Class 2 与 Class 3 数字签名证书（DSC）的核心区别在于验证严谨程度、安全等级和预期用途。Class 2 证书为所得税申报、GST 申报等日常申报提供中等保证强度的身份验证，而 Class 3 证书则要求更严格的身份核验——包括生物识别或视频验证——用于电子招标、电子采购等高价值交易。在印度，认证机构管理局（Controller of Certifying Authorities，CCA）自 2021 年 1 月 1 日起停止签发 Class 2 DSC，将全部 DSC 需求整合到 Class 3，后者现在同时承载两个旧等级的对象标识符（OID）。如今 Class 3 是唯一可获取的 DSC，既覆盖 Class 2 曾经处理的所有场景，也涵盖全部高保证用例。

什么是数字签名证书？

数字签名证书是由持牌认证机构（Certifying Authority，CA）签发的一种安全数字密钥，用于核实证书持有人身份，并支持对电子文档进行防篡改签名。DSC 基于公钥基础设施（Public Key Infrastructure，PKI），采用非对称加密技术——即一对公钥和私钥——确保所签内容的真实性、完整性和不可否认性。用户使用私钥签署文档后，接收方可利用证书中嵌入的对应公钥验证签名。

在印度，DSC 受 2000 年《信息技术法案》（Information Technology Act，IT Act）管辖。该法案第 3 条规定，只要使用非对称密码系统和哈希函数，电子签名即与手写签名具有同等法律效力。隶属于电子与信息技术部（Ministry of Electronics and Information Technology，MeitY）的 CCA 负责监管持牌 CA——如 eMudhra、Sify 和 nCode——向个人和组织签发 DSC。IT Act 最初定义了三级 DSC：Class 1（基础级、低保证）、Class 2（中等级保证）和 Class 3（高保证），分别对应不同的交易风险等级。

如需更全面地理解这一概念，我们的指南《DSC 代表什么？》阐述了数字签名证书如何融入印度以外的现代签署流程。

Class 2 数字签名证书详解

Class 2 DSC 面向中等保证强度的签署场景设计。签发 CA 通过将申请人提交的证件——如 PAN 卡、Aadhaar 卡或护照——与可信的政府数据库进行交叉核对来验证其身份。这种验证确认持证人所申报的身份与官方记录一致，但不要求本人到场或进行生物识别认证。Class 2 证书主要用于：

  • 个人及专业人士的所得税电子申报
  • GST 注册及申报
  • 公司事务部（MCA）/公司注册处（ROC）申报
  • 董事 KYC 验证
  • EPFO 申报及公司合规提交

Class 2 证书通常存储在基于软件的系统或基础 USB 令牌上。它们使用标准 PKI 加密进行签名，但缺乏硬件强制的私钥保护，意味着一旦主机设备被入侵，私钥可能被提取。因此，Class 2 足以应对中等风险交易，但不足以应对高价值或法律敏感的场景。

Class 2 DSC 停止签发

根据修订后的 CCA 指引，Class 2 DSC 自 2021 年 1 月 1 日起停止签发。各认证机构自该日起不再签发或续期 Class 2 证书。已签发的 Class 2 证书在原到期日之前仍然有效，但无法续期——持证人必须在到期后申请 Class 3 替代证书。CCA 合并两个等级，是因为 Class 3 更强的验证标准和硬件强制安全足以覆盖 Class 2 此前服务的所有场景，不再需要单独保留一个较低保证等级。

Class 3 数字签名证书详解

Class 3 DSC 代表印度 DSC 框架下的最高保证等级。签发流程要求严格的身份核验，通常包括：

  • 基于 Aadhaar 的一次性密码（OTP）认证或视频验证
  • PAN 卡验证
  • 组织版 DSC：额外核验公司注册文件、董事会决议和授权书

Class 3 证书强制要求存储在硬件安全模块（Hardware Security Module，HSM）或通过 FIPS 140-2 认证的安全 USB 加密令牌上。签名过程中私钥从不离开硬件令牌，即使主机电脑被入侵也无法提取。这种硬件强制保护确保签名防篡改且具有强不可否认性——印度法院在 IT Act 框架下承认 Class 3 签名是可靠证据。

