获取签名证书并用它签署PDF

一份必须带可验证签名人的报告

郑琳是一名自由执业的结构工程师。她为一处仓库扩建写的检查报告inspection_report_14B.pdf，周五前必须提交到建设主管部门的系统，而系统说明要求报告带有负责工程师的证书签名。手写签名的扫描页会被退回。她有一张据说能签署文件的身份证件，但从来没用它签过，而且报告还有两个附录没附上。

她的任务分成三部分：选一个主管部门会信任的证书，把PDF定稿，最后再签署。顺序弄错，是签名在接收方那里验证失败最常见的原因。

证书可以从哪里来

无论来源是哪里，背后的密码学都一样。不同的是谁为证书里的姓名担保，因此接收方的阅读器在验证时会显示什么。

如果接收方指定了标准或可接受的服务商名单，那就按它来。如果没有，买任何东西之前先问清楚；电子签名与数字签名的比较能帮您看懂对方到底要什么。

先在PDFGym里把PDF定稿

所有会改动文件的操作都必须在签名之前完成，因为签名会把文件按当时的状态封存。PDFGym的工具在浏览器里完成这些准备，不会上传报告。

1. 在合并PDF里，按主管部门期望的顺序把报告和附录合并起来。
2. 在整理PDF里打开合并后的文件，删掉扫描仪产生的空白页，逐页检查顺序。
3. 如果系统限制上传大小，就把文件交给压缩PDF，把上限输入为目标。
4. 把定稿文件从头到尾读一遍。签名之后才发现错字，就得重新签。
5. 用清楚的名字保存，例如inspection_report_14B_final.pdf，然后才转到签名软件。

提醒一点：如果主管部门发来的是带空白签名字段的表单，就直接在那份表单上签。合并和页面工具是一页页复制的，合并PDF在文件带表单或签名字段时会提醒，因为这些字段可能保留不下来。

在签署软件中完成签署

证书有两种形式：一种是受保护的文件，通常以.pfx或.p12结尾，导入到系统或PDF阅读器里；另一种是智能卡或令牌，需要读卡器和签发方的软件。身份证件属于第二种，用它的PIN码才能调用私钥。

在支持证书签名的程序里打开定稿文件。Adobe Acrobat Reader支持，它把证书称为“数字身份证”；LibreOffice也能签署现有的PDF。选择证书签名命令，画出签名框或点击已有的字段，选中您的证书，输入PIN码或密码，然后用新名字保存，例如inspection_report_14B_signed.pdf。如果软件提供来自时间戳服务器的时间戳，就接受它：它记录的签名时间来自您电脑时钟以外的来源。

然后打开签好的副本，看看签名面板。它应该显示您的姓名和签名时间，并说明文档自签名以来没有改动过。

会破坏或削弱签名的错误

• 签名之后再压缩或合并。两者都会写出一个新文件，封存就对不上了。在未签署的定稿上修改，再重新签署。
• 提示无法验证签名人。接收方的阅读器不信任您证书的签发方。使用受认可机构签发的证书，或者和对方商定怎样信任您的证书。
• 用过期的证书签名。在截止那一周之前，而不是当天，查看证书详情里的有效期。
• 私钥文件放在共享文件夹里。谁拿到它和它的密码，谁就能以您的名义签署文件。请签发方吊销它，再申请一个新的。
• 用手画的签名代替。签署PDF放的是一张签名图片，很多文件用它没问题，但它不带证书。它在给带签名字段的文件加标记之前也会提醒，因为这样可能让已有的签名失效。

什么时候不用专门弄一个证书

大多数日常文书并不要求证书。很多协议接受手写或输入的签名，在任何设备上签署PDF的指南讲了这条路。如果对方通过电子签名平台办理，就在他们的链接里签；平台会处理自己的证书，并把审计记录集中保存。

在单位里，自己生成证书之前先问IT，因为很多机构已经在发放证书。如果某项申报会带来法律后果，哪种签名有效取决于国家和具体程序；可靠的依据是主管部门的说明或律师，而不是一篇通用指南。