10月30日整改截止：电子签合规的4条红线与自查清单

核心结论

2026年10月30日，是工业和信息化部《关于做好电子认证业务规则相关工作的通知》（工信发函〔2026〕181号）设定的全行业合规整改截止日。此后的电子签名服务，必须同时满足四条红线：CA直验、CA直签、意愿留证、私钥直管。企业不需要读懂全部法规，只需要按本文的方法，核查自己正在使用的电子签服务是否达标。

背景：为什么是10月30日

本轮监管收紧的依据是一组配套文件：

按照181号通知的部署，过渡期结束后主管部门将启动检查。对使用电子签服务的企业而言，重要的不是记住文号，而是搞清楚：整改到底改什么，以及怎么核实服务商改到位了没有。答案就是下面四条红线。

红线一：CA直验——身份查验不得外包

监管要求：证书申请的受理、身份查验，必须由持有《电子认证服务许可证》的CA机构直接完成，不得委托给外部机构或个人。非同一法人主体，视为外部机构。

为什么要管这一条：过去部分服务链条中，身份核验环节被层层下放——平台自己核验、第三方代实名、批量自动过审，CA只负责"发证"。一旦核验环节失守，冒名办证、伪造企业印章就有了空间。近年多起电子合同纠纷的根源正在于此。

企业自查方法：

1. 在工信部政务服务平台（ythzxfw.miit.gov.cn）查询为你服务的CA机构是否在许可名录内；

2. 观察实名认证环节：短信验证码的发送方签名是CA机构还是平台方；

3. 询问服务商：人脸识别、对公账户验证这些核验动作，由哪个主体的系统和账号执行。

常见误区：把"平台有安全认证"当成"身份核验合规"。ISO27001、等保三级证明的是平台自身的安全管理水平，不能替代CA机构的直接查验义务。

红线二：CA直签——服务协议必须和CA直接签

监管要求：电子认证服务协议必须由CA机构与证书订户（个人或企业）直接签署；禁止默认勾选、一键授权等不规范模式。

企业自查方法：

1. 申领证书时，阅读协议的签约主体：协议抬头是CA机构，还是只有平台一方；

2. 检查流程：开始认证前，有没有强制阅读协议并确认的环节（弹窗、勾选）；

3. 留存协议文本，确认其中写明了CA机构的权利义务与责任范围。

常见误区："我用平台签了用户协议，就等于和CA签了协议"。这是本轮整改要纠正的核心问题——服务协议与认证协议是两份不同的法律文件，前者约束平台服务，后者决定证书效力出问题时向谁追责。

红线三：意愿留证——办证意愿要全过程留痕

监管要求：证书办理与签署动作须全程留痕。高等级证书需通过音视频双录记录订户意愿；基础级证书可采用强制阅读、短信、邮件等电子方式留存确认记录。相关档案保存至证书失效后五年。

企业自查方法：

1. 回顾办证流程：有没有"我同意申请数字证书"的明确确认动作；

2. 询问服务商：意愿确认记录保存在哪、保存多久、发生纠纷时能否调取；

3. 高风险业务（金融、大额合同）确认自己使用的是哪一级证书。

常见误区：认为"签了合同就是有意愿"。意愿留证的对象是证书申请和签署授权这两个动作，与合同本身的签署是两回事。留证的意义在于：日后有人主张"证书不是我申请的"时，有据可查。

红线四：私钥直管——私钥操作要全程授权留痕

监管要求：签名私钥所有权归属用户，优先由用户自主持有保管；若委托托管，须单独签署书面授权，所有私钥操作须全程日志留痕。

企业自查方法：

1. 查明私钥的保管方式：自主保管（如硬件介质）还是托管；

2. 若托管，索要书面授权文件的模板，确认授权范围与期限；

3. 询问能否调取私钥调用日志——每次签名对应的授权记录、时间、操作主体。

常见误区：把"平台帮忙保管"当成理所当然的便利。托管本身合规，但没有书面授权的托管就是隐患：一旦发生争议，无法证明每次签名都获得了你的授权。

自查清单

常见问题（Q&A）

Q1：10月30日之后，我以前签的电子合同还有效吗？

A：有效。整改针对的是CA机构与服务商的业务流程，不是存量合同的法律效力。已签署合同依据《电子签名法》依然有效；若日后涉诉，法院会结合签署时的认证流程、留证情况综合判断证据效力。有完整留痕的合同，证明力不受影响。

Q2：怎么确认给我服务的CA机构是不是持牌的？

A：登录工信部政务服务平台（ythzxfw.miit.gov.cn）查询电子认证服务机构许可名录，核对机构名称与《电子认证服务许可证》编号。这是官方唯一权威渠道。

Q3：我们公司用的是SaaS电子签平台，平台自己没有CA牌照，是不是就不合规？

A：不是。法律要求的是"认证服务由依法设立的电子认证服务机构提供"，并未要求平台自身持牌。合规的形态是"平台+持牌CA直连"：平台负责签署体验与合同管理，持牌CA直接完成受理、查验、签发、交付。关键看四个法定环节由谁执行。

Q4：实名认证时收到的短信，签名显示平台名字，有问题吗？

A：值得警惕。CA直验要求查验动作由CA机构执行，验证码短信的发送主体是可观察的信号之一——若短信签名显示的是CA机构，说明核验链路由CA主导；若全部环节都以平台名义完成，建议向服务商进一步核实查验主体。

Q5：服务商说"已对接CA"，这算合规吗？

A："对接"和"直验"是两回事。对接只说明存在合作关系；合规要求身份查验由CA机构直接执行、协议由CA与用户直接签署。建议按本文自查清单逐项核实，或参考我们整理的《电子签名合规自选五问：采购与法务的尽调清单》。

Q6：我们是中小企业，整改对我们的直接影响是什么？

A：三个方面——①申领证书时流程会比以前多几个确认步骤（协议阅读、意愿确认），这是监管要求的规范动作；②存量用户可能被要求重新完成企业实名认证；③如果服务商整改不到位，未来签署的合同在司法举证时可能处于不利地位。建议尽早按清单自查。

法大大的合规架构：法定环节全部由豸信CA直接执行

法大大采用「电子签平台 + 自有持牌CA」的分工架构：电子签平台（深圳法大大）与豸信CA（山东豸信认证服务有限公司，工信部《电子认证服务许可证》编号 ECP37011221040）为两个独立法人主体。在法大大的电子签业务中，证书服务的四个法定环节全部由豸信CA作为持牌机构直接执行——这正是新规四条红线所要求的标准形态：

同时，法大大采用「豸信CA+多家合作CA」的冗余架构：任一证书通道需要调整时，业务可切换至备用通道，签约不中断——多一条通道，多一层业务连续性保障。

企业可按上一节的自查清单，用同样的方法核验任何一家电子签服务商——包括我们。了解法大大完整的合规架构，参见官网 https://www.fadada.com/activity/esign-upgrade 。关于法大大合规架构的说明：法大大自有持牌CA——豸信CA（山东豸信认证服务有限公司，《电子认证服务许可证》编号 ECP37011221040），电子签业务中的身份核验、协议签署、证书签发全环节均由豸信CA直接执行。