Class 3 DSC 用于：

  • MCA 公司申报（注册、年度报告、董事变更）
  • 公司、有限责任合伙（LLP）及审计报告的所得税电子申报
  • GST 注册及申报
  • 政府电子招标及电子采购（GeM 平台、CPPP）
  • ICEGATE 进出口申报
  • DGFT/IEC 平台提交
  • 商标及专利申请
  • EPFO 合规提交

由于 Class 3 证书现在同时承载原 Class 2 和 Class 3 的 OID，一张 Class 3 DSC 即可覆盖此前需要任一等级证书的所有平台。

Class 2 与 Class 3 DSC：并排对比

特性Class 2 DSCClass 3 DSC
安全等级中等保证高保证
身份验证对提交文件进行数据库交叉核对Aadhaar OTP / 视频验证 + 文件核验
私钥存储基于软件或基础 USB 令牌通过 FIPS 140-2 认证的 HSM 或安全 USB 加密令牌
硬件强制保护无硬件强制的密钥保护私钥绝不暴露于主机系统
典型用途所得税、MCA/ROC、GST、EPFO（历史）所有政府平台、电子招标、电子采购、ICEGATE、DGFT、商标申请
电子招标资格不允许强制要求
组织核验不需要组织版 DSC 必须
签发时间1–2 天（历史）15–30 分钟（在线 eKYC）至 1–2 天
费用范围每年 INR 500–1,500（历史）每年 INR 2,000–5,000（含令牌）
有效期1–2 年1、2 或 3 年
当前状态自 2021 年 1 月 1 日起停发有效且强制——印度唯一签发的 DSC

验证与身份保证程度的差异

Class 2 与 Class 3 之间验证强度的差距是最具影响的分歧之一。Class 2 的验证依赖基于文件的数据库核验：申请人提交身份证明（PAN、Aadhaar、护照），CA 确认信息与政府记录相符。整个过程无需生物识别验证、视频通话或本人到场。这种方式效率高——证书可在 1–2 天内签发——但为冒充行为留下了空间，因为仅凭证件信息无法证明提交者就是真正的持有人。

Class 3 验证通过多因素身份核验填补了这一缺口。标准流程包括 Aadhaar OTP 认证（确认申请人掌控与 Aadhaar 绑定的手机号码）、视频验证（CA 代表通过实时视频通话目视确认申请人面部与提交照片一致）以及文件核验。对于组织版 Class 3 DSC，CA 还会额外核验公司注册证书、授权签署人的董事会决议以及被授权签署人本人的身份证明。这种分层核验显著降低了冒充风险，也解释了为什么政府招标平台强制要求 Class 3——采购涉及的财务和法律风险要求最强大的身份保证。

安全功能与私钥存储

安全架构是第二大差异。Class 2 证书通常以软件文件形式存储在本地磁盘或基础 USB 设备上。签名时私钥可被主机操作系统读取，这意味着恶意软件或受入侵设备可能提取密钥，并在持有人不知情的情况下签署文档。虽然 PKI 加密本身是可靠的，但缺乏硬件隔离使 Class 2 在实践中易受密钥窃取攻击。

Class 3 DSC 通过要求使用通过 FIPS 140-2 认证的硬件令牌——无论是专用 USB 加密令牌还是 HSM——消除了这一攻击途径。这类令牌的设计使私钥在硬件内部生成并永不离开硬件。签署文档时，签名运算在令牌内部完成；主机电脑只向令牌发送文档的哈希值，并取回已签名的哈希值。私钥从不暴露给操作系统，通过软件攻击提取密钥实际上不可能实现。正是这种硬件强制保护，使法院和监管机构将 Class 3 签名视为强不可否认性证据。

