2026年8月28日
Adobe 認可信任清單（AATL）是 Adobe 對證書機構（CA）的審核計劃。當一份簽署證書向上鏈到一家 AATL 認可的 CA 時，Adobe Acrobat、Acrobat Reader 與 Acrobat Sign 會自動將該簽名視為可信——即大家熟悉的綠色剔號——收件人無需安裝任何額外軟件或根證書。
這種自動信任並非魔法，而是一組特定證書機構通過 Adobe 審核的結果。本指南聚焦於這些機構：它們是誰、清單與歐洲 EUTL 及 eIDAS 合資格簽名的關係，以及你的團隊在高價值交易中依賴一份已簽 PDF 之前，如何核驗證書信任鏈。
如果你正在為跨境合約評估電子簽署平台，理解 AATL 背後的機構層，能讓你在審計或糾紛發生時避免意外。
AATL 實際做甚麼
AATL 是一套經過策展的信任框架。Adobe 按照嚴格標準審核並批准 CA——包括涵蓋密碼學標準、密鑰管理與營運安全的 WebTrust for CA 審計原則——然後把這些 CA 的根證書直接嵌入 Acrobat 與 Reader 的更新中。由於根證書隨軟件附帶，任何建立在認可鏈上的簽名都能開箱即用地通過驗證。
實際價值有三：防篡改（任何簽署後的修改都會破壞密碼學哈希）、可驗證性（任何使用標準 PDF 閱讀器的人都能確認簽名）、不可否認性（簽署人無法可信地否認一份完整、有證書支撐的簽名）。本文更進一層，深入機構與營運層面。
AATL 證書機構有哪些
經過近期更新，該清單包含 30 多家認可 CA。它並非單一類型的組織，而是橫跨知名全球 CA 與區域信任服務供應商（TSP）。根據 2026 年公開資訊，這些機構大致分為三類：
全球 CA 在多個法域銷售簽署證書，是跨國 PDF 工作流程的常見選擇。歐洲合資格信任服務供應商（QTSP）受國家層面監管，可簽發用於合資格電子簽名（QES）的合資格證書。區域 TSP 則把信任錨定到政府支持的身份計劃——例如香港的 iAM Smart 或新加坡的 Singpass——當交易對手與監管機構期望本地信任錨時，這一點至關重要。
需要提醒：隨著 Adobe 更新清單，機構陣容會變化，務必以 Adobe 官方頁面的當前名單為準，而非依賴任何靜態快照，包括本文。
AATL 與 EUTL：兩套信任框架如何互動
在美歐之間營運的團隊常以為 AATL 與歐盟信任清單（EUTL）是互相競爭的計劃。其實二者互補。根據 eIDAS（EU）No 910/2014，每個成員國監管本國 QTSP 並將其通報至 EUTL；一經通報，這些供應商的合資格證書在 Adobe 生態內同樣獲得信任認可。AATL 再把覆蓋延伸到不會出現在 EUTL 上的非歐洲 CA。
法律效力因層級而異。eIDAS 定義三個簽名等級——簡單（SES）、進階（AES）與合資格（QES）——只有需要 QTSP 合資格證書的 QES，才在整個歐盟享有與手寫簽名同等的法律推定。Acrobat 中的 AATL 信任是技術訊號；QES 地位是法律地位。
已簽 PDF 中的證書信任鏈如何運作
每一份可信 PDF 簽名都建立在一條鏈上：頂端是 AATL 根 CA，其下是中繼 CA，底端是簽署人的終端實體證書。簽署時，軟件對文件做哈希，用簽署人私鑰加密該哈希，並嵌入證書鏈——在配置良好的工作流程中——加上可信時間戳。Acrobat 驗證時沿鏈向上走，直到抵達一個嵌入的 AATL 根，再透過 CRL 或 OCSP 回應檢查吊銷狀態。
