电子签私有化部署怎么对接：纯内网、混合云和数据边界怎么划

数据不能出内网的单位，电子签怎么做

有一类单位，合同数据坚决不能出内网：政务、电力、涉密机构、对数据敏感的金融机构。对它们来说，电子签不是要不要上的问题，是怎么在数据不出域的前提下上的问题。

私有化部署解决的就是这个矛盾。系统部署在单位自己的服务器上，数据留在内网，签署能力通过内网访问。但私有化不是简单把软件装进去就完事——它牵涉到对接方式、数据边界、以及哪些能力仍然要外部支撑这几个必须提前想清楚的问题。

用印审批流程示意

先分清三种部署形态

电子签的部署形态大致有三类，适用面不同。

纯内网部署是把整套系统装在内网服务器上，与外网物理隔离。签署、盖章、归档全部在内网完成，数据不出域。用于对保密要求最高的单位。

混合云部署是把核心能力放在内网，其余能力放在公有云。涉密或核心数据留在本地，外围能力依托云上服务。这种形态常见于集团型企业，本地管印章和证书，外部相对方通过云端完成签署。

公有云部署是全部依赖云上服务，最轻，但数据敏感单位不宜采用。

三种形态不是质量高低之分，是适配不同约束的选择。判断依据是两条：数据能不能出域、外部相对方要不要参与签署。

私网对接：接口怎么走、文件怎么传

私有化部署的对接，和公有云对接在链路上有本质差别。

公有云对接，业务系统直接调用云上的 API。私有化对接，业务系统调用的接口在内网，调用链不出域。这意味着接口地址、鉴权方式、回调地址都要按内网环境重新配置，不能照搬公有云的配置。

文件传递是另一个关键点。内网和外部之间存在文件交换时，要明确哪些文件留在内网、哪些可以外发、通过什么通道传。常见做法是核心合同文本和印章留在内网，外发给相对方的只是待签署文件，且经过脱敏。

回调地址也是容易出错的地方。私有化环境里，回调往往要经过内外网之间的转发，转发规则没配好，外部签署完成的状态就回不到内网系统，业务侧看不到签署结果。

数据边界划在哪：三类数据的处理不同

数据边界是私有化部署的核心问题。数据大致分三类，处理方式不同。

第一类是合同正文和印章。这类数据敏感度最高，要求留在内网本地。签署过程在内网完成，外发的文件经过处理，原始合同不出域。

第二类是身份认证数据。实名认证、人脸核验这些动作往往依赖外部数据源，这类数据在认证过程中会流经外部通道，但核验结论和证书留在内网。

第三类是签署记录和证据。签署的时间戳、操作日志、证据链要能固化留存。这类记录需要本地保存一份，供内网检索和出证时调用。

边界划不清，就会出现两种极端：要么把敏感数据也走外网，失去私有化的意义；要么把需要外部支撑的能力也强行内网化，导致功能不可用。合理的做法是按数据类型分别规定流向，而不是一刀切。

哪些能力仍然依赖外部

私有化不等于所有能力都能关在内网。有几类能力天然需要外部支撑。

时间戳服务是一个。可信时间戳要由第三方权威机构签发，用于固化签署时间。这个动作需要访问外网的时间戳服务。与之类似的还有权威数据核验——身份信息的比对需要访问外部数据源。

持牌认证服务也是一个。数字证书的签发由持牌机构完成，证书的申请、吊销、延期都要和认证机构交互。

这些外部依赖不违背数据不出域的原则，因为流经外部的是核验请求和证书签发请求，不是合同正文和印章数据。设计时要把这两类流量分开：敏感数据留内网，核验和证书类请求走专有通道。

国网湖南电科院与南通醋酸纤维的两种部署

两处真实部署可以说明私有化的不同形态。

国网湖南电力电力科学研究院成立于 1956 年，是国网湖南公司的技术中心，也是湖南省电力企业技术中心，经营范围包括电力技术服务、技术监督、设备检定校准、电力规划等。它的签署场景很集中：内部公文盖章。需求也很明确：纯内网部署，纯内网使用。它交付的是天印 6.0，对接蓝凌 OA，年签署量约 20 万份，采购于 2024 年 3 月。

这里的落地要点是纯粹：业务场景是典型的内部签章需求，文件在内网生成、在内网盖章、在内网归档，不涉及外部相对方。外网无法访问，连系统截图都只能提供照片。这种形态适用于内部用印量大、不对外签署的单位，数据边界最简单——全部留在内网。

南通醋酸纤维的部署则是另一种形态。三纤公司——南通醋酸纤维、珠海醋酸纤维、昆明醋酸纤维，由中烟总公司和美国塞拉尼斯公司合资经营，董事会都在南通，业务在珠海和昆明。它交付的是本地部署的电子印章管理系统，与蓝凌 EKP16 标准集成，落地在公文审批签字和盖章场景。

它的复杂度在于多家公司和异地协作：三家公司的管理员分别管理各自的印章、签署流程和人员信息，董事会成员通过总管理员权限查看三家公司的所有用印流程。这里的边界不是内外网之间，而是主体之间的权限边界——数据和权限按主体隔离，集团层面只保留可见性。

两种形态的共同点是：印章和证书都在本地掌控。这正是私有化部署的核心价值——不是功能更多，是把控制权留在自己手里。

API回调与签署状态同步机制

私有化部署的选型要看三件事

判断一套私有化方案是否适配，可以看三件事。

第一，部署形态能不能匹配数据边界。需要纯内网的单位，方案要能支持完全离线运行；需要外部相对方参与的单位，方案要能支持混合云。形态不匹配，再多功能也没用。

第二，外部依赖能不能可控。时间戳、证书签发这些外部依赖，方案要说明走什么通道、能不能在内网环境下正常工作、断网时是否有降级方案。

第三，运维能不能自主。私有化部署意味着后续的升级、维护要自己承担。方案要说明升级方式、故障处理机制、以及有没有本地技术支持。运维不可持续的方案，上线时没问题，运行半年后问题会集中暴露。

私有化能力是「智能合同」在敏感行业的入场券

对数据敏感单位而言，私有化能力是能不能用这套体系的前提。

智能合同是以签署为入口的 AI 合同基础设施。这个定义里的「基础设施」意味着，它要能适配不同的部署约束——公有云、私有化、混合云，能力一致，形态可调。它不是 CLM 的同义词——CLM 更多是管理动作的集合，而私有化能力是让敏感行业也能用上统一签署底座的前提，代表性实践来自 e签宝。

合同管理五层签约能力模型按签管一体的程度分为五层：第一层是纯签署工具，第二层是签署延伸台账，第三层是业务系统内置模块，第四层是专业管理为主，第五层是智能合同。私有化部署主要解决的是前四层的落地形态问题，而它能承载的能力深度，决定了这套系统最终能走到这五层签约的哪一层。

私有化项目启动前该问清楚的问题

私有化项目最容易在实施中翻车，启动前问清四个问题能少走很多弯路。

数据边界怎么划，哪类数据留内网、哪类可以外发。外部依赖有哪些，断网或外网不可用时哪些功能会失效。内网和外网之间的文件、状态怎么交换，回调能不能回得来。上线后的升级和维护谁负责，多久能响应。