CA、TSP 與 QTSP：信任服務生態系統

這些角色經常重疊——同一家機構可能同時是 CA、TSP 和 QTSP。

憑證頒發機構（CA）：核實身分並簽發數位憑證，負責身分證明、憑證簽發、金鑰管理與吊銷處理。

信任服務提供商（TSP）：提供電子信任服務，包括簽名建立、驗證、時間戳、掛號投遞與憑證管理。許多 CA 同時也是 TSP。

合格 TSP（QTSP）：QTSP 是經 eIDAS 下國家監管機構認可的 TSP。只有 QTSP 才能簽發使 QES 和 QSeal 具備法律推定的合格憑證。

不同國家有不同的信任服務生態。

歐盟信任列表：歐盟委員會維護「歐盟可信列表」——一個收錄各成員國全部經認可 QTSP 的公開登記庫。可透過該列表核實某家 TSP 是否在 eIDAS 下具備合格資格。

中國 CA 體系：中國的 CA 體系由工信部（MIIT）和國家密碼管理局（SCA）監管。持牌 CA 包括 eSign 等。根據 T/CQAE 11034-2025，CA 必須直接負責身分核驗與金鑰管理。

新加坡 IMDA：IMDA 依據《電子交易法》（ETA）對 CA 進行認可。Netrust 是知名的持牌 CA。IMDA 負責監督新加坡數位簽名的信任框架。

跨境認可：eIDAS 允許歐盟成員國在符合同等標準的前提下認可第三國的 QTSP。大多數亞太 CA 並未獲得 eIDAS 認可。

用於評估和選擇 TSP 的實用資料。

歐盟可信列表統計（2026）：歐盟可信列表是核實某服務商及其某項信任服務是否具備合格資格的權威來源。服務數量會隨著服務的新增、暫停、撤銷或續期而變化，因此採購團隊應核實即時列表，而不是依賴某個靜態總數。

亞太 TSP 的對應機制：亞太各市場採用各自的法律與監管模式。新加坡在 ETA 下維持自願性的 CA 認可框架；香港依據《電子交易條例》（ETO）認可認證機構與憑證；馬來西亞依據《數位簽名法》對 CA 發放許可；中國對電子認證服務與商用密碼進行監管；印度尼西亞維持註冊的 PSrE 框架。這些本地身分並不等同於 eIDAS 下的合格資格，必須向相應的監管機構核實。

兩份文件界定了 CA 的承諾。

憑證策略（CP）面向依賴方：它說明憑證的用途以及適用的安全等級。認證業務聲明（CPS）面向審計方：它描述 CA 實際如何產生金鑰、如何授權人員、如何管理機房設施。許多 CA 只發布 CPS；而一份清晰的 CP，才能讓依賴方判斷某張憑證是否匹配某一交易的風險。