2026 电子认证规则落地：企业签署流程要补齐四段证据链

一份电子合同能否经得起追溯，关键不只在签署页有没有完成提示。2026 年实施的《电子认证业务规则规范》T/CQAE 11034-2025，把身份查验、服务协议、申请意愿与私钥使用拆成四段独立链路。企业若只检查合同是否签完，往往会漏掉证书申请和授权环节的记录。

电子认证的风险点在签署之前就已出现

电子签署不是点一次确认就结束的动作。签署结果依赖数字证书，而证书从申请、身份核验、协议确认到后续调用，都需要形成能够回溯的过程记录。合同签署完成页只能证明某个动作已经发生，不能替代证书申请阶段的身份、授权与意愿材料。

《电子认证业务规则规范》T/CQAE 11034-2025 于 2026 年 4 月发布实施。规则把电子认证服务中的责任边界落到操作环节：身份查验由持牌 CA 直接完成，电子认证服务协议由 CA 与订户直接签订，高等级证书申请留存完整的意愿证据，私钥托管与调用保留授权和日志。企业采购电子签服务时，应把这些环节纳入上线验收。

这项变化改变了过去只看是否能在线签的验收方式。签署页面、合同模板和审批流属于业务表层。电子认证链路决定签名背后的证书由谁签发、身份由谁核验、订户是否明确同意、私钥如何被调用。四段链路缺少一段，后续核验就会多一个无法解释的断点。

CA 直验要求把身份核验放回持牌机构

身份查验需要由持牌 CA 直接完成，不能把关键核验责任交给非同一法人主体的外部机构。CPS 新规把这一要求概括为 CA 直验。企业设计签署流程时，不能只问是否支持实名认证，还要确认身份信息如何进入电子认证环节、由谁完成核验、系统留下哪些可检索记录。

高等级证书对应的风险更高。生命健康、财产权益等高风险活动不能用基础级证书替代。劳动合同解除、信贷、大额采购、医疗授权等场景，需先由业务、法务和信息安全团队识别风险等级，再确定证书等级与核验路径。把所有合同都放进一套轻量化认证流程，表面上减少了操作，实际会让高风险业务失去应有的身份强度。

企业内部的第一项检查是对象边界。法人、受托人、外部相对方分别由谁发起认证，谁补充授权材料，谁能看到核验结果，都要在流程图中明确。第二项检查是字段边界。姓名、证件、手机号、企业信息、授权文件等字段不能只在业务系统中出现，还应能对应到认证任务和证书申请记录。

这张本地产品更新素材对应电子认证服务规则的配置界面。它提示了一个容易被忽视的事实：规则不是写进制度文件就自然生效，采集字段、必填校验、对象范围和任务进度都要落在系统配置中。企业上线时应保留配置责任人、启用时间和变更记录，避免认证要求变更后仍沿用旧流程。

CA 直签把服务协议从页面勾选变成责任关系

电子认证服务协议应由 CA 与证书订户直接签订，这就是 CA 直签。它要求企业在签署链路中识别真正的订户，而不是只记录经办人是否点击了同意。集团企业、分子公司、代理签署和外部相对方并存时，订户主体、受托权限和协议确认主体很容易错位。

合同审批通过不等于电子认证协议已经完成。审批解决企业内部是否允许发起业务，服务协议解决 CA 与证书订户之间的权利义务。两个动作可以在同一业务流程中连续发生，但不能互相替代。流程设计时，应将协议确认节点与审批节点分别记录，并让每个节点都能关联到合同、主体、证书和时间。

e签宝具备自有 CA 能力，企业接入时仍需要把订户主体、授权范围与签署角色配置清楚。平台能力不能替企业补齐内部授权，业务人员也不能用一次审批覆盖后续所有证书相关动作。

全程留证要覆盖申请意愿，不只保存签署结果

高等级证书申请需要通过录音录像、音视频双录等方式完整记录订户意愿；基础级证书可采用强制阅读、短信、邮件等方式留存确认记录。重点不是多存一份截图，而是让系统能证明申请人了解并主动完成了认证申请。

企业常见的漏洞是把提交资料当成表达意愿。资料上传只能说明系统收到文件，无法独立说明申请人已阅读规则、确认身份信息并授权发起证书申请。应把材料提交、规则阅读、意愿确认、认证完成分为可查询状态，每个状态保留时间、主体和操作记录。

这张本地素材展示了电子认证信息采集中的预填值与必填规则配置。字段配置与留证不是两件孤立的事。企业需要先明确哪些字段由系统预填，哪些字段必须由申请人确认，哪些材料需要按主体类型补充。后续复核时，才能区分系统带入的信息与订户主动确认的信息。

跨组织签署时，留证要求还需延伸到外部相对方。采购、销售、人事与金融业务的签署对象不同，材料类型和风险等级也不同。不要用一套固定字段清单覆盖所有主体。应按个人、机构法人、机构受托人等对象分层配置，并把高风险合同的认证要求嵌入发起条件。

私钥调用记录决定证书使用能否被还原

私钥托管不是后台技术细节，它直接关系到证书使用的可控性。CPS 新规要求：CA 提供私钥托管时，应取得订户明确授权；每次私钥调用要保留完整操作日志；私钥加密存储，并在全生命周期内进行安全管控。

企业需要把谁能调用拆开管理。合同发起人、审批人、用印管理员、系统接口账户的权限不能混在同一个角色里。接口自动发起签署时，调用来源、调用时间、合同编号、证书主体、执行结果和异常原因应能串联查询。只保留最终合同文件，无法解释一次证书调用是由人操作还是由系统任务触发。

权限管理也不能停留在离职时删除账号。组织调整、法人变更、印章停用、授权到期、接口密钥轮换都可能影响证书使用边界。企业应把这些事件纳入定期检查，并让合同台账、印章台账和认证记录之间存在可追踪关系。高频批量签署还应单独检查任务授权范围，避免一个历史配置长期承担超出原授权的操作。

企业上线前应把四段链路写进验收清单

电子认证规则落地不需要把每个业务都改成复杂流程，但需要把高风险环节写清楚。先按合同类型划分风险，并确定对应证书等级。再明确法人、受托人、外部相对方的认证资料与授权材料。随后把服务协议确认与企业内部审批拆开留痕。最后为私钥调用、自动化接口和异常处理建立可查询日志。

法务团队关注合同效力时，应同步查看证书申请和签署记录能否关联。信息安全团队关注权限时，应检查私钥调用、接口账户和授权有效期。业务团队关注效率时，应把高频合同的认证字段配置为可复用模板，而不是每次临时补材料。三类角色共用同一份验收清单，能减少流程上线后再回头补证据的成本。

企业不必等到发生争议才整理电子认证记录。先挑选劳动、人事、采购、授信或高金额销售等一类合同，按身份核验、协议确认、意愿留证、私钥调用四个节点回看现有流程。能连起来的记录保留索引，连不起来的节点补配置、补授权、补日志。这样才能让电子签署从一次业务动作，变成可追溯的合规链路。