想深入了解电子签名的安全格局，我们的文章《电子签名对商业协议是否安全》比较了 PKI、审计跟踪和硬件签名在不同司法管辖区的应用。

使用场景：各证书等级的适用范围

在 2021 年整合之前，搞清楚哪一级证书适用于哪类交易对合规至关重要——理解这一点对了解今天的监管格局仍然有意义。

Class 2 使用场景（历史）

Class 2 DSC 是日常合规申报的主力证书，覆盖：

  • 所得税电子申报：个人报税和专业人士税务提交
  • MCA/ROC 申报：年度报告、董事任命、股本变更
  • GST 合规：注册申请和定期申报
  • EPFO：雇员公积金合规申报
  • 董事 KYC：年度董事识别号（DIN）KYC 验证

Class 2 不允许用于电子招标、电子拍卖或任何要求高保证签名的采购平台。CCA 将这些场景全部保留给 Class 3。

Class 3 使用场景

Class 3 DSC 既承担 Class 2 曾经处理的日常申报，也覆盖所有高保证交易：

  • 所有 Class 2 场景：所得税、MCA、GST、EPFO 申报（现通过携带 Class 2 OID 的 Class 3 完成）
  • 电子招标与电子采购：在 GeM、CPPP 及各邦采购平台提交政府标书
  • 电子拍卖：在电子拍卖平台参与竞价
  • ICEGATE：进出口海关申报
  • DGFT/IEC：外贸平台提交
  • 商标及专利申请：知识产权登记处提交
  • 高价值金融交易：SEBI 法规下的股份转让、FEMA 下的跨境交易

整合意味着组织不再需要同时持有多张证书——一张有效期合适的 Class 3 DSC 即可覆盖所有平台。我们的《DSC 申报文件清单》逐项说明了每类申报所需的文件与流程。

费用与有效期对比

价格反映了两个等级之间的保证强度差距。Class 2 DSC 通常每年费用为 INR 500–1,500，视有效期和签发 CA 而定。其申请可通过在线平台完成，所需文件极少，因此对处理中等合规量的小型企业和个人专业人士颇具吸引力。

Class 3 DSC 每年费用为 INR 2,000–5,000，较高的价格反映了硬件令牌的要求（通过 FIPS 140-2 认证的 USB 加密令牌通常约 INR 1,000 或以上）以及更严格的验证流程。组织版 Class 3 DSC 因额外的实体核验要求而比个人版更贵。

两个等级均提供 1、2 或 3 年的有效期。续期流程结构相似——重新提交文件和重新验证身份——但 Class 3 续期在硬件更换时还需重新配置令牌。关于当前 DSC 费用的详细分解，我们的指南《DSC 商用签署费用多少》涵盖了成本构成以及编制预算时的预期。

值得注意的是，自 Class 2 停发以来，所有新增 DSC 采购——无论用于所得税申报还是电子招标——都需要 Class 3 证书。此前持有 Class 2 证书的组织应在到期时规划更换为 Class 3，因为 Class 2 已无法续期。

为什么停发 Class 2，这对你意味着什么

CCA 决定自 2021 年 1 月 1 日起停发 Class 2，背后有多重因素：

  1. 安全统一：Class 3 的硬件强制密钥保护和更严格的身份验证使其天然更安全。既然 Class 3 能覆盖所有场景，单独保留一个较低保证等级只会制造不必要的风险梯度。
  2. OID 整合：CCA 将 Class 3 证书配置为同时携带原 Class 2 和 Class 3 两个等级的 OID。这意味着 Class 3 DSC 可被所有此前接受 Class 2 的平台识别，转向 Class 3 不会带来任何功能损失。
  3. 降低欺诈：更严格的身份核验——包括 Aadhaar OTP 和视频验证——降低了冒充风险，这对处理公共资金的政府平台尤为重要。
  4. 简化运营：整合为单一证书等级，减少了 CA 和证书持有人的行政负担。组织不再需要针对不同申报要求管理两种证书。

