什么是 eKYC？电子化「了解你的客户」详解

什么是 eKYC

eKYC（electronic Know Your Customer，电子化「了解你的客户」）是银行与受监管机构在接纳客户前必须完成的客户尽职调查的远程数字化做法。它不再依赖面对面核验和护照复印件，而是采集身份证件、读取并校验证件、与权威数据源比对，并确认镜头前是真人。它不是一个单一动作，而是一套分层的信任机制，按顺序回答三个问题：这个人是谁、他的证件是否真实、他此刻是否在场。这个顺序很关键，因为每一层都建立在下一层之上。而 eKYC 本身只是 KYC 的一种交付方式，底层的法律义务并未改变。

FATF 建议 10

客户尽职调查基线

ISO/IEC 30107

活体检测 / 呈现攻击检测标准

NIST SP 800-63

保证级别（IAL / AAL / FAL）

EU 2024/1183

eIDAS 2.0 法规

一次 eKYC 核验到底验证了什么

信任像一架梯子，每上一级都比下一级证明得更多，而 eKYC 位于普通账号登录之上。一次完整核验由五项相互关联的事实构成，且必须全部成立。第一是账号事实——操作会话的人掌控着该账号或设备。密码、一次性验证码和设备信号能证明这一点，但也仅止于此。第二是身份事实——线上的人对应一个真实法律身份，这一步会采集姓名和证件号并与政府、银行或征信数据源比对。第三是真人事实——此刻在场的是真人，而不是照片、回放视频或面具；活体检测与呈现攻击检测负责这一项。第四是证件事实——身份证件本身真实且未被篡改，通过防伪特征、芯片读取或密码学校验确认。第五是绑定——上述各项都归属同一个人、同一次事件，并作为可复核的证据记录在案。任何一项缺失，梯子就不承重：人脸比对没有活体，验证的只是一张图；证件真实但未做数据源核验，只能证明存在一份证件。

身份认证、身份核验与电子认证不是一回事

日常语言把它们统称为「认证」，但它们验证的对象不同，提供的保证级别也不同。身份认证（authentication）证明的是凭据控制权——当前操作者就是账号所有者。它本身并不知晓此人的真实姓名，也不将其绑定到法律身份；密码、短信验证码、指纹与人脸登录都属于认证方式。身份核验（identity proofing / verification）确认的是一个被声明的身份真实存在：姓名、证件号以及通常的生物特征会与权威来源比对。这是实名层，也是 eKYC 在远程执行的事情。 eKYC 是 KYC 尽职调查的电子化远程执行，把身份核验与证件校验、活体检测结合起来，使客户无需到场即可完成开户。 CA 电子认证位于最高一级。可信第三方（证书颁发机构）在数字证书中把公钥与身份绑定，使网络中的他方可对身份做密码学验证，签署人事后无法否认。它证明的不只是「系统认识这个人」，而是「网络能够验证这个人」。

身份认证 vs eKYC vs CA 数字证书电子认证

三个层级在「证明什么、留下什么证据、谁能验证」上各不相同。

	身份认证	eKYC（远程身份核验）	CA 数字证书电子认证
回答的问题	你是不是账号主人？	这个线上身份对应现实中的哪个人？	网络能否验证此身份与公钥？
证明什么	对凭证的控制	实名身份 + 真人活体	身份与公钥的绑定
典型手段	密码、验证码、生物识别登录	证件 + 人脸 + 数据源比对 + 活体	CA 签发的数字证书
留下的证据	登录/认证日志	证件数据、人脸比对分值、活体结果	证书、签名、时间戳
第三方可否验证	否——仅限系统内部	部分——经由服务商的证据	可——密码学方式、全网可验
不可抵赖性	弱	中	强

值得掌握的 eKYC 术语

有一小批术语会在法规、厂商文档和审计中反复出现，掌握它们能省下大量沟通成本。 KYC（「了解你的客户」）是流程；客户尽职调查（CDD）是识别并核验客户的法律义务。FATF 建议 10 确立了国际基线，并禁止匿名账户或虚构姓名账户。活体检测证明现场是真人。呈现攻击检测（PAD）是抵御欺骗（打印照片、屏幕回放、面具）的正式学科，其标准为 ISO/IEC 30107。保证级别来自 NIST SP 800-63，其中定义了身份保证级别（IAL）、认证器保证级别（AAL）与联邦保证级别（FAL），用于衡量身份、登录与联邦断言各自的证明强度。在 eIDAS 框架下，已通报的 eID 方案与欧盟数字身份钱包让受监管的身份可在多项服务间复用；eIDAS 2.0 即 Regulation (EU) 2024/1183，它修订了 Regulation (EU) No 910/2014。在欧盟银行业，EBA/GL/2022/15 规定了信贷与金融机构开展远程客户开户的指南，包括应采用的相应技术与控制。

为什么活体与防伪才是风险所在

单有人脸图像几乎证明不了什么。高清静态照片、循环视频或合成深度伪造都能对着摄像头展示，因此没有活体，身份核验验证的就只是一张图，而不是一个人。欺骗的成本很低：一张打印的高清照片或一段真实客户的重放视频，就能攻破任何仅做人脸比对的核验，这正是呈现攻击检测存在的理由。深度伪造把门槛抬得更高，因为生成式视频能同时模仿外貌与动作，被动的单帧检测已不够用；更强的方案会结合主动挑战、纹理与深度分析，以及注入攻击防御。这里有两个输出，且它们并不相同。人脸与证件比对分数说明「人脸与证件相符」，活体判定说明「现场是真人」。记录必须同时保留两者，因为这是两个不同的主张。为便于审计和争议处理，流程应把身份数据、比对结果、活体结果、时间戳与来源核验作为一整套可导出的证据留存——可在事后复演的记录，而不是一个笼统的通过／不通过标记。

关于 eKYC 的常见问题

不是。KYC 是识别并核验客户的义务；eKYC 是远程、电子化执行它的方式。法律义务相同，但 eKYC 以数字化的证件采集、数据源核查和活体检测，取代了面对面、纸质的做法。

eSign.AI 如何承载

eSign.AI 在电子签署流程内支持可配置的签署人身份核验——证件与数据核验、可配置的签署人认证——并把由此产生的身份证据与已签文档、审计追踪一并记录。身份核验是签署流程中的一个控制项，不能替代您自身的 KYC 体系或法律义务。在依赖任何 eKYC 流程之前，有五项检查值得先厘清。

落地路径：采用 eKYC 前的五项检查

把 eKYC 当作一套受控流程而非一个开关，按顺序逐项确认。

01

确认所需保证级别

先确定监管口径与级别——例如 NIST IAL 或本地 KYC 标准——再选择方法。

02

确认接受的身份来源

核实是否需要政府、银行或征信来源，以及证件类型是否符合要求。

03

确认活体检测按标准实测

确保呈现攻击检测是按 ISO/IEC 30107 实测，而非仅作声明。

04

确认比对与活体相互独立

让人脸比对分数与活体判定作为彼此独立、可复演的输出进入证据。

05

确认证据可导出

确保身份数据、来源核验、时间戳与结果能按需提供。

电子签名中的身份验证高风险协议的签署人身份验证国家数字身份与电子签名集成