2026年1月16日
はじめに
PDF に電子署名する場合、最初に確認すべきなのは署名画像の位置ではありません。重要なのは、どの版を誰が署名し、署名後にその内容が改変されていないことをどのように確認できるかです。
たとえば、社内承認を終えた業務委託契約書を PDF で取引先へ送るケースを考えてみます。承認後に文言が変わったり、署名済み PDF を別のファイルとして保存し直したりすると、後から「実際に承認・署名された文書はどれか」を確認しにくくなります。
PDF 電子署名のやり方は、次の流れで整理すると分かりやすくなります。
- 署名対象となる最終版の PDF を確定する
- 署名者と電子署名の方式を確認する
- 確定した PDF に電子署名する
- 署名と文書の完全性を検証する
- 署名済み PDF と関連する証跡を保存する
日本の電子署名法では、電子署名について「誰が作成した情報であるかを示すこと」と「改変の有無を確認できること」という二つの要件が定められています。署名画像を PDF に貼り付けただけで、この二つが当然に確認できるわけではありません。
この記事では、業務委託契約書を例に、PDF の確定から署名、検証、保存までを実務の流れに沿って説明します。
署名する PDF の最終版を確定する
電子署名を始める前に、まず「何を署名するのか」を一つのファイルに確定します。
業務委託契約であれば、少なくとも次の内容が社内承認済みであることを確認します。
- 委託業務の内容
- 報酬や支払条件
- 契約期間
- 契約当事者
- 署名者
- 添付資料や別紙
- 契約書の版番号
レビューコメント、変更履歴、仮の金額、差し替え前の添付資料などが残っている場合は、署名依頼を送る前に整理します。
承認済みの PDF には、ファイル名や版番号など、後から特定できる情報を持たせておくと管理しやすくなります。厳格な文書管理が必要な組織では、承認時点の PDF のハッシュ値を記録しておく方法もあります。
ここで記録するハッシュ値は、「承認された元の PDF がどのファイルだったか」を識別するための値です。
電子署名を PDF に付与すると、署名情報がファイル内部に追加されるため、通常、署名前の PDF と署名後の PDF のファイルハッシュは同じにはなりません。そのため、署名前後のファイルハッシュが一致することを署名の有効性の条件にしてはいけません。
署名後は、署名検証機能を使って、署名対象となった内容が署名後に改変されていないかを確認します。
電子署名法第2条第1項で確認すべきこと
日本の「電子署名及び認証業務に関する法律」第2条第1項では、電子署名を、電磁的記録に記録できる情報について行われる措置で、次の二つの要件を満たすものとして定義しています。
一つ目は、その情報が、その措置を行った者の作成に係るものであることを示すためのものであることです。
二つ目は、その情報について改変が行われていないかどうかを確認できることです。
実務では、この二つを次のように分けて考えると分かりやすくなります。
誰が署名したのかを確認できるか
署名者の氏名だけでなく、どのような方法で署名者を識別・認証したのかを確認します。
証明書を利用する電子署名であれば、署名者情報に加えて、証明書の名義や発行者などを検証できます。別の認証方式を使う場合は、その方式で取得される本人確認情報や認証記録を確認します。
なお、電子署名法第2条第1項の定義自体が、すべての電子署名について電子証明書の利用を必須としているわけではありません。どの技術や認証方式を採用するかと、その署名が法令上どのように評価されるかは分けて判断する必要があります。
署名後の改変を確認できるか
電子署名の重要な役割の一つが、署名対象となった情報について、その後の改変を検知できるようにすることです。
証明書を利用した一般的なデジタル署名では、署名検証によって、署名対象となったデータが署名後に変更されていないかを確認します。
ここで重要なのは、署名前の PDF と署名後の PDF のファイルハッシュを比較することではないという点です。
署名そのものが PDF に新しいデータを追加するため、署名前後のファイルはバイナリとして異なります。確認すべきなのは、署名済み PDF に含まれる署名を検証し、その署名が保護している内容に不正な変更が加えられていないかどうかです。
また、電子署名法第3条には、一定の要件を満たす本人による電子署名が行われた電磁的記録について、真正に成立したものと推定する規定があります。第2条の「電子署名の定義」と、第3条の「真正な成立の推定」は同じ内容ではないため、混同しないことが重要です。
署名者と署名方法を確認する
PDF を確定したら、次に署名者と署名方法を確認します。
契約管理の担当者は、少なくとも次の点を整理しておくとよいでしょう。
電子証明書を利用する場合は、証明書に表示される名義と実際の署名者が対応しているかを確認します。
ただし、証明書に個人名が表示されているからといって、その人が会社を代表してすべての契約を締結できることまで証明されるわけではありません。会社内の署名権限、委任、代理権などは、必要に応じて別途確認します。
確定した PDF に電子署名する
署名対象、署名者、署名方法が決まったら、確定した PDF を署名フローに登録します。
署名前にもう一度、次の点を確認します。
- 最終承認された PDF と同じ版か
- ページや添付資料が欠けていないか
- 署名者が正しく設定されているか
- 署名順序が正しいか
- 署名欄が本文を隠していないか
署名画像を表示する場合は、契約条項や金額、日付などの重要な情報と重ならない場所に配置します。
