E-imzalı belge nasıl doğrulanır?

Bir tedarikçiden "imzalı sözleşmeyi ekte gönderiyoruz" e-postası geldi. Dosyanın altında bir imza bloğu var. Bu belgeye güvenebilir misiniz? Bir e-imzalı belgeyi doğrulamak, imzanın görünüşüne bakmak değil, imzanın içindeki bilgileri kontrol etmektir. Aşağıdaki beş adım bunun için yeterli.

1. Belge imzadan sonra değişmiş mi?

İlk kontrol en temel olanıdır. Güvenli elektronik imza, belgenin imza anındaki içeriğinden çıkarılan özete bağlıdır. Doğrulama aracı belgenin şimdiki özetini yeniden hesaplar ve imzadaki özetle karşılaştırır. İkisi eşleşmiyorsa belge imzadan sonra değiştirilmiştir. 5070 sayılı Kanun'un 4. maddesi güvenli elektronik imzadan tam olarak bu tespiti yapabilmesini ister.

Bu kontrol başarısızsa diğerlerine bakmaya gerek yoktur: belge, imzalanan belge değildir.

2. Sertifika nitelikli mi?

İmzanın arkasındaki sertifika "nitelikli elektronik sertifika" olmalıdır. Kanunun 9. maddesi nitelikli sertifikada bulunması gerekenleri sayar: sertifikanın nitelikli olduğuna dair ibare, sertifika hizmet sağlayıcısının kimliği, imza sahibinin kimlik bilgileri, geçerlilik süresi, seri numarası ve sağlayıcının kendi güvenli elektronik imzası. Doğrulama aracı bu ibareyi ve alanları okur.

Nitelikli olmayan bir sertifikayla atılan imza da elektronik imzadır, ama güvenli elektronik imza değildir ve ıslak imzayla eşit sayılmaz.

3. Sertifika güvenilir bir köke bağlanıyor mu?

Her sertifika, onu düzenleyen sağlayıcının sertifikasına, o da bir kök sertifikaya bağlıdır. Doğrulama aracı bu zinciri kökten imzacıya kadar takip eder ve kökün güvenilir listede olup olmadığına bakar. Türkiye'de yetkilendirilmiş sağlayıcıların kökleri genel amaçlı PDF okuyucuların listesinde her zaman bulunmaz. Bu yüzden "geçerliliği bilinmiyor" uyarısı sık görülür; asıl kontrol Türkiye köklerini tanıyan bir araçla yapılmalıdır.

4. Sertifika imza anında geçerli miydi?

Sertifikalar süresi dolmadan iptal edilebilir: kart kaybolur, çalışan ayrılır, bilgiler değişir. Doğrulama aracı sertifikanın imza anında iptal listesinde olup olmadığını kontrol eder. Uzun süre saklanan belgelerde bu bilginin imza anında alınıp belgeye eklenmiş olması gerekir; aksi halde yıllar sonra o anki durumu göstermek zorlaşır. PDF'te bu yapının nasıl kurulduğunu PAdES yazısında anlattık.

5. İmza zamanı bağımsız olarak belgelenmiş mi?

İmzacının bilgisayarındaki saat değiştirilebilir. Bu yüzden imza zamanının bir elektronik sertifika hizmet sağlayıcısının zaman damgasıyla belgelenmesi önemlidir. Zaman damgası, imzanın en geç o anda var olduğunu üçüncü bir tarafın imzasıyla kanıtlar. Zaman damgası nedir yazısında bu konuyu ayrıca ele aldık.

Doğrulama sonucu nasıl okunur?

Doğrulamayı kim yapmalı?

Belgeyi teslim alan taraf doğrulamayı belge gelir gelmez yapmalıdır. Sözleşme arşive kaldırıldıktan aylar sonra bir sorun fark etmek, karşı taraftan düzeltilmiş belge istemeyi zorlaştırır. Kurumlarda bu iş çoğu zaman sözleşmeyi takip eden birimin ya da hukuk ekibinin sorumluluğundadır; ama her çalışanın kullanabileceği basit bir doğrulama adımı tanımlanırsa yük tek kişide toplanmaz.

Pratik bir kural olarak şunları uygulayabilirsiniz:

1. Gelen her imzalı belgeyi arşive kaldırmadan önce doğrulama aracında açın.
2. Sonucu ekran görüntüsü ya da doğrulama raporu olarak belgenin yanına koyun.
3. Sonuç "geçerli" değilse belgeyi işleme almayın, karşı taraftan aslını isteyin.
4. İmzacının sertifikasındaki adın, sözleşmede imza yetkilisi olarak yazan kişiyle aynı olduğuna bakın.

Son adım sık atlanır. Teknik olarak kusursuz bir imza, şirket adına imza yetkisi olmayan bir çalışana ait olabilir. Bu durumda imza geçerlidir ama şirketi bağlayıp bağlamadığı ayrı bir sorudur.

Mahkemede doğrulama

Hukuk Muhakemeleri Kanunu'nun 205. maddesine göre hâkim, sunulan belgenin güvenli elektronik imzayla oluşturulup oluşturulmadığını kendiliğinden inceler. Gerekirse bu inceleme bilirkişiye yaptırılır. Yukarıdaki beş kontrol, bu incelemenin de temelini oluşturur.

yepp'te doğrulama

yepp'te imzalanan her belgenin üzerinde bir doğrulama kodu ve QR bulunur. Kodu yepp.tr/vfn adresine yazan ya da QR'ı okutan herkes belgenin durumunu, yöntemini ve nitelikli imzalarını görür; elindeki PDF'i seçerek kayıttaki sürümle aynı olup olmadığını tarayıcıda karşılaştırabilir. Her işlemin zaman damgalı delil paketi, yepp'e ihtiyaç duymadan bağımsız araçlarla da doğrulanabilir.