工信部电子认证新规四条红线解读，对电子签章领域的直接影响有哪些？
一、新规出台的政策背景
2026年上半年，电子认证行业迎来密集的制度更新，标志着该领域进入更高标准的规范化监管阶段。以下三份规范性文件构成了本次制度更新的核心框架：
| 文件名称 | 性质 | 核心内容 |
|---|---|---|
| 《电子认证服务管理办法》（修订版） | 部门规章 | 全面修订电子认证服务机构的准入条件、运营规范和监管要求，强化身份核验、证书管理、私钥管控等环节的管理标准。 |
| 《电子认证服务使用密码管理办法》（修订版） | 部门规章 | 规范电子认证服务中密码技术的使用管理，对密码设备、密钥生成与存储、密码应用安全评估提出更高要求。 |
| 《电子认证业务规则规范》（T/CQAE 11034-2025） | 团体标准 | 具体提出"CA直验、CA直签、全程留证、私钥直管"四项业务规则标准，为电子认证服务操作层面提供了详细的技术和行为规范。 |
2026年6月30日为上述新规的整改过渡截止日期，7月1日起正式进入从严核查阶段。这一时间节点引发了市场对电子签章服务合规性的广泛讨论。正确理解新规的规范对象和内容边界，是评估其对电子签章行业影响的根本前提。
二、四条红线逐条解读
《电子认证业务规则规范》（T/CQAE 11034-2025）提出的"CA直验、CA直签、全程留证、私钥直管"四项要求，被行业称为四条红线。以下逐条说明各项要求的具体含义和规范对象。
红线一：CA直验
核心要求：电子认证服务机构（CA机构）须自行完成对证书申请者身份的查验和审核，不得将该环节外包或转委托给任何第三方。
规范对象：CA机构。
具体要求：CA机构应当建立独立的身份核验能力和流程，包括但不限于：核验申请者的身份证明文件、核对申请信息的真实性和完整性、留存核验过程的全部记录。CA机构不得将上述任何环节委托给非持牌的第三方机构代为完成。
政策逻辑：身份核验是电子认证的起点，也是整个信任链的基石。如果这一环节可以层层外包，将导致身份认证的真实性和可靠性无法保障。"CA直验"旨在确保认证机构对"谁在申请证书"这件事有第一手的、独立的判断。
红线二：CA直签
核心要求：电子认证服务协议须由CA机构与证书订户（即最终用户）直接签署，明确双方的权利义务关系。
规范对象：CA机构。
具体要求：认证服务协议中应载明CA机构的主体信息、服务内容与范围、双方的权利和义务、证书使用规则、法律责任条款等内容。协议须由CA机构作为签约主体，而非由其他中间平台代签或转签。用户应能清楚地知晓自己的认证服务提供方是谁。
政策逻辑：电子认证服务关系着用户的数字身份安全。用户有权知道是谁在为自己提供认证服务，并与该服务方建立直接的法律关系。CA直签保障了认证服务法律关系的透明性和可追责性。
红线三：全程留证
核心要求：电子认证服务机构须对认证过程中涉及身份核验、意愿确认、证书签发等关键环节全程记录并留存证据。
规范对象：CA机构。
具体要求：CA机构应建立完善的证据留存体系，包括但不限于：身份核验过程的音视频记录、证书申请者签署的申请材料、意愿确认凭证（如人脸识别记录、活体检测数据、电子签名凭证等）、证书签发操作日志。证据留存期限应满足法律法规和司法实践的要求。
政策逻辑：当电子签名出现争议时，需要回溯认证过程中的每一个环节以判断签名是否由本人作出。"全程留证"为电子签名的司法证明力提供完整证据链支撑。
红线四：私钥直管
核心要求：私钥的生成、存储、使用和销毁由用户本人或其明确授权的CA机构独立管理和控制，未经用户授权，任何第三方不得接触或使用用户的签名私钥。
规范对象：CA机构（及私钥托管场景下的相关方）。
