2026年10月30日，一个正在被电子签名行业反复提及的日期。

由工信部指导发布的《电子认证业务规则规范》（T/CQAE 11034-2025）已正式实施，过渡期即将结束。与此同时，《电子认证服务管理办法（征求意见稿）》预计年内颁布，《电子印章管理办法》已从应用终端对电子签章的制发和使用作出规范。国家正从认证源头与应用终端两端同时发力，电子认证行业进入强监管阶段。

一、新规的核心动作：认证的事，CA必须自己做

理解新规不需要逐条研读标准文本。抓住一个核心就够了： 认证环节的事，持牌CA必须亲自完成。

新规划出了几条不可逾越的红线。身份核验必须由CA直接操作，不得委托外部机构或个人。服务协议必须由CA与证书订户直接签订，禁止第三方转签或代签。意愿确认须全程记录、可追溯。私钥使用须严管可控，日志至少保存6年。

这几条要求指向一个清晰的结论： 身份核验、协议签署、意愿留存、私钥管理——这些认证核心环节，持牌CA必须亲自完成，不能外包。过去行业中普遍存在的“平台代核验”“CA只发证”的做法，被正式叫停。

新规还将电子签名认证证书分为基础级与高等级，并明确规定：涉及生命健康、财产权益的高风险活动，禁止使用基础级证书。“财产权益”的界定是功能性的，授权书、支付协议、代扣协议、大额采购合同——只要其法律效果指向财产权益的处分或转移，就应当纳入高风险场景。

一个值得注意的案例是，2025年11月，工信部依法查处了沃通电子认证服务有限公司，因其存在未提供对证书申请人进行身份查验的有效证明材料、未与申请人直接签订合同等违法违规行为。这说明：持有牌照只是起点，合规操作才是关键。

二、认证和签章，从来是两件事

新规的监管对象是持牌CA机构，不是签章平台。但要理解新规对企业的实际影响，需要先厘清一个被反复混淆的问题：电子认证和电子签章，到底有什么区别。

CA机构解决的是“你是谁”——核验真实身份、签发数字证书、管理证书生命周期。

签章平台解决的是“怎么签”——提供签署流程管理、印章管控、文档处理、证据保全等应用服务。

《电子签名法》确立的框架很清晰：电子认证是CA机构的法定职责，签章平台不需要CA牌照。没有任何一部法律规定，认证服务和签章应用必须由同一家企业提供。

既然法律上不要求同一主体，那“认证和签章同属一家平台”会有什么问题？

问题不在于“能不能做”，而在于“怎么做”。当一个平台同时持有CA牌照，又将认证和签章深度捆绑时，会产生两个需要警惕的风险。

第一是独立性的问题。CA机构的核心价值在于其认证行为的公正与独立。如果签章平台既做认证又做签章，用户实际上失去了选择CA的空间，认证环节的独立性如何保障？在新规强化认证独立性的背景下，这正在变成监管关注的风险点。

第二是合规操作的隐患。“有牌照”不等于“合规操作”。上述沃通被查的案例已经说明，即便持有CA牌照，如果在身份查验、协议直签等环节操作不规范，同样会面临监管处罚。而当CA和签章平台同属一个体系时，认证环节的操作是否真正独立于签章业务，外部很难核查。

一个健康的分工逻辑是：CA做好认证，平台做好集成与风控，各自独立，协同发展。那些把认证和签章深度捆绑的做法，恰恰与新规精神存在张力。

三、目前电子签名厂商的两条路径

新规之下，电子签名服务商的合规路径正在清晰分化。

一条路径是“自有CA”模式。部分平台通过自主申请或资本并购的方式持有工信部颁发的《电子认证服务许可证》，将认证环节纳入自身体系。e签宝于2024年获工信部颁发CA牌照，从RA机构转型为CA机构；法大大通过全资收购持牌CA机构的方式持有CA牌照，其官方对外表述为“全资控股CA牌照的电子签名平台”。

