 签发的 QSeal 连接到所需业务工作流。

第二项能力是可信签名。eSign.AI 支持面向 PDF 文件的 PAdES 工作流，以及面向结构化 XML 或 JSON 数据的 XAdES/JAdES 长期签名配置文件。合格时间戳和保留的验证证据有助于让记录在原始证书生命周期之后仍可验证。

第三项能力是系统集成。DPP 或 eCoC 流程可能始于 PLM、ERP 或另一个记录系统。eSign.AI 可以接收业务事件，验证所需工作流字段，路由审批，通过 SaaS、SDK 或 API 应用 QSeal 或签名，并留存已签名对象、时间戳、交易日志和完成证据。

一个概念性的经济运营商入驻流程

工作流说明：这个来源于 Word 的图示是概念性说明，并非欧盟 DPP Registry 界面。在 eSign.AI 的交付模型中，合格印章通过 ANF AC 签发，并通过 eSign.AI 的 Registration Authority 和集成服务纳入客户工作流。实际身份识别方法、证明格式和授权步骤遵循适用的欧盟规则以及最终注册系统设计。

入驻工作流可以从相关企业来源收集法律实体信息和支持记录开始。授权代表审查注册包，并在适用规则要求时，由已配置的信任服务步骤应用所需的签名或印章。

随后，系统通过适用接口提交该包并保留响应。根据 Regulation (EU) 2026/1778，成功完成注册系统注册后，将生成唯一注册标识符，以及以安全电子文件形式提供、并通过欧盟委员会信任服务加以保护的注册证明。

该流程必须将三类记录分开保存：组织身份的证明、行为者获得授权的证明，以及外部系统接受或注册提交的证明。将它们合并为一个通用的“已签名”状态，会使后续审计和故障排查变得困难得多。

API 集成和批量处理

制造商可能需要注册大量产品或实体，并大规模维护护照数据。对于高容量项目而言，手动门户操作不能成为主要运营模式。API 集成应支持经过身份验证的请求、确定性标识符、幂等性、验证、响应跟踪和受控重试。

批量处理不应意味着一个不透明的批量作业。每个项目都需要可追踪的状态和证据链，以便隔离失败记录，而无需重新提交已成功的记录。监控应区分数据质量错误、授权失败、信任服务失败和外部平台可用性问题。

eSign.AI 连接客户业务系统、合格签名与盖章服务，以及面向注册系统的提交流程。DPP Registry 由欧盟委员会运营；eSign.AI 提供客户侧 QSeal、签名、集成和证据能力，以支持这些流程的准备与执行。

企业现在可以实施的就绪架构

企业无需等到每一项授权法案出台后才改进基础能力。它们可以建立产品和规则登记册，映射源系统，定义标识符治理，记录法律实体所有权，并构建可复用的审批和证据控制措施。

合理的架构将产品数据与工作流控制分离，同时将二者连接到可信签名服务。产品数据保留在权威系统或受治理的数据服务中。eSign.AI 协调验证和审批，交付 ANF AC QSeal 路径，应用所需的 PAdES/XAdES/JAdES 签名或合格时间戳，并保存结果和上下文。

这种分离可以避免供应商锁定，并允许不同产品组使用不同法律路径，同时共享集成、监控和证据能力。

选择解决方案前的三项检查

第一，询问该解决方案是否区分普通电子签名或印章与合格服务。如果每一种信任操作都被呈现为等同，法律和采购团队就无法做出知情决策。

第二，询问该解决方案是否同时提供合格服务路径和有文档记录的 API。DPP 项目不应迫使客户在彼此断开的提供商和门户之间协调证书签发、签名和产品数据提交。

第三，询问证据是否可以导出并独立验证。如果工作流平台、信任提供商或内部系统发生变化，合规记录必须仍然可用。

eSign.AI 在 DPP 就绪中的角色

eSign.AI 为 DPP 和 eCoC 周边的信任层提供端到端客户解决方案：通过其 Registration Authority 服务和 ANF AC 集成提供 QSeal 申请与签发支持，提供 PAdES/XAdES/JAdES 签名、合格时间戳、SaaS/SDK/API 连接、面向批量处理的流程以及长期证据留存。

对制造商而言，实际优势在于从组织验证到重复性产品数据签名的一条交付路径。客户可以在 eCoC 和 DPP 入驻中使用同一 QSeal 基础，在需要时加入长期结构化数据签名，并将流程连接到生产系统，而无需构建单独的信任服务堆栈。

完成 DPP 系列阅读

先阅读第 1 部分：中国出口商为何需要为欧盟数字产品护照做好准备，了解范围、时间线和行业背景。

然后阅读第 2 部分：DPP 深度解析：企业如何使用、规划应用并进行集成，了解实用的运营和集成模型。

第 3 部分：从 eCoC 到 QSeal：eSign.AI 如何支持 DPP 就绪（本文）