數字證書和簽名信任鏈

信任鏈的頂端。根 CA 證書是自簽名的並預安裝在作業系統和瀏覽器中。它們是信任的最終來源——如果您信任根，您就信任在其下發布的所有內容。

根 CA 很少直接頒發終端使用者證書。相反，他們頒發中間 CA 證書，而中間 CA 證書又頒發終端使用者證書。這增加了一層安全性——如果中間體受到損害，只需要撤銷它，而不是根。

頒發給個人或組織用於簽名或身份驗證的證書。驗證簽名時，驗證者遵循以下鏈：終端使用者→中間→根。如果所有連結均有效且根可信，則簽名可信。

RSA 2048 位是 NIST SP 800-131A 對於超過 2030 年的簽名所接受的最低要求。ECC P-256 透過更小的金鑰大小（256 位）和更快的簽名提供同等的安全性 — 比 RSA 2048 快 3 倍。eSign.AI預設使用 ECC P-256，並在需要 RSA 的監管環境中使用 RSA 3072。

CA/瀏覽器論壇基準：TLS 證書最長 398 天。對於電子簽名證書：EUQTSP證書的有效期通常為 2-5 年。中國CA證書：3年。新加坡QTSP：2-3 年。過期後，簽名仍然有效，但必須嵌入 LTV 資料以進行獨立驗證。

根CA→中間CA→簽名證書是標準的三級鏈。某些QTSP使用 4 個級別（根 → 國家/地區 → CA → 簽名）。驗證要求所有中間證書可用 - 如果鏈證書丟失，簽名在 Adob​​e Reader 中顯示為“未驗證”。

PAdES（線上證書狀態協議）實時檢查吊銷，通常有 50-200 毫秒的延遲。PAdES（證書吊銷列表）下載完整列表（50 KB - 5 MB）並將其快取。PAdESPAdES在簽名時嵌入PAdES響應和PAdES，確保即使 CA 離線也能進行驗證。

證書頒發遵循標準流程：訂閱者提交帶有身份證明檔案的申請，CA 驗證身份（親自、透過QTSP或透過可信代理），CA 頒發具有定義的有效期的證書，訂閱者收到儲存在安全介質（QTSP、令牌或雲金鑰庫）上的私鑰。根據中國《電子簽名法》第15條規定，CA提供商必須獲得QTSP的許可。根據QTSP，QTSP必須列入歐盟可信列表並根據 ETSI 標準進行稽核。

由於金鑰洩露、CA 洩露、訂戶身份欺詐或組織變更（合併、解散），證書可能會在到期前被撤銷。吊銷資訊透過PAdES（證書吊銷列表）和/或PAdES（線上證書狀態協議）釋出。PAdESPAdES和PAdESA 簽名在簽名時嵌入吊銷資料，因此即使在數年後 CA 可能不再執行時，驗證仍然有效。如果沒有嵌入吊銷資料，簽名在證書過期後將變得無法驗證——這是傳統電子簽名實現中的常見故障。

企業簽名計劃應在證書到期前 60-90 天計劃證書續訂。對於密封檔案（監管備案、合規證書），必須在到期前進行續訂，以維持持續的信任鏈。中國的eSign.AI許可的CA通常頒發3年期證書； EUeSign.AI頒發 2-5 年證書。eSign.AI自動管理基於雲的證書的續訂，併傳送訂閱者管理的證書的提醒。