PAdES, CAdES ve XAdES Farkı

Elektronik imza entegrasyonu planlayan ekipler PAdES, CAdES ve XAdES adlarını sık görür. Bunlar bir ürün adı veya tek başına hukuki uygunluk belgesi değildir; farklı teknik imza biçimleri için kullanılan standart aileleridir. Bu rehber, belge akışını tanımlamak için başlangıç çerçevesi sunar. TTR Bilişim ürününün belirli profil, cihaz veya sertifika uyumluluğu teknik incelemede ayrıca doğrulanmalıdır.

Üç formatın temel farkı

ETSI, PAdES için EN 319 142-1, XAdES için EN 319 132-1 ve CAdES için EN 319 122-1 standartlarını yayımlar. Bu kaynaklar formatı tanımlar; belirli bir yazılımın hepsini desteklediğini kanıtlamaz.

Dosya uzantısı tek başına seçim için yeterli mi?

Hayır. İmzalanacak belge türü başlangıç noktası olsa da alıcı kurumun beklediği profil, doğrulama sistemi, imzanın belgeye eklenme şekli ve saklama ihtiyacı birlikte değerlendirilmelidir. Örneğin PDF merkezli bir süreç PAdES değerlendirmesini gerektirebilir; XML tabanlı veri alışverişinde XAdES gündeme gelebilir. Ancak format seçimi yalnız “PDF mi XML mi?” sorusuyla tamamlanmaz.

Doğrulama ve zaman damgası neden ayrıca konuşulmalı?

İmza üretmek ile imzayı daha sonra doğrulamak farklı adımlardır. İşlem kaydı, sertifika zinciri, zaman damgası ve uzun süreli doğrulama gereksinimi kuruma ve belge akışına göre değişebilir. ETSI format ailelerinde farklı temel/uzatılmış profil seviyeleri bulunur; bir format adının sayfada geçmesi belirli bir seviyenin otomatik sağlandığı anlamına gelmez. İstenen profil ve doğrulama yöntemi yazılı teknik şartnameye dönüştürülmelidir.

Entegrasyon için teknik ekibe hangi soruları iletin?

1. Belge PDF, XML veya başka bir formatta mı? Aynı iş akışında birden çok tür var mı?
2. İmzalı çıktı hangi kuruma veya yazılıma gönderilecek; alıcı hangi format ve profili kabul ediyor?
3. İmza aracı, sertifika sağlayıcısı ve uygulama ortamı nedir?
4. Bir belgede kaç imzacı var; sıralı onay veya karşılıklı imza gerekecek mi?
5. İmzadan sonra doğrulama, zaman damgası, arşiv ve hata kayıtları nasıl yönetilecek?
6. Test örneği, kabul kriteri, canlı geçiş ve destek sorumluluğu kimde?

Bu sorular hukuki görüş veya ürün sertifikasyonu değildir. Teknik ve varsa hukuki uygunluk, uygulamanın gerçek belgeleri ve ilgili tarafların şartları görülerek teyit edilmelidir.

Kütüphane mi API mi?

Format seçimi, uygulama mimarisi seçiminden ayrıdır. Mevcut yazılıma kütüphane eklemek ile farklı sistemlere hizmet veren API katmanı kurmak farklı geliştirme ve işletim gereksinimleri doğurabilir. E-İmza Kütüphanesi ve E-İmza API sayfalarında hizmet yaklaşımını inceleyin. Belge örneği ve alıcı sistem şartlarıyla teknik görüşme talep edin; desteklenen format profilleri, lisans ve teslim kapsamı yazılı teklif öncesinde doğrulansın.