"你们有没有CA牌照？"

这是电子签章软件选型时企业最常抛出的问题之一。但这个问题本身，问错了对象。

CA牌照——《电子认证服务许可证》，是电子认证服务机构（CA机构）依法向工信部申领的经营资质。电子签章厂商并不属于持牌主体，它不是、也无须是CA牌照的持有方 。两者是电子认证服务链条上不同层级的角色，各有法定边界。

但纠正这个误解，绝不意味着选型时可以跳过CA这一环。恰恰相反：随着工信部推动电子认证服务合规升级、10月30日整改节点临近，CA的资质与合规状态正在成为 选型时最不能省的核查项——只是核查的姿势要变。不是问厂商"你有没有牌照"，而

是要问清楚三件事： 你背后提供电子认证服务的是哪家CA？这家CA是否持牌？它是否已完成新规下的合规改造？

原因很直接：CA是证书签发与身份核验的法定责任主体，它的合规状态，直接决定企业签出的每一份合同有没有法律效力。厂商的合规，是从CA的合规开始的——但它并不止于CA。

因此，判断一家电子签章厂商是否合规，正确的做法是 两层拆解：第一层，核实其合作的CA机构是否持牌、是否合规运营；第二层，考察厂商自身在签章能力、印章管控、平台技术、司法证据链与数据安全上的真实水平。依据《电子签名法》第十三条与2025年《电子印章管理办法》（国办发〔2025〕33号），完整的合规判断应覆盖 法律要件、CA合规运营、平台技术能力、司法验证、数据安全五个维度。

一、10月30日，为什么成了电子签章行业的合规分水岭

行业主管部门近期部署电子认证服务业务规范化工作，要求各电子认证服务机构对照新版《电子认证业务规则规范》（T/CQAE 11034-2025）与修订后的电子认证业务规则（CPS）全面实施业务合规改造，并设置过渡期至 2026年10月30日 。

这次整改的关键词是"全面改造"——不是修订内部制度、更新CPS文本就算完成，而是要对 订户告知、身份查验、意愿记录、协议签署、私钥保管、资料留存这条服务全链条做系统性改造，规则、系统、流程同步到位 。

更值得注意的是，监管已经开始落到司法审查里。在一起案件的审核意见中，法院明确写道： 根据《电子认证业务规则规范》，CA机构不得将用户身份核验委托给第三方，请提交CA直验的验证报告 。这意味着，企业今天签下的每一份电子合同，将来涉诉时面对的就是这把尺子。

与此同时，2025年10月正式发布的《电子印章管理办法》已经施行。作为国家层面重要的电子印章管理专项制度，它明确"符合本办法规定的电子印章与实物印章具有同等法律效力"，并从职责体系、制作备案、使用注销等方面构建了全过程管理框架 。

合规，已经从"加分项"变成了"入场券"。

二、先厘清一个前提：CA机构与电子签章厂商，不是同一个角色

选型前必须建立的第一层认知，是分清服务链条上的两个主体：

• CA机构（电子认证服务机构）：为电子签名相关各方提供真实性、可靠性验证，须持有工信部核发的《电子认证服务许可证》，是电子认证服务的 法定责任主体 。
• 电子签章服务商：面向最终用户提供电子签署与印章管控服务， 不需要持有CA牌照，但必须与持牌CA机构合规合作，不越权从事电子认证活动 。

理解了这个分工，很多选型困惑就自然解开了：

第一，"厂商有没有CA牌照"不是必答题，"厂商接入的CA是谁"才是。厂商自建、对接第三方、还是聚合多家CA，路径可以不同，但最终签发证书的那家CA必须持牌、必须可查。这是底线。

第二，CA持牌不等于CA合规运营，更不等于厂商合规。工信部《电子认证服务许可证》加上国家密码管理局《电子认证服务使用密码许可证》，是CA机构的"双证"硬门槛，两证缺一不可 。但即便持证，若身份核验层层外包、协议默认勾选、签署意愿不留证、私钥管理缺少授权约束，照样会踩到新规红线 。而厂商这一侧，签章系统是否具备印章管控、多CA接入、开放集成与证据链能力，是另一套完全独立的考察题。

第三，法律早有更完整的判断依据。《电子签名法》第十三条给出了"可靠电子签名"的四个法定要件 ：

1. 电子签名制作数据用于电子签名时，属于电子签名人 专有；
2. 签署时电子签名制作数据 仅由电子签名人控制；
3. 签署后对电子签名的任何改动 能够被发现；
4. 签署后对数据电文内容和形式的任何改动 能够被发现。

顺着这四个要件往外推，就是下面这套更完整的选型框架。

三、五维度合规选型框架

维度一：法律要件——是否真正构成"可靠电子签名"

电子签名、电子印章的法律效力不是厂商"承诺"出来的，而是靠技术方案和流程设计落到《电子签名法》第十三条的四要件上。

选型自查：

• 签署所用数字证书是否由持牌CA签发，证书信息可否公开验证？
• 私钥是否实现"专有专控"，签署时是否只有签名人本人可控？

• 签署完成后，对签名或文件内容的任何改动，能否被检测出来？

  
  

维度二：CA合规运营——"四条红线"是否全部落地

新规落地后， CA直验、CA直签、意愿留证、私钥直管成为四条不可逾越的红线，没有豁免、没有"过渡版本" 。

• 身份查验必须CA直验：严禁委托外部机构或个人（非同一法人主体视为外部机构），个人签名由CA系统直接执行实名+人脸/短信二次核验，企业签章由CA直接完成营业执照核验等，平台不得触碰核心核验数据 。
• 服务协议必须CA直签：由CA机构与订户直接签署，杜绝默认勾选、权责不清 。
• 申请意愿必须全程留证：高等级证书需通过录音录像、音视频双录等方式确认意愿；基础级证书需留存可追溯的确认记录 。
• 私钥使用必须严管可控：优先由订户自主持有；CA托管需获得订户书面授权，加密存储、全程留痕，杜绝未经授权调用
  。

