2026年8月14日
引言
電子簽名是簽署人為表達簽署意圖而在電子記錄上採用的電子聲音、符號或程序。數碼簽名則是一種密碼學技術；在正確實施及完成驗證的前提下，它可以驗證數據來源，並偵測已簽署數據有否改動。在文件簽署流程中，數碼簽名可以為電子簽名提供技術支援，但兩者並非同一概念。選擇時，應一併考慮身分保證、完整性證據、適用法律及交易風險。
要理解數碼簽名與電子簽名，關鍵是分開「簽署行為」與「技術機制」。電子簽名記錄簽署人的簽署意圖；數碼簽名運用密碼學，為數據來源及完整性提供驗證證據。同一套簽約流程可以同時包含這兩個層面。
甚麼是電子簽名？
電子簽名是與電子記錄相關聯、用於記錄簽署人簽署意圖的電子聲音、符號或程序。根據美國《電子簽名法》，構成電子簽名的核心包括電子形式、該形式與合約或其他記錄之間的關聯，以及簽署人的簽署意圖。相關定義見 15 U.S.C. §7006 英文原文。
在符合相關法律及事實條件時，在協議末尾輸入姓名、手繪簽名、點擊接受，或透過協議平台完成簽署，都可以構成電子簽名。頁面上顯示的簽名圖樣只是記錄的一部分。簽名歸屬、當事人同意、身分認證、時間戳、審計事件、記錄留存及交易背景，共同決定簽名一旦出現爭議時可以提供哪些證據。
因此，「電子簽名」並不代表某個固定的安全等級。簡單的點擊確認，與一套包含嚴格身分認證、存取控制、審計記錄及防篡改證據的平台流程，都屬於廣義電子簽名，但兩者形成的證據並不相同。更多定義及例子可參閱電子簽名常見問題。如需了解產品流程，可查看 Nota Sign 如何協助團隊發送、簽署及管理協議。
甚麼是數碼簽名？
數碼簽名運用公鑰密碼學；當簽署及驗證流程正確實施時，它可以支援數據來源認證及完整性檢查。NIST 數碼簽名術語說明（英文）把數碼簽名描述為一種非對稱密碼運算，可支援真實性、完整性及不可否認性，但數碼簽名本身不提供保密功能。
雜湊、私鑰與公鑰驗證
簽署系統首先為數據產生雜湊值，即固定長度的數據摘要。數碼簽名演算法使用簽署人的私鑰及該摘要產生數碼簽名。驗證方使用相應公鑰、已簽署數據及簽名，檢查數碼簽名是否有效。驗證成功可以支援兩項結論：簽名由相應私鑰產生，而且已簽署數據自簽署後沒有改動。
這個過程並非「使用私鑰加密整份文件」，亦不能阻止他人修改文件副本。文件在簽署後一旦被修改，數碼簽名對修改後數據的驗證便會失敗。詳細流程可參閱數碼簽名如何運作。NIST 數碼簽名標準的相關內容見數碼簽名標準（DSS）指南，演算法背景見數碼簽名演算法指南。
數碼證書能夠證明甚麼，又不能證明甚麼
數碼證書按照簽發機構的規則，把公鑰資料與證書主體連結。證書的證據效力取決於簽發機構如何核實主體、私鑰如何受控、證書在簽署時是否有效，以及依賴方採用哪一套驗證政策。
因此，一個通過密碼學驗證的簽名，並不會自動證明某名自然人親自完成全部簽署操作。它證明的是：在相應驗證流程下，簽署事件中有人控制並使用了與該公鑰相應的私鑰。評估身分保證時，需要一併審視證書、身分核實方式、密鑰保管、身分認證及交易記錄。
數碼簽名與電子簽名有甚麼關係？
在協議簽署流程中，數碼簽名是一種可以支援電子簽名的技術機制；在個人簽署行為以外，同一技術亦可用於簽署程式碼、訊息及其他數據。因此，兩者的關係視乎具體場景，不能一概而論地把所有數碼簽名視為某人的電子簽名。
下表把經常混為一談的五個概念分開：
以透過網上平台簽署銷售協議為例：簽署人的電子操作及簽署意圖屬於電子簽名層；由證書支援的數碼簽名可以補充密碼學完整性及來源證據；身分認證及審計記錄則進一步說明簽署人與簽署事件。每一層回答不同問題，不能互相取代。
數碼簽名與電子簽名有哪些主要分別？
數碼簽名與電子簽名在概念範圍、目的、身分保證、完整性證據、實施方式及操作負擔上都有分別，而不是「一個合法、另一個不合法」的固定等級關係。正確選擇應從交易所需的證據開始。
目的與概念範圍
電子簽名關乎個人是否採用電子行為簽署記錄；數碼簽名則關乎是否對數據執行密碼學運算。同一套數碼簽名技術亦可用於認證軟件、訊息及由機器產生的記錄，這些場景不一定涉及個人協議簽署。
身分與證書保證
電子簽名流程透過交易所選定的控制措施識別簽署人，例如帳戶存取、存取碼、一次性密碼、SSO、身分證明文件或其他核實方式。數碼簽名流程還可以加入數碼證書及公鑰驗證。最終保證強度仍取決於登記、身分核實、私鑰控制、身分認證及交易記錄。
完整性與防篡改證據
不同電子簽名平台以不同方式保存文件完整性及事件記錄。數碼簽名把簽名值直接連結至特定數據。已簽署數據一旦改動，原有數碼簽名的驗證便會失敗。這是篡改偵測證據，並不代表文件絕對無法複製或修改。
證據、操作負擔與成本
