10月30日CA合规倒计时：合规电子签章软件怎么选？五个维度看清厂商合规能力

随着工信部推动电子认证服务合规升级、10月30日整改节点临近，电子签约过程中提供身份认证的电子认证机构的CA牌照成为电子签章选型时重要的核查项之一，但是，必须要明确一点：判断电子签章是否合规，确认电子认证机构的CA牌照仅仅是其中一环，绝非唯一标准。依据《电子签名法》第13条和2025年《电子印章管理办法》，关于电子签章是否合规的完整判断应覆盖“法律要件、CA合规运营、平台技术能力、司法验证、数据安全”五个维度。因此，判断一家电子签章厂商是否合规，正确的做法是两层拆解：第一层，核实其合作的CA机构是否持牌、是否合规运营；第二层，考察厂商自身在签章能力、印章管控、平台技术、司法证据链与数据安全上的真实水平。

所以企业用户的核查的方向也要变。不是问厂商"你有没有牌照"，而是要问清楚三件事：你背后提供电子认证服务的是哪家CA？这家CA是否持牌？它是否已完成新规下的合规改造？作为电子签章厂商你持有哪些资质？是否符合《电子签名法》？签署过程是否可以进行数据存证？签署结果是否有法律效力、法院认不认？

一、10月30日，为什么成了电子签章行业合规的重要时间点

行业主管部门近期部署电子认证服务业务规范化工作，要求各电子认证服务机构对照新版《电子认证业务规则规范》（T/CQAE 11034-2025）与修订后的电子认证业务规则（CPS）全面实施业务合规改造，并设置过渡期至2026年10月30日。这次整改的关键词是"全面改造"——不是修订内部制度、更新CPS文本就算完成，而是要对订户告知、身份查验、意愿记录、协议签署、私钥保管、资料留存这条服务全链条做系统性改造，规则、系统、流程同步到位。

更值得注意的是，监管已经开始落到司法审查里。在一起案件的审核意见中，法院明确写道：根据《电子认证业务规则规范》，CA机构不得将用户身份核验委托给第三方，请提交CA直验的验证报告（过往已签电子合同法律效力不受影响，只要可以提供完整存证报告即可）。

与此同时，2025年10月正式发布的《电子印章管理办法》已经施行。作为国家层面首个电子印章管理专项制度，它明确"符合本办法规定的电子印章与实物印章具有同等法律效力"，并从职责体系、制作备案、使用注销等方面构建了全过程管理框架

合规，已经从"加分项"变成了"入场券"。

二、先厘清一个前提：CA机构与电子签章厂商，不是同一个角色

选型前必须建立的第一层认知，是分清服务链条上的两个主体：

• CA机构（电子认证服务机构）：为电子签名相关各方提供真实性、可靠性验证，须持有工信部核发的《电子认证服务许可证》，是电子认证服务的法定责任主体。
• 电子签章服务商：面向最终用户提供电子签署与印章管控服务，不需要持有CA牌照，但必须与持牌CA机构合规合作，不越权从事电子认证活动。

理解了这个分工，很多选型困惑就自然解开了：

第一，"厂商有没有CA牌照"不是必答题，"厂商接入的CA是谁"才是。

厂商自建、对接第三方、还是聚合多家CA，路径可以不同，但最终签发证书的那家CA必须持牌、必须可查。这是底线。

第二，CA持牌不等于CA合规运营，更不等于电子签章结果合规。

工信部《电子认证服务许可证》加上国家密码管理局《电子认证服务使用密码许可证》，是CA机构的"双证"硬门槛，两证缺一不可。但即便持证，若身份核验层层外包、协议默认勾选、签署意愿不留证、私钥管理缺少授权约束，照样会踩到新规红线。

第三，法律早有更完整的判断依据。

《电子签名法》第十三条给出了"可靠电子签名"的四个法定要件

·电子签名制作数据用于电子签名时，属于电子签名人专有；

· 签署时电子签名制作数据仅由电子签名人控制；

· 签署后对电子签名的任何改动能够被发现；

· 签署后对数据电文内容和形式的任何改动能够被发现。

顺着这四个要件往外推，就是下面这套更完整的选型框架。

三、五维度合规选型框架

维度一：法律要件——是否真正构成"可靠电子签名"

电子签名、电子印章的法律效力不是厂商"承诺"出来的，而是靠技术方案和流程设计落到《电子签名法》第十三条的四要件上。

选型自查：

• 签署所用数字证书是否由持牌CA签发，证书信息可否公开验证？
• 私钥是否实现"专有专控"，签署时是否只有签名人本人可控？
• 签署完成后，对签名或文件内容的任何改动，能否被检测出来？
  

维度二：CA合规运营——"四条红线"是否全部落地

新规落地后，CA直验、CA直签、意愿留证、私钥直管成为四条不可逾越的红线，没有豁免、没有"过渡版本"。

• 1. 身份查验必须CA直验：严禁委托外部机构或个人（非同一法人主体视为外部机构），个人签名由CA系统直接执行实名+人脸/短信二次核验，企业签章由CA直接完成营业执照核验等，平台不得触碰核心核验数据
• 2. 服务协议必须CA直签：由CA机构与订户直接签署，杜绝默认勾选、权责不清
• 3. 申请意愿必须全程留证：高等级证书需通过录音录像、音视频双录等方式确认意愿；基础级证书需留存可追溯的确认记录
• 4. 私钥使用必须严管可控：优先由订户自主持有；CA托管需获得订户书面授权，加密存储、全程留痕，杜绝未经授权调用
• 5. 与之配套的是证书办理的"一证四步"：服务告知、身份查验、签署服务协议、数据留存，每一步都要求有据可查。此外，新规首次对证书实行分级管理（基础级/高等级），涉及生命健康、财产权益的高风险场景禁止使用基础级证书。