ただし、画面上に表示される署名画像は、電子署名そのものとは区別して考えます。署名画像は人が文書を読みやすくするための視覚的な表示であり、署名者や改変の有無を技術的に検証する仕組みは、電子署名のデータ側にあります。
複数人が同じ PDF に署名する場合は、後続の署名を追加しても、それ以前の署名が適切に検証できる仕組みを利用します。署名済み PDF を一度印刷して再度 PDF 化するなど、元の署名情報が失われる処理は避けます。
PDF の電子署名を検証する
署名が完了したら、署名済み PDF を検証します。
検証では「署名済みと表示されているか」だけを見るのではなく、利用している署名方式に応じて、複数の項目を確認します。
署名者情報
署名に関連付けられている人物や組織の情報を確認します。
証明書を利用している場合は、証明書に記載された名義と、契約上の署名者が適切に対応しているかを確認します。
文書の完全性
署名済み PDF が、署名後に変更されていないかを確認します。
署名検証ツールで「署名が有効」「署名後に変更されていない」といった結果が表示される場合、その判定がどの署名を対象としているのかも確認します。
複数の電子署名が追加された PDF では、後続署名の追加など、PDF の仕様上認められた変更が存在することがあります。そのため、単純に「ファイルが一度でも変化したか」ではなく、署名検証の結果を確認することが重要です。
証明書の状態
証明書を利用する署名の場合は、必要に応じて次の情報も確認します。
- 証明書の名義
- 証明書の発行者
- 有効期間
- 失効情報
- 証明書チェーン
- 検証結果
証明書の有効期限が現在すでに過ぎているからといって、過去に作成された署名が直ちに無効になると判断できるわけではありません。
署名時点の証明書の状態、失効情報、タイムスタンプなど、利用している署名方式で確認できる情報を含めて判断します。
タイムスタンプ
署名フローでタイムスタンプを利用している場合は、その検証結果も確認します。
タイムスタンプは、対象となる電子データが一定の時点で存在していたことや、それ以降の改変を確認するための情報として利用されます。
すべての電子署名に必ずタイムスタンプが必要という意味ではありません。必要性は、利用する署名方式、契約の要件、組織の運用方針などによって異なります。
ハッシュ値は何のために保存するのか
PDF 電子署名の運用では、ハッシュ値の役割を正しく分けておくことが重要です。
たとえば、次のように管理できます。
署名前のハッシュ値
承認された最終版 PDF を識別するために利用します。
署名済み PDF のハッシュ値
完成した署名済みファイルを一意に識別したり、保存後に同じファイルであることを確認したりするために利用できます。
この二つは対象となるファイルが異なるため、通常は異なる値になります。
したがって、
署名前のハッシュ値 ＝ 署名後のハッシュ値
であることを確認する運用にはしません。
代わりに、承認済み PDF と署名フローの対応関係を記録し、完成した署名済み PDF について電子署名の検証を行います。
署名済み PDF と証跡を保存する
契約の署名が完了したら、最終的な PDF だけでなく、後から署名プロセスを確認するために必要な情報も保存します。
業務上必要となる証跡の例には、次のようなものがあります。
- 承認された署名前の PDF
- 承認済み PDF の版番号や識別子
- 必要に応じて署名前 PDF のハッシュ値
- 最終的な署名済み PDF
- 必要に応じて署名済み PDF のハッシュ値
- 署名者情報
- 署名日時
- 認証や本人確認に関する記録
- 証明書を利用した場合の関連情報
- タイムスタンプを利用した場合の関連情報
- 署名検証の結果
- ワークフローの監査ログ
- 契約承認の記録
保存期間や保存方法は、契約の種類、適用される法令、社内規程などに応じて定めます。
また、署名済み PDF を編集用フォルダに戻して上書きするのではなく、完成した記録として管理することが重要です。
Nota Sign で PDF の署名フローを管理する
契約件数が増えると、PDF を一件ずつ手作業で署名するだけでは、版管理、署名者設定、本人認証、証跡保存を一貫して管理することが難しくなります。
Nota Sign では、業務委託契約などの PDF を署名フローに登録し、署名者、署名順序、認証方法、署名イベントなどを一つのワークフローとして管理できます。
対応する署名方式やサービスプロバイダーを利用するフローでは、証明書を利用した電子署名を含む署名プロセスを構成することもできます。
重要なのは、プラットフォームが契約の法的効果を自動的に決定するわけではないという点です。
どの署名方式を利用するかは、契約の内容、当事者、必要な本人確認レベル、社内規程、適用される法令などを踏まえて決定します。Nota Sign は、その決定に基づく署名プロセスと証跡を一貫して管理するための基盤として利用できます。
PDF 電子署名のやり方を実務で整理する
PDF に電子署名する際は、署名ボタンを押す操作だけを見るのではなく、署名前から署名後までを一つのプロセスとして管理します。
基本的な流れは、最終版の確定 → 署名者と方式の確認 → 電子署名 → 署名検証 → 証跡保存です。
承認済み PDF のハッシュ値は元ファイルを識別するために利用し、署名後の完全性は電子署名そのものを検証して確認します。
この役割を分けておけば、後から契約を確認するときにも、どの文書が承認され、誰が署名し、署名後の状態がどのように検証されたのかを一続きの記録として追跡しやすくなります。
