🔏 Koppeling elektronische handtekening

Wie het document ondertekent en wie het verifieert, zitten in hetzelfde systeem

De module zet vier wegen om te ondertekenen naast elkaar op: de gekwalificeerde elektronische handtekening met een chipkaart of een USB-token, de mobiele handtekening via een gsm-lijn, een op het scherm getekende natte handtekening en een afbeelding van een natte handtekening die uit een bestand wordt geladen. Elk ondertekend document wordt in het register geschreven en kan met een verificatiecode worden opgevraagd.

De ondertekensleutel bereikt de browser nooitDe gekwalificeerde handtekening wordt gezet via de plaatselijke ondertekendienst die op de eigen computer van de gebruiker draait. De pincode van de kaart en de persoonlijke sleutel verlaten het apparaat nooit; alleen de ondertekende uitvoer gaat naar de serverkant.
De handtekeningregistratie is aan het document gebondenElke ondertekening wordt in het register geschreven met de ondertekenaar, de titel van het document, de soort document, het soort handtekening, het tijdstip van ondertekening, de SHA-256-hashwaarde van het bestand en een verificatiecode van zestien tekens.

Vraag een demo aan

Ondersteunde soorten handtekeningen

De vier hieronder zijn in de module als aparte tabbladen ingericht. Een soort handtekening die niet op deze lijst staat, bestaat in deze module niet.

Gekwalificeerde elektronische handtekening

Ondertekenen met een chipkaart of een USB-token. De plaatselijke ondertekendienst vindt het apparaat, leest het certificaat, controleert de pincode en maakt de ondertekende uitvoer; het hashalgoritme is SHA-256.

Mobiele handtekening

Ondertekenen via de infrastructuur voor de mobiele handtekening die aan een gsm-lijn is gekoppeld. Het abonnement van het nummer wordt opgevraagd, er komt een ondertekenverzoek op de telefoon binnen, en de verrichting wordt bevraagd terwijl op de goedkeuring wordt gewacht.

Getekende natte handtekening

Een handtekening die met een muis, een pen of een aanraakscherm op een tekenvlak wordt getekend. De penkleur kan worden gekozen en de tekening kan worden gewist en overgedaan; de uitkomst wordt als PNG bewaard in de vorm van de standaardhandtekening van de gebruiker.

Geladen natte handtekening

Een bestaande afbeelding van een handtekening uit een bestand laden. PNG en JPEG worden aanvaard, ten hoogste 5 MB; de afbeelding wordt op de server tot een grens van 600×200 verkleind en naar PNG omgezet.

Handtekeningformaten

Het formaat wordt gekozen naar de soort van het bestand dat wordt ondertekend; de module kiest het juiste door naar de bestandsextensie te kijken.

Formaat	Voor welk document	Hoe het wordt gekozen
PAdES-BES	PDF-documenten	Wordt vanzelf gekozen wanneer de extensie .pdf is; uitgevoerde rapporten worden met dit formaat ondertekend.
XAdES-BES	XML-documenten	Wordt vanzelf gekozen wanneer de extensie .xml is.
CAdES-BES	Overige bestandssoorten	Het standaardformaat voor elk bestand dat geen PDF of XML is.

In alle drie de formaten is het hashalgoritme SHA-256. De ondertekende uitvoer wordt als een apart document naast het ondertekende bestand gedownload; het bronbestand wordt niet gewijzigd.

Verloop van de gekwalificeerde elektronische handtekening

Elk van de zes stappen verschijnt als een eigen toestand op het scherm; de gebruiker leest op welke stap wordt gewacht en waar het is vastgelopen.

