署名を検証
署名がファイル全体を対象にしているかどうかも含めて、署名済みのPDFを確認します。
このツールはブラウザーの中だけで動きます。ファイルがアップロードされることはなく、そのことはブラウザーのネットワークタブでご自身で確認できます。 ご自分で確かめてください。ブラウザーのネットワークタブを開いて見てください。残りの作業回数を尋ねる小さなリクエストが1つだけ表示されます。ツール名とハッシュだけで、ファイルは決して含まれません。
このツールでできること
This checks the digital signatures inside a PDF and writes a report. It asks four separate questions and never collapses them into one tick: does the signature cover the whole file, does the digest still match, does the signature verify against the certificate embedded with it, and is that certificate one you should trust. The last is answered honestly - there is no trust store here, so the report says not checked.
Whenever a signed document matters and you did not produce it: an invoice that claims to be signed, a contract returned by a counterparty, a certificate sent as proof of something. It is also worth running on your own output, to see what the recipient's reader will report.
仕組み
- Drop the signed PDF onto this page.
- Leave certificate details on to see the subject, the issuer, the validity dates and the serial number in the report.
- Press Verify signature. A document with no signature field says so plainly and points you at Digital signature, rather than reporting a failure.
- Read the report. Each signature gets its own section, and every line is marked ok, information, warning or danger.
- Keep the report as a web page, or switch the format to JSON under advanced options if something else is going to read it.
The check most verifiers skip is whether the signature covers the whole file. A PDF signature covers only the byte ranges named in its /ByteRange array, so a forged document can carry a perfectly valid signature over the first two pages and an appended third page that nobody signed. A verifier that asks only whether the CMS validates reports that as signed and intact, which is why it is the first line of this report.
Certificate trusted: not checked is the honest answer, and it is deliberate. Deciding whether a certificate belongs to whoever it names requires a trust store and, for revocation, a call to the issuer - and this tool ships no trust store and contacts no issuer. So the report shows the subject, the issuer and the validity window and asks you to compare them against what you expected.
Read the four lines together rather than looking for a verdict. Covers the whole document and document unchanged tell you the bytes are as they were signed; signature verifies tells you the private key matching the embedded certificate produced it. An expired certificate is a warning rather than a failure, because a signature made before expiry stays valid - though without a timestamp nothing proves when it was made.
A document signed with a picture of a signature has nothing here to check, and the report says no signature field rather than pretending otherwise. That is not evidence of anything wrong - most everyday signing is done that way - but the file carries no evidence of its own integrity, and no tool can supply that afterwards.
このツールにできないこと
- There is no trust store and no network access, so the report cannot say whether a certificate belongs to whoever it names.
- Revocation is not checked. A certificate revoked after it was issued verifies here exactly like one that was not.
- Timestamp tokens are not validated, so any signing time shown is the signer's claim rather than evidence.
- A drawn or scanned signature image carries nothing cryptographic to check; only certificate-based signatures produce a report.
よくある質問
- 実際には何を確認しているのですか？
- 4つのことを、それぞれ分けて報告します。署