选型自查：身份核验是"平台做的"还是"CA做的"？协议是CA与你直接签的吗？私钥调用有书面授权和全程留痕吗？CPS是否已按新规修订并向工信部备案。

维度三：平台技术能力——牌照替代不了工程能力

CA解决的是"身份可信、证书可信"，但企业真正的用签场景，是印章怎么管、合同怎么签、系统怎么接。这部分能力完全落在电子签章平台身上：

• 1. 印章管控：用印流程、分级授权、印章集中管控、外带用印管理；
• 2. 多CA接入：能否对接多家持牌CA，避免被单一供应商绑定；
• 3. 开放集成：与OA、ERP、CRM、HR、采购等系统的接口与集成能力；
• 4. 签署体验：模板化、批量签署、多终端签署、异地多方签署。

选型自查：平台是否只做"通道"，还是有完整的印章管控与业务集成能力？

维度四：司法验证——出事时能不能"自证清白"

合规的最终检验场是法庭。新规要求电子签章过程信息应当被记录并保存，实现电子签章行为可追溯、可定责；验证时应当按照国家标准核验签章数据的真实性、完整性和不可否认性，并可核验签章时印章的有效性

选型自查：

• 1. 能否提供CA直验报告（法院明确要求该报告）
• 2. 证据链是否完整（时间戳、哈希值、签署日志、用印记录）？
• 3. 是否对接公证处、司法鉴定机构或可信存证体系？
• 4. 是否有真实司法采信案例？
  

维度五：数据安全——底线能力

电子签章系统承载的是企业最核心的合同与用印数据，安全合规要求覆盖《网络安全法》《数据安全法》《个人信息保护法》《密码法》的交叉约束

选型自查：

• 1. 是否通过等保测评、商用密码应用安全性评估？
• 2. 是否支持私有化部署/本地化存储，满足数据不出域的诉求？
• 3. 私钥托管是否有订户书面授权、是否有加密存储与全量审计日志
• 4. 是否遵循最小权限原则，操作全程留痕？

四、四家主流电子签章厂商对照

下表按上述五个维度整理了市场主流厂商的公开定位与合规路径侧重，供选型时对照参考（不含任何资质评价，厂商是否合规请以其接入的CA持牌状态及厂商官方公示为准）：

关键提醒：拿到一份已签署的电子合同，查看数字证书信息——签发主体是否与持牌CA完全一致？是否存在"平台代发""联合签发""合作签发"等模糊表述？证书能否在工信部电子认证服务系统中查询验证？如果签发主体不是持牌CA本身，这张证书在新规框架下的法律效力将大打折扣。



五、一张选型自查清单（建议直接套用）

任何一项答不上来，都说明该认真核实服务商的合规状态了。

六、常见问题解答（FAQ）

Q1：电子签章厂商必须持有CA牌照吗？

A：不需要。CA（电子认证服务机构）与电子签章服务商是两个不同层级的角色。CA须持有工信部《电子认证服务许可证》，而电子签章平台不属于CA机构，本身不需要CA牌照，但必须与持牌CA合规合作，不越权从事电子认证活动。

Q2：那选型时到底该怎么查CA？

A：三件事：一看它为证书签发的CA是否持牌（可在工信部电子认证服务系统查询）；二看身份核验是否由这家CA直接执行；三看该CA的CPS是否已按新规修订。在拿到已签署的电子合同时，再核对证书签发主体是否与持牌CA完全一致——法院已明确要求提交"CA直验的验证报告"。

Q3：10月30日整改，对使用电子签名的企业有什么影响？

A：整改主体是CA机构，但影响传导到所有用签企业。过渡期结束后进入专项检查，若厂商或CA未完成合规改造，业务可能面临停服预案。

Q4：基础级证书和高等级证书怎么选？

A：新规将证书分为基础级和高等级。涉及生命健康、财产权益的高风险场景必须使用高等级证书；基础级证书禁用于婚姻、收养、继承等人身关系及公共事业服务场景，金融、医疗等关键领域也禁止使用基础级证书。

Q5：制度依据到底有哪些？

A：三层体系：法律层《电子签名法》《密码法》《网络安全法》《数据安全法》；规章层《电子印章管理办法》（国办发〔2025〕33号）与《电子认证服务管理办法》；标准层《电子认证业务规则规范》（T/CQAE 11034-2025）。



七、结语：合规选型，看的是"体系"而不是"一张证"

10月30日的倒计时，本质上是一次行业信任底座的重建。它把电子认证服务应有的责任，真正落到了系统、流程和证据上——规则越清晰，责任越明确，企业使用电子签名的预期就越稳定所以，选型的正确姿势是两层：先看它背后的CA持不持牌、合不合规，再看厂商自己在签章、印章管控、集成与证据链上有没有真本事。 单看任何一层，都会看走眼。

契约锁的选择是：与持牌CA分工合作，把CA该做的事交给持牌CA去合规完成，自己把签章、印章管控、业务集成与证据链做到极致。开放、多CA、可验证——这既是契约锁的合规路径，也是企业可以随时核查、随时替换的底气。