Controle van de dienstEerst wordt de netwerkverbinding afgetast en daarna de plaatselijke ondertekendienst die op de computer draait. Is de dienst gesloten, dan toont het scherm zowel de startkoppeling als de knop om het opnieuw te proberen.
Aftasten van apparatenAangesloten chipkaartlezers en USB-tokens worden opgesomd. Is er geen apparaat, dan verschijnt de waarschuwing om de kaart in te steken; zijn er meerdere apparaten, dan kunt u ertussen wisselen.
Het certificaat lezenHet certificaat van het gekozen apparaat wordt gelezen; de houder van het certificaat, het identiteitsnummer, de uitgevende instantie, de geldigheidsduur en het model van het apparaat verschijnen op het scherm.
Controle van de pincodeDe pincode bestaat uitsluitend uit cijfers, is ten hoogste acht tekens lang en kan niet in het veld worden geplakt. Zolang Caps Lock aanstaat, verschijnt er een waarschuwing; de ingevoerde waarde kan op verzoek zichtbaar worden gemaakt.
OndertekenenDe voortgangsbalk toont drie fasen: pincode controleren, ondertekenen, voltooid. Het ondertekenverzoek wordt ten hoogste dertig seconden vastgehouden en komt als fout terug als er geen uitkomst binnenkomt.
Uitkomst en registratieDe ondertekende uitvoer wordt gemaakt en de ondertekening wordt in het register geschreven. Na de eerste handtekening wordt aangeboden de pincode gebonden aan dat apparaat te bewaren; dat aanbod kan worden afgeslagen.

Verloop van de mobiele handtekening

De mobiele handtekening werkt asynchroon: het verzoek wordt verstuurd, de goedkeuring wordt op de telefoon gegeven, en het systeem wacht door de uitkomst herhaaldelijk op te vragen.

Opvragen van het abonnementEr wordt opgevraagd of het ingevoerde nummer een abonnement op de mobiele handtekening heeft. Is dat niet zo, dan stopt het verloop voordat het begint en wordt de reden op het scherm geschreven.
OndertekenverzoekHet verzoek wordt verstuurd samen met de omschrijving die op de telefoon verschijnt; de gebruiker leest op het eigen scherm welk document hij goedkeurt.
TransactiekenmerkWordt het verzoek asynchroon aanvaard, dan wordt er een transactiekenmerk teruggegeven en gaat het scherm over in de toestand wachten op goedkeuring op uw telefoon.
Bevragen van de statusDe uitkomst wordt om de drie seconden opgevraagd en er wordt ten hoogste negentig seconden gewacht. Loopt de tijd af, dan sluit de verrichting met een tijdsoverschrijding en moet zij opnieuw worden gestart.
UitkomstDrie uitkomsten worden apart afgehandeld: ondertekend, afgebroken door de gebruiker, verlopen. Wordt een PDF ondertekend, dan wordt de handtekening in het document ingebed en wordt er een ondertekende kopie gemaakt.

Situaties die in de praktijk voorkomen

De module gaat ervan uit dat ondertekenen zelden bij de eerste poging lukt; acht situaties worden stuk voor stuk afgehandeld.

De pincode bewaren

Met toestemming van de gebruiker wordt de pincode bewaard, gebonden aan het serienummer van het apparaat. Bij de volgende handtekening is het veld niet meer leeg; de bewaarde pincode kan in één stap worden verwijderd.

Verkeerde pincode

Wordt er een verkeerde pincode ingevoerd, dan wordt de waarschuwing samen met het aantal resterende pogingen getoond; bij de laatste poging wordt de waarschuwing nog sterker benadrukt.

Geblokkeerde kaart

Is de pincode geblokkeerd, dan gaat het scherm over in een waarschuwingstoestand, wordt de knop om het opnieuw te proberen uitgeschakeld en wordt uitgelegd hoe de kaart wordt gedeblokkeerd.

Waarschuwing voor Caps Lock

Zolang Caps Lock aanstaat, verschijnen er een waarschuwingspictogram en een korte uitleg naast het pincodeveld; een verkeerd getypte pincode wordt voorkomen voordat zij een poging kost.

Kaart verwijderd

Aangesloten apparaten worden om de vijf seconden afgetast. Wordt de kaart tijdens de verrichting verwijderd, dan keert het scherm terug naar het aftasten van apparaten en meldt het dat de verbinding is verbroken.

Vergrendeling van het tweede tabblad

Begint een tweede tabblad in dezelfde browser met ondertekenen, dan wordt het andere tabblad vergrendeld; zo wordt voorkomen dat één apparaat twee verzoeken tegelijk moet bedienen.

Certificaat verloopt

Er wordt gewaarschuwd wanneer er minder dan dertig dagen tot het einde van het certificaat resten, en er volgt een kritieke waarschuwing wanneer er minder dan zeven dagen resten of het is verlopen; met een verlopen certificaat gaat het ondertekenen niet open.

Voorbijgaande apparaatfout

Bij voorbijgaande fouten zoals een afgebroken kaartsessie wordt de verrichting twee keer opnieuw geprobeerd zonder de gebruiker een fout te tonen. Blijft de fout bestaan, dan wordt zij samen met haar foutcode opgeschreven.

