E-imza sertifikasının süresi dolunca imzalı belgeler ne olur?

Beş yıl önce imzaladığınız bir tedarik sözleşmesini açıyorsunuz ve PDF okuyucu sarı bir uyarı gösteriyor: "İmzacının sertifikasının süresi dolmuş." Sözleşme hâlâ geçerli mi, yoksa yeniden mi imzalatmak gerekiyor? Bu yazı bu sorunun cevabını ve arşivinizi buna göre nasıl kuracağınızı anlatıyor.

Sertifikanın süresi dolunca eski imzalar geçersiz olur mu?

Hayır. Bir elektronik imzanın geçerliliği, imzanın atıldığı ana göre değerlendirilir. İmza atıldığında sertifika süresi içindeyse ve iptal edilmemişse imza geçerlidir. Sertifikanın sonradan dolması, ıslak imzalı bir sözleşmeyi imzalayan kişinin kimlik kartının süresinin dolmasına benzer: imza yerinde durur.

5070 sayılı Kanun'un 9. maddesi nitelikli sertifikada bulunması gereken bilgiler arasında sertifikanın geçerlilik süresinin başlangıç ve bitiş tarihini sayar. Süre, sertifikayla imza üretilebilecek dönemi belirler. Bu dönemde üretilmiş imzanın hukuki sonucunu ortadan kaldırmaz.

O zaman uyarı neden çıkıyor?

Uyarı, doğrulama aracının imzayı bugünün tarihine göre kontrol etmesinden kaynaklanır. Araç imza anını bağımsız olarak bilemiyorsa ya da o andaki iptal durumuna ulaşamıyorsa, en temkinli sonucu gösterir. Sorun imzanın kendisinde değil, imzanın yanında saklanan bilgilerin eksik olmasındadır.

Bu eksikliği gidermek için üç bilgi gerekir:

1. İmza zamanı. İmzanın hangi anda atıldığını gösteren, bağımsız bir sağlayıcıdan alınmış zaman damgası.
2. Sertifika zinciri. İmzacının sertifikasının hangi sağlayıcıya ve hangi köke bağlandığı.
3. İptal durumu. Sertifikanın imza anında iptal listesinde olmadığını gösteren yanıt.

Bu üçü imzayla birlikte belgeye gömülmüşse, sertifikanın süresi dolsa da doğrulama aracı imzanın atıldığı anda geçerli olduğunu gösterebilir. PDF'lerde bu yapı PAdES B-LT seviyesine karşılık gelir; ayrıntısını PAdES yazısında anlattık.

Arşivdeki belgeler için ne yapmalı?

Arşivinizde zaman damgası olmayan eski e-imzalı belgeler varsa onları yeniden imzalatmak çoğu zaman gerekmez ve pratik de değildir. Bunun yerine şunları yapabilirsiniz:

• Belgeyi bugün bir doğrulama aracında açın ve raporu belgenin yanına kaydedin. Sertifika hâlâ geçerliyken alınan rapor, ileride imza anının yakınında doğrulandığını gösterir.
• Belgenin teslim alındığı e-postayı, platform kayıtlarını ve varsa işlem günlüğünü silmeyin. Bunlar imza zamanını destekleyen delillerdir.
• Uzun süre saklanacak yeni sözleşmelerde en baştan zaman damgalı ve doğrulama bilgisi gömülü imza kullanın.

Belgelerin ne kadar süre saklanması gerektiğini imzalanan belgeler ne kadar saklanmalı yazısında ele aldık.

Algoritmalar eskirse ne olur?

Sertifika süresinden daha uzun bir zaman ölçeğinde başka bir risk vardır: imzada kullanılan şifreleme yöntemlerinin zamanla zayıf sayılması. On beş yirmi yıl saklanacak belgelerde bu risk için arşiv zaman damgası kullanılır. Arşiv damgası, belgenin ve tüm doğrulama bilgilerinin belirli bir tarihte bu haliyle var olduğunu yeni bir damgayla sabitler ve gerektiğinde yenilenir. PAdES'te bu seviyeye B-LTA denir.

Her belge için B-LTA gerekmez. Kısa süreli bir teklif onayı ile otuz yıl saklanacak bir gayrimenkul sözleşmesi aynı koruma seviyesini istemez. Hangi seviyenin yeteceğini belgenin saklama süresi belirler.

Sertifika nasıl yenilenir?

Süresi dolmak üzere olan sertifika için sertifika sahibi yenileme başvurusu yapar.

Yenilemeyi süre dolmadan yapmak, imza beklenen bir belgenin son gün bekletilmesini önler. Kurumlarda imza yetkililerinin sertifika bitiş tarihlerini bir listede tutmak bu yüzden faydalıdır.

yepp'te sertifika süresi

yepp'te nitelikli e-imzayla imzalanan her PDF zaman damgalı ve uzun süreli doğrulama bilgileriyle oluşturulur. İmzacının sertifikasının süresi yıllar sonra dolduğunda bile belge, imzanın atıldığı anda geçerli olduğunu kendi içinde taşır. İmza anında sertifikanın iptal durumu kontrol edilir ve kanıtı saklanır; "imzalandı" durumu ile "bugün doğrulanabilir" sonucu ayrı gösterilir.

İmza sırasında süresi dolmuş ya da iptal edilmiş bir sertifika kullanılmak istenirse imza tamamlanmaz ve imzacı bilgilendirilir. Ayrıntılar için nitelikli e-imza sayfasına bakabilirsiniz.