与之配套的是证书办理的" 一证四步"：服务告知、身份查验、签署服务协议、数据留存，每一步都要求有据可查 。此外，新规对证书实行分级管理（基础级/高等级），涉及生命健康、财产权益的高风险场景 禁止使用基础级证书 。

选型自查：身份核验是"平台做的"还是"CA做的"？协议是CA与你直接签的吗？私钥调用有书面授权和全程留痕吗？CPS是否已按新规修订并向工信部备案 ？

维度三：平台技术能力——牌照替代不了工程能力

CA解决的是"身份可信、证书可信"，但企业真正的用签场景，是 印章怎么管、合同怎么签、系统怎么接。这部分能力完全落在电子签章平台身上：

• 印章管控：用印流程、分级授权、印章集中管控、外带用印管理；
• 多CA接入：能否对接多家持牌CA，避免被单一供应商绑定；
• 开放集成：与OA、ERP、CRM、HR、采购等系统的接口与集成能力；
• 签署体验：模板化、批量签署、多终端签署、异地多方签署。

选型自查：平台是否只做"通道"，还是有完整的印章管控与业务集成能力？

维度四：司法验证——出事时能不能"自证清白"

合规的最终检验场是法庭。新规要求电子签章过程信息应当被记录并保存，实现电子签章行为 可追溯、可定责；验证时应当按照国家标准核验签章数据的真实性、完整性和不可否认性，并可核验签章时印章的有效性 。

选型自查：

• 能否提供 CA直验报告（法院明确要求该报告） ？
• 证据链是否完整（时间戳、哈希值、签署日志、用印记录）？
• 是否对接公证处、司法鉴定机构或可信存证体系？
• 是否有真实司法采信案例？

维度五：数据安全——底线能力

电子签章系统承载的是企业最核心的合同与用印数据，安全合规要求覆盖《网络安全法》《数据安全法》《个人信息保护法》《密码法》的交叉约束 。

选型自查：

• 是否通过等保测评、商用密码应用安全性评估？
• 是否支持私有化部署/本地化存储，满足数据不出域的诉求？
• 私钥托管是否有订户书面授权、是否有加密存储与全量审计日志 ？
• 是否遵循最小权限原则，操作全程留痕？

四、四家主流电子签章厂商对照

下表按上述五个维度整理了市场主流厂商的公开定位与合规路径侧重，供选型时对照参考（ 不含任何资质评价，厂商是否合规请以其接入的CA持牌状态及厂商官方公示为准）：

关键提醒：拿到一份已签署的电子合同，查看数字证书信息——签发主体是否与持牌CA完全一致？是否存在"平台代发""联合签发""合作签发"等模糊表述？证书能否在工信部电子认证服务系统中查询验证？ 如果签发主体不是持牌CA本身，这张证书在新规框架下的法律效力将大打折扣。

五、一张选型自查清单（建议直接套用）

任何一项答不上来，都说明该认真核实服务商的合规状态了。

六、常见问题（FAQ）

Q1：电子签章厂商必须持有CA牌照吗？

A：不需要。CA（电子认证服务机构）与电子签章服务商是两个不同层级的角色。CA须持有工信部《电子认证服务许可证》，而电子签章平台不属于CA机构，本身不需要CA牌照，但必须与持牌CA合规合作，不越权从事电子认证活动 。

Q2：那选型时到底该怎么查CA？

A ：三件事：一看它为证书签发的CA是否持牌（可在工信部电子认证服务系统查询）；二看身份核验是否由这家CA直接执行；三看该CA的CPS是否已按新规修订。在拿到已签署的电子合同时，再核对证书签发主体是否与持牌CA完全一致——法院已明确要求提交"CA直验的验证报告" 。

Q3：10月30日整改，对使用电子签名的企业有什么影响？

A ：整改主体是CA机构，但影响传导到所有用签企业。过渡期结束后进入专项检查，若厂商或CA未完成合规改造，业务可能面临停服预案 ，企业历史合同的司法采信也可能受影响。建议在窗口期内完成服务商合规性核查。

Q4：基础级证书和高等级证书怎么选？

A ：新规将证书分为基础级和高等级。涉及生命健康、财产权益的高风险场景必须使用高等级证书；基础级证书禁用于婚姻、收养、继承等人身关系及公共事业服务场景，金融、医疗等关键领域也禁止使用基础级证书 。

Q5：制度依据到底有哪些？

A ：三层体系： 法律层《电子签名法》《密码法》《网络安全法》《数据安全法》； 规章层《电子印章管理办法》（国办发〔2025〕33号） 与《电子认证服务管理办法》； 标准层《电子认证业务规则规范》（T/CQAE 11034-2025）  。

七、结语：合规选型，看的是"体系"而不是"一张证"

10月30日的倒计时，本质上是一次行业信任底座的重建。它把电子认证服务应有的责任，真正落到了系统、流程和证据上—— 规则越清晰，责任越明确，企业使用电子签名的预期就越稳定 。

所以，选型的正确姿势是两层： 先看它背后的CA持不持牌、合不合规，再看厂商自己在签章、印章管控、集成与证据链上有没有真本事。 单看任何一层，都会看走眼。