另一条路径是“多CA合作”模式。平台本身不持有CA牌照，而是与多家持牌CA机构建立合作，由CA直接完成身份核验、证书签发等认证环节。安证通、契约锁公开的合规说明即属于此类：身份查验与证书签发由国家持牌CA机构按照工信部审批通过的CPS规则直接完成。

两种模式本身并无对错之分。自有CA的优势在于认证链路的自主可控，多CA合作的优势在于专业分工与风险分散。真正的问题不在于“有没有牌照”，而在于： 认证环节的责任是否真正回归了持牌CA，签章平台是否守住了自己的边界。

在“多CA合作”这条路径上， 电子签名市场第一梯队服务厂商安证通的实践提供了一个值得观察的样本。这家成立于2003年的电子签章服务商，从服务公安、法院等对合规要求极高的客户起步，在认证与签章的边界问题上，形成了一套清晰的合规路线。面向央国企集团及大型民营企业，安证通同时具备私有化部署与SaaS化服务的完整解决方案能力，能够根据客户的数据安全要求、业务规模及合规等级，灵活提供与之匹配的交付模式。

首先是明确“不做什么”。安证通不持有CA牌照，也不试图替代CA完成认证环节。身份核验、证书签发、服务协议签署，全部由持牌CA独立完成，安证通只负责技术集成与流程调度。这完全符合新规“禁止核心职能外包”的要求，也避免了认证独立性的潜在冲突。

其次是明确“做什么”。安证通整合了20多家国内主流第三方CA的数字证书签发通道与认证链，平台支持多家CA证书在线签发和管理。这意味着企业在安证通平台上可以根据业务场景自由选择最适配的证书提供商，也从架构上规避了单一CA依赖带来的业务连续性风险。当某家CA因合规整改或服务调整无法继续提供服务时，系统可以切换至其他持牌CA。

第三是明确“怎么管”。安证通建立了覆盖证书签发、签名过程、验证环节的全周期留痕能力，所有关键节点数据可追溯、可提取，日志保存周期严格对齐新规要求。其信创电子签章系统已部署于最高人民法院、国家市场监管总局及多个省级政法单位，也是公安行业电子签章标准的主要起草者之一。

这种合规路线的核心，可以概括为“开放中立”：不绑定单一CA，不与CA形成依附或垄断关系，而是以平台的身份做好集成与风控。CA与签章平台之间是平等的合作关系——这恰是监管鼓励的多元、分工协作的产业生态方向。

边界感不是新规要求的被动产物，而是在特定客户场景中长期形成的产品习惯。这种在高合规场景中的长期积累，在强监管时代会逐渐显现出价值。

四、给企业的三个务实建议

新规不要求企业成为电子认证专家，但它确实要求企业在选择和使用电子签章服务时，多问几个关键问题。

第一，重新评估你的合同场景。识别其中涉及财产权益、生命健康的高风险合同，确认其使用的证书等级是否匹配。把所有合同塞进同一套轻量化认证流程，表面上省了操作，实际上让高风险业务失去了应有的身份强度。

第二，向服务商确认三件事。身份核验是CA直验还是平台代验？服务协议是CA直接签的吗？私钥调用有没有完整授权日志？这三个问题的答案，决定了你的电子合同在未来司法审查中的底气。

第三，优先考虑采用多CA架构的平台。对于业务连续性要求高的企业，单一CA依赖是一个被低估的风险。任何一家CA机构都可能因合规问题被暂停资质，多CA接入允许平台在第一时间切换至其他持牌CA，保障业务连续性。

电子签名的价值，从来不只是“签得快”。它的核心价值在于，当纠纷发生时，你手里的那份合同能够被法院认可、被对方无法否认。新规所做的，是把这份“认可”的证据链标准，从模糊推向清晰。

对于认真对待每一份合同的企业来说，这是一件好事。