較嚴格的控制措施會增加設定、驗證、身分核實、裝置或證書操作。交易需要這些措施時，相關步驟有明確價值；如果較低保證等級已符合政策要求，額外步驟只會增加不必要的操作負擔。實際目標是採用與風險相稱的保證強度：證據足以涵蓋協議風險及適用規則，同時避免要求每名簽署人都使用操作門檻最高的流程。
數碼簽名與電子簽名具有法律效力嗎？
電子形式本身不能決定可執行性；交易範圍、當事人同意、簽名歸屬、記錄留存、法定例外及適用司法管轄區規則仍然重要。數碼簽名可以補充技術證據，但密碼學不能取代合約成立、授權、行為能力或針對特定文件的法律要求。
美國：《電子簽名法》的適用範圍與交易要求
對於涉及州際或對外商業活動的交易，15 U.S.C. §7001 英文原文規定，不能純粹因為簽名、合約或記錄採用電子形式，就否定其可執行性、法律效力或有效性。該法亦保留實體權利及義務，訂明消費者同意與記錄留存要求，也不強制任何一方接受電子記錄或電子簽名。§7003 英文原文列出特定記錄及交易例外，包括部分遺囑、家庭法事項、法院文件及通知。
由此得出的業務結論有明確界線：「電子形式」本身不是拒絕簽名的理由，但「電子形式」亦不是可執行性的全面保證。企業仍須就交易範圍、簽署權限、同意、歸屬、記錄及適用例外制定政策。
歐盟：eIDAS 的法律效力與 QES
EUR-Lex 上的 eIDAS 綜合文本（英文）規定，不能純粹因為簽名採用電子形式，或未達到 QES 要求，就否定其法律效力或作為證據的可接納性。在該法規的適用範圍內，合資格電子簽名具有與親筆簽名同等的法律效力。國家或行業規定的特定形式要求仍須另行核實。
為甚麼法律效力不能只看一個標籤
無論是「電子簽名」、「數碼簽名」、「AES」還是「QES」，單一標籤都不能回答所有可執行性問題。準據法、交易類型、形式要求、同意、簽署權限、歸屬證據、文件完整性、記錄可獲取性及法定例外都須納入考慮。法律及合規團隊應為每類協議訂明獲准採用的簽署路徑。本文只提供實務說明，不構成法律意見。
SES、AES、QES 與數碼簽名有甚麼關係？
AES 及 QES 是 eIDAS 明確界定的電子簽名類別；SES 是業界常用簡稱，並非 Article 3 明確界定的術語。數碼簽名技術通常用於支援 AES 及 QES 的實施，但這些法律類別還包含密碼學以外的要求。
SES 是業界常用簡稱
「簡單電子簽名」（SES）通常用於描述未達到 AES 或 QES 要求的電子簽名。Article 3 界定的是「電子簽名」，並沒有名為 SES 的正式類別。內容撰寫者及採購人員應把 SES 視為簡稱，並說明實際採用的流程控制措施，而不是假設它只有一種標準實施方式。
Article 26 對 AES 的要求
進階電子簽名必須與簽署人建立唯一連繫，並能夠識別簽署人；簽署人亦必須能以高度確信確保只有本人使用及控制用於建立簽名的數據。簽名還必須與已簽署數據連結，令簽署後的數據改動可以被偵測。只有完整的身分、控制及驗證設計符合這些要求時，數碼簽名實施才能支援這些特性。
QES：合資格證書與合資格簽名建立裝置
QES 是由合資格電子簽名建立裝置產生，並以合資格證書為基礎的 AES。合資格要素、信任服務要求及監管機制共同形成其法律地位。一般由證書支援的數碼簽名不會自動成為 QES。
應該選擇哪一種簽名？
選擇簽署流程時，應從所需的簽署意圖證據、身分保證、完整性證據、適用形式規則及可接受的操作負擔反向推導。不要先選擇「最安全」之類的籠統標籤，而要先釐清必須證明及保存甚麼。
對於 PDF，首先判斷任務是記錄同意、認證已知簽署人、偵測文件簽署後的改動，還是符合特定證書或法律要求，然後選擇能夠回答這些問題的控制措施。如需實際操作指引，可參閱如何建立數碼簽名。
Nota Sign 如何支援合適的保證等級
法大大是中國第一的電子簽名品牌。Nota Sign 是法大大旗下的全球簽署產品。當協議需要更強的身分及完整性證據時，團隊可使用 Nota Sign 可信證書完成由證書支援的簽署，並按流程配置存取碼、電郵驗證碼或短訊驗證碼、SSO、附相片身分證明文件、活體檢測或地區數碼身分。Nota Sign eKYC 覆蓋全球 240 個國家和地區。團隊可以讓身分驗證及簽署控制配合具體交易，而不是要求每份協議都採用操作門檻很高的流程。
準備一份具代表性的協議，以及涉及的司法管轄區、身分要求、完整性要求及現有簽署步驟，然後聯絡 Nota Sign 銷售團隊。Nota Sign 團隊會根據簽署任務確定採用電子簽署流程還是由證書支援的簽署流程，訂明所需驗證路徑，並在上線前展示最終的簽署人操作流程及審計記錄呈現方式。
