数字签名是什么：原理、区别与法律效力

数字签名是一种密码学机制，用来证明一份文件由谁签署、且签署后未被篡改：它用私钥生成、用与证书绑定的公钥验证。在西班牙和欧盟的法律语境中，"电子签名"是 eIDAS 条例下的宽泛法律概念，"数字签名"则指具体的密码学技术。所有数字签名都是电子签名，但并非所有电子签名都使用数字签名技术。

什么是数字签名？

严格来说，数字签名既不是手写签名的图片，也不是打出来的姓名，而是基于文件内容计算出的一个数学值。签署时，软件先把文件压缩成一枚唯一的"指纹"（哈希值），再用只有签名人自己掌握的私钥加密这枚指纹，结果随文件一同附上，并绑定一份数字证书——证书就是密钥与身份之间可验证的纽带。

这带来三项手写签名无法自证的属性：真实性（谁签的）、完整性（文件自签署后一个字节都没变）、不可否认性（签名人无法合理否认自己的签名）。因此，数字签名是欧洲电子签名体系中高等级签名赖以建立的技术底座。

数字签名与电子签名：最容易混淆的一对概念

这是搜索中最常见的混淆，值得一开始就讲透。欧盟《eIDAS 条例》（Reglamento (UE) 910/2014）并不把"数字签名"当作法律类别，它只定义了"电子签名"——签名人用于签署、与其他电子数据相关联的电子数据。这个定义极宽，从扫描的签名图片到最复杂的密码学签名都囊括其中。

"数字签名"则是技术术语，专指上文所述的公私钥密码学方案。在西班牙实务中，信任服务提供商或 FNMT-RCM（西班牙皇家造币厂，国家认可的证书颁发机构）提到"数字签名"时，通常指 eIDAS 框架中基于证书的高级签名或合格签名。两者的完整对照，可阅读数字签名与电子签名的区别与用途。

给企业的实用规则：谈法律与商业现象时用"电子签名"，谈实现技术时用"数字签名"。混淆二者不会让文件失效，但会导致选型误判——比如以为往 PDF 里贴一张签名图片，就能获得与证书签名同等的证据力。

数字签名的工作原理：私钥、公钥、哈希与证书

不需要密码学背景也能理解这套机制，它由三个环环相扣的部件组成。

文件的哈希指纹。 签署前，系统先对文件运行哈希函数，生成一小段唯一字符：合同里改一个逗号，哈希值就面目全非。这枚指纹唯一标识了您批准的那份内容。

一对密钥：私钥与公钥。 私钥是您的秘密，存放在您的设备、密码卡或由合格服务商托管的安全服务器（HSM）中，用它加密哈希即生成签名。公钥则可以自由分发，作用相反：任何人都能用它解开签名，核对哈希与收到的文件是否一致。一致，说明签名真实、内容完好；哪怕相差一个比特，验证也会失败。想更深入地了解这套机制在企业中的运转方式，可看数字签名的工作原理。

数字证书。 公钥本身并不能说明主人是谁。证书由信任服务提供商签发，把公钥与一个经过核验的身份绑定——可以是一个自然人、一名代表公司的员工，或一个组织。收到签名文件后，除了验签，还应养成查验数字证书及其签发方的习惯。

当您收到一份已签署的合同，PDF 阅读器会自动完成上述校验。任何一环对不上——证书过期、文件被改动、签发方不被认可——都会弹出警告。

eIDAS 框架下的三级电子签名对比

eIDAS 按技术强度和证明力把签名分为三级。看懂这架阶梯，才能判断企业里每类文件该用哪一级。

关键细节：eIDAS 禁止仅因签名是电子形式而拒绝其效力，简单签名也不例外。三级之间的真正差别在于签名被质疑时谁承担举证责任：合格签名由法律直接推定有效，其余两级则需要您拿出流程证据。高级电子签名的落地标准，详见高级电子签名（AES）企业标准；整体合规要求可参考eIDAS 合规电子签名。

数字签名在西班牙的法律效力：Ley 6/2020 与手写签名的等同条件

在西班牙，法律框架是双层的：eIDAS 条例直接适用，西班牙《第 6/2020 号法律》则规范国内受监管的电子信任服务及其合格服务商（QTSP）的运作。

对企业重要的规则有三条。第一，任何文件不得仅因采用电子签名而被拒绝作为证据。第二，合格电子签名在整个欧盟与手写签名具有同等法律效力。第三，简单签名与高级签名同样有效、同样有约束力，但一旦对方否认，您需要用签署流程的技术证据——访问日志、时间戳、签名人身份核验记录——来支撑它。

由此得出一个实务结论："与手写签名同等效力"不是任何数字签名自动具备的属性，而是合格签名的法定特权。对其他文件而言，真正的法律安全感来自平台捕获并留存证据的质量。关于电子签名在法庭上的证据力，可延伸阅读电子签名在法庭上站得住脚吗。

企业中的典型应用场景

签名等级的选择取决于文件风险与业务量。最常见的场景包括：

• 商务合同与供应商协议。 多数情况用高级签名：签署量大、风险适中、发生争议时需要扎实证据。
• 人力资源文件。 劳动合同与附件远程签署，要求核验员工身份并留存流程记录。
• 与政府部门的往来。 许多政务手续要求国家认可的合格证书，例如 FNMT-RCM 颁发的证书。
• 金融与高价值交易。 信贷、担保与保单，用合格签名直接消除举证争议。
• 低风险内部审批。 简单签名或带记录的确认流程，效率优先。

在所有场景中，支撑效力的都不只是"签"这个动作本身，而是证书由谁签发、证据如何保管。

如何选择数字签名平台：六条核查清单

签约前，拿着这份清单逐条过一遍供应商。超过两项答不上来，就继续找。

1. 支持的签名等级。 能否在同一平台提供简单、高级、合格三级签名，还是要分模块另购？
2. 证据与审计日志。 是否为每次签署自动生成完整档案（身份、IP、时间戳、文件哈希）并长期可查？
3. eIDAS 与 Ley 6/2020 合规。 在文件有要求时，是否对接受认可的信任服务商与合格证书？
4. 跨境覆盖。 与西班牙以外的客户签署时，供应商是否了解目标国家的法律要求？
5. 计费模式。 按用户、按信封还是按文件计费？对每个内部签署人都收费的模式，惩罚的恰恰是签署量最大的团队。
6. 可验证的安全能力。 是否有独立审计报告（如 SOC 2），数据驻留选项是否符合您所在行业的要求？

给每份文件配上恰当的签名等级：Nota Sign

这篇指南落到实践，其实就是一个决策：不是所有文件都用同一种签法，而是按风险高低分配签名等级。Nota Sign 是法大大旗下的全球电子签平台——法大大是 IDC 连续多年评出的中国电子签软件市场第一——平台正是围绕这个决策设计的：可以为不同类型的文件配置简单、高级或合格级签名流程，签署人身份逐级核验，每次签署都生成完整的证据档案。

合规上，平台法律覆盖超过 100 个国家和地区，并设有区域数据中心，文件与密钥按各法域的要求管理；价格上，不按席位收费，天天签文件的小团队账单不随人数增长，中大型组织则有定制方案。想确认您的合同各自适合哪个签名等级，欢迎联系我们的团队。