Handtekeningregister en verificatie

Wie wat wanneer heeft ondertekend, blijft opvraagbaar nadat het ondertekende document is gedownload.

RegisterinschrijvingElke ondertekening wordt geschreven met de ondertekenende gebruiker, de organisatie, de soort document, de titel van het document, het soort handtekening, het tijdstip van ondertekening, het IP-adres en de browsergegevens.
Hashwaarde van het bestandDe SHA-256-hashwaarde van het document wordt vastgelegd; bij een zoekopdracht met dezelfde hashwaarde wordt de handtekeningregistratie gevonden waartoe het document behoort.
VerificatiecodeVoor elke registratie wordt een verificatiecode van zestien tekens in vier blokken gemaakt; letters en cijfers die gemakkelijk worden verward, komen in de code niet voor.
Verificatie met een QR-codeOp het uitgevoerde document wordt een QR-code met het verificatieadres afgedrukt; wordt de code gescand, dan wordt de geldigheid van de registratie opgevraagd.
RegisterlijstHandtekeningregistraties worden gefilterd op soort document, soort handtekening en gebruiker; er wordt op de titel van het document en op de verificatiecode gezocht.

Aanmelden met een elektronische handtekening

Dezelfde infrastructuur wordt zowel voor de identiteitscontrole als voor het ondertekenen van documenten ingericht.

Aanmelden met een certificaat

Het identiteitsnummer of het e-mailadres dat uit het ondertekencertificaat wordt gehaald, wordt met de gebruikersregistratie vergeleken; komt er geen overeenkomst uit, dan wordt er geen sessie geopend.

Aanmelden met een mobiele handtekening

Het aanmeldverzoek komt op de telefoon binnen en de sessie gaat open zodra het wordt goedgekeurd; wordt het verzoek niet ondertekend of afgebroken, dan wordt het aanmelden geweigerd.

Sessiecookie

Aan het einde van de verificatie wordt het sessiebewijs afgegeven in een cookie die alleen de server kan lezen en die een beperkte tijd geldig is.

Veelgesteld

De vijf vragen die het vaakst worden gesteld over de soorten handtekeningen, de inrichting en de verificatie.

Welke soorten handtekeningen worden ondersteund?

Vier: de gekwalificeerde elektronische handtekening met een chipkaart of een USB-token, de mobiele handtekening via een gsm-lijn, een op het scherm getekende natte handtekening en een afbeelding van een natte handtekening die uit een bestand wordt geladen. Een ander soort handtekening bestaat er in de module niet.

Moet er voor een gekwalificeerde handtekening iets op de computer worden geïnstalleerd?

Ja. De plaatselijke ondertekendienst die met de kaartlezer praat, moet op de computer van de gebruiker draaien. De module tast de dienst bij het opstarten af; is zij gesloten, dan verschijnen er een startkoppeling en een knop om het opnieuw te proberen op het scherm.

Vervangt een afbeelding van een natte handtekening een gekwalificeerde handtekening?

Nee. Een getekende of geladen afbeelding is een gegeven dat als zichtbare handtekening op het document wordt gestempeld. Een cryptografische handtekening ontstaat alleen langs de weg van de gekwalificeerde elektronische handtekening en de mobiele handtekening; het soort handtekening wordt apart in het register bewaard, zodat de twee nooit door elkaar lopen.

Hoe wordt de echtheid van een ondertekend document opgevraagd?

Er zijn twee manieren: de verificatiecode op het document, of de SHA-256-hashwaarde van het bestand. Beide worden in het register opgezocht; wordt er een registratie gevonden, dan worden de titel van het document, de soort document, het soort handtekening, het tijdstip van ondertekening en de ondertekenaar teruggegeven.

Wat gebeurt er als de gebruiker een mobiele handtekening niet goedkeurt?

De verrichting sluit in een van drie toestanden af: afgebroken door de gebruiker, verlopen, of een fout die door de infrastructuur wordt teruggegeven. Komt er binnen negentig seconden geen goedkeuring, dan verloopt het verzoek en moet het opnieuw worden gestart.

🔏 Koppeling elektronische handtekening

Bekijk de ondertekening met uw eigen document

Neem contact met ons op om door te nemen welke documenten worden ondertekend en hoe de verificatie wordt ingericht.

Spreek een deskundige