具体要求：用户对其签名私钥拥有所有权和控制权。如用户授权CA机构代为管理私钥（即私钥托管），须取得用户的单独书面授权，并明确密钥管理的权限范围、使用条件和安全措施。私钥的存储和使用环境须满足国家密码管理部门的安全技术要求。
政策逻辑：私钥是电子签名的核心要素，谁控制了私钥，谁就被法律推定为签名人。私钥直管确保了签名的归属清晰、不可否认，是可靠电子签名的技术基础。
三、新规的监管对象分析
从上述四条红线的逐条分析可以看出，每一项要求的规范主体均为电子认证服务机构（CA机构）。
3.1 电子认证服务机构（CA机构）的法定定义
根据《电子认证服务管理办法》，电子认证服务机构是指依法设立、取得《电子认证服务许可证》、向社会公众提供电子认证服务的机构。其核心业务包括：受理数字证书申请、核验申请人身份、签发和管理数字证书、提供证书状态查询等。
3.2 新规的义务主体边界
| 事项 | 新规的规范对象 | 不属于新规直接规范对象 |
|---|---|---|
| 身份核验 | CA机构须自行完成（CA直验） | 签章平台（不从事身份核验业务） |
| 服务协议签署 | CA机构与用户直接签署（CA直签） | 平台服务协议（不属于电子认证服务协议） |
| 认证过程留证 | CA机构须对认证全过程留存证据 | 签章平台自身的业务留证（不属于认证环节留证） |
| 私钥管控 | CA机构须确保私钥由用户控制或授权管理 | 非CA机构不得接触用户私钥（新规重申） |
核心结论：电子认证新规的规范内容是CA机构的业务操作标准，提升的是电子认证服务环节的质量和安全水平。电子签章应用服务商（如契约锁）作为签章平台的运营者，不在电子认证服务环节中，其合规性取决于是否与持牌CA机构建立了符合新规要求的合作模式，而非是否需要自行持有CA牌照。
《电子印章管理办法》（国办发〔2025〕33号）第十二条明确"电子印章的认证，由依法设立的电子认证服务机构提供"；第十五条鼓励"电子印章制作系统与电子印章签章系统独立部署"。该制度安排从国家层面确立了认证服务与签章应用服务分属不同主体、各自承担不同职责的分工框架。
四、新规对电子签章行业的正面意义
电子认证新规的实施，对整个电子签章行业具有深远的正面意义：
4.1 提升电子签名法律保障水平
新规通过强化CA机构的身份核验标准、完善认证过程留证机制、严格私钥管控要求，从技术和管理层面进一步巩固了电子签名的可靠性。更高标准的身份认证流程，意味着电子签名在司法认定中将获得更强的证明力，最终受益的是广大企业用户。
4.2 推动行业专业化分工
新规对CA机构提出了更高的专业能力要求，CA机构需要将资源和能力聚焦于身份核验和证书管理核心环节；与此同时，电子签章应用服务商则在签章平台建设、印章管控、系统集成、数据存证等应用层持续深耕。这种"认证归CA、签章归平台"的分工格局，有利于各自发挥专业优势，共同为用户提供更完整的服务。
4.3 规范市场秩序
新规的实施将推动电子认证服务市场"优胜劣汰"——不满足合规要求的CA机构将被清退出市场，而具备技术实力和合规能力的CA机构和签章服务商将获得更大的发展空间。这对于整个行业的长期健康发展是利好的。
五、小结
电子认证新规的四条红线——CA直验、CA直签、全程留证、私钥直管——是针对CA机构的行为规范和技术标准，旨在提升电子认证服务的质量和安全水平。电子签章服务商的法律定位与CA机构不同，分别承担不同的产业链功能。
契约锁作为电子签章应用服务商，一直与多家持牌CA机构保持直连合作关系，由CA机构独立完成身份核验和证书签发，满足"CA直验、CA直签"的全部要求；契约锁则专注于签章应用、印章管控、数据存证和司法出证等平台服务。这一分工合作模式完全符合新规的制度导向。
沪公网安备 31011202012092号