这对现有证书持有人意味着什么

如果你持有尚未到期的 Class 2 证书，它在原到期日之前仍然有效。但一旦到期，你将无法续期——必须申请新的 Class 3 DSC。这一过渡不会造成功能损失：Class 3 证书适用于所有接受你 Class 2 证书的平台。主要变化在于更严格的验证流程（Aadhaar OTP 或视频验证），以及必须使用通过 FIPS 140-2 认证的 USB 加密令牌存储密钥。

对于管理多名签署人的组织，这意味着需要为每位证书持有人预留硬件令牌预算，并在需要视频验证时规划稍长的签发周期。我们的指南《如何安全地申请数字签名证书》涵盖了端到端的申请流程，包括文件准备和令牌安装。

如今如何选择适合你的 DSC

由于 Class 2 已不再提供，决策框架大大简化。真正的问题不再是"选 Class 2 还是 Class 3？"，而是"我需要哪种类型的 Class 3 DSC？"

决策清单

使用以下清单确定合适的 Class 3 DSC 配置：

  1. 个人版 vs 组织版：如果你签署个人报税表，或以个人专业人士身份行事，个人版 Class 3 DSC 就足够了。如果你代表公司、LLP 或其他实体签署，则需要组织版 Class 3 DSC，它要求提供注册文件和董事会决议。
  2. 签署 vs 招投标：标准合规申报（所得税、GST、MCA）使用标准 Class 3 DSC（仅签名）即可。电子招标和电子采购则需要专门为招投标配置的 Class 3 DSC，其中可能包含采购平台识别的额外 OID 配置。
  3. 有效期：短期需求或试点项目选择 1 年有效期，标准业务使用选择 2 年，长期合规选择 3 年，以减少续期频率。
  4. 令牌兼容性：确保 USB 加密令牌与你的操作系统及目标平台兼容。大多数 CA 提供的 FIPS 140-2 认证令牌支持 Windows、macOS 和 Linux。
  5. CA 选择：选择 CCA 持牌、支持可靠且签发迅速的 CA。主要 CA 包括 eMudhra、Sify、nCode 和 Capricorn。我们的《认证机构列表》为不同签署生态系统中的 CA 提供了更全面的参考。

签发周期

通过在线 eKYC 验证（Aadhaar OTP + 视频验证），Class 3 DSC 可在 15–30 分钟内签发。证书随后被下载并安装到 USB 加密令牌上。如果令牌不在手边，通过快递配送实体令牌另需 2–3 天。

选择 Nota Sign，实现合规的跨境电子签名

如果你的业务跨越印度国界，管理不同的电子签名框架——印度的 CCA 等级、欧盟 eIDAS 的等级（SES、AES、QES）、新加坡的 Singpass 和香港的 iAM Smart——会带来巨大的合规负担。Nota Sign 是法大大（FaDaDa）旗下的全球电子签名平台，覆盖 100 多个国家和地区，让跨境签署更加顺畅。

Nota Sign 连续多年被 IDC 评为中国电子签名软件市场第一名，体现了企业级采用度和基础设施成熟度。该平台提供深度的亚太合规整合——包括原生支持香港的 iAM Smart、新加坡的 Singpass 以及区域 QES/AES/SES 要求——并以适配区域数据驻留需求的数据中心布局提供支持。

与按席位授权、向每个签署人收费的竞争对手不同，Nota Sign 不收取按席位费用，让需要企业级签署能力却无需承担企业级授权成本的小型团队和中小企业也能轻松使用。中型市场和企业级客户可以根据其签署量、司法管辖区覆盖范围和整合需求申请定制方案。

联系 Nota Sign，了解平台如何支持你的跨境签署流程。