這套基於證書的機制，正是數碼簽署與鍵入姓名或掃描圖像等簡單電子簽名的分野；兩者差異在數碼簽署與電子簽名的分別 中有詳細拆解。展望未來，當今信任鏈底層的密碼學算法終將遷移到後量子標準——這一過渡值得透過量子抗性密碼學與數位簽署：2026 年你需要知道的事 持續追蹤。
實務中如何核驗簽署人的證書鏈
核驗只需幾分鐘，應成為高價值協議的標準做法：
- 在 Acrobat 或 Reader 中開啟 PDF，點擊簽名面板查看每個簽名的狀態。
- 開啟「簽名屬性」，再點「顯示簽署人證書」，檢查證書鏈：終端實體、中繼與根。
- 確認根鏈到一個 AATL 嵌入的 CA——綠色剔號表示是；問號或警告表示根未知或文件在簽署後被改動。
- 檢查簽署時間與是否加蓋可信時間戳，並按簽署當日（而非今天）核對吊銷狀態。
- 把驗證報告與審計軌跡一併保存，讓證據在日後糾紛中依然成立。
如果簽名無效、過期或掛在錯誤的證書上，最乾淨的補救通常是在正確的鏈上重簽，而非修補檔案。當某個簽名確實需要先清除——例如範本上的測試簽名——請遵循受控流程，例如PDF 數位簽名如何移除？先判斷能否刪除，再決定是否重新簽署 中的做法，並保持簽署記錄完整。
跨區域法律效力：ESIGN、eIDAS 與 APAC
可信信任鏈幾乎在所有地方都能強化你的立場，但法律框架不同。在美國，ESIGN 與 UETA 在證明意圖、同意與記錄留存時使電子簽名可執行——證書支撐的簽名加完整審計軌跡，讓這一證明容易得多。在歐盟，eIDAS 賦予 QES 與手寫同等的推定，AES 與 SES 在配套證據下依然有效。日本電子利用法（2000）、印度 IT 法案（2000）與中國電子簽名法（2005）各自承認電子簽署，證據細節各有差異；請注意 Adobe 已於 2023 年退出中國大陸市場，面向中國的工作流程通常改跑在區域平台上。
如你的團隊需要重溫意圖與同意等基礎可執行概念，什麼是電子簽名？美國企業的簽署意圖、同意與記錄指南 涵蓋了這些基礎。
就證書機構該問電子簽署供應商甚麼
行業調查顯示，約 70% 企業在高價值交易中優先考慮可信證書支援。簽署供應商合約前，請用以下問題審核機構層：
- 哪些 CA 與 QTSP 簽發你簽名背後的證書？它們是否在當前的 AATL 或 EUTL 上？
- 鏈可見性： 審計軌跡是否暴露完整證書鏈、時間戳與吊銷證據，還是只有一個「已簽」標記？
- 區域覆蓋： 對 APAC 交易，平台能否在交易對手期望時，把簽署路由經 iAM Smart 或 Singpass 等本地信任計劃？
- 數據駐留： 簽名證據與身份數據存放在何處？是否符合 GDPR 或行業規則？
- 簽名等級： 當交易價值需要時，能否按信封要求 AES 或 QES？
一個無法清晰回答這些問題的供應商，正在向你透露它的信任架構。
為何團隊用 Nota Sign 驗證跨境信任鏈
憑證信任只有在你實際簽署的法域站得住腳時才有意義：
- 全等級簽署，一個平台。 SES、AES、QES 簽署路由至合資格信任服務供應商，完整憑證鏈、時戳與吊銷證據全部留在審計軌跡中。
- 內置區域信任錨。 iAM Smart、Singpass 等亞太體系與歐洲 QTSP 並列，交易對手看到的是其監管認可的信任錨。
- 你的團隊可重現的驗證。 已簽檔案在標準 PDF 閱讀器中即可校驗，證據匯出把整條鏈直接交給稽核，無需廠商協助。
如果你正把憑證機構要求映射到真實簽署工作流程，與我們的團隊聊聊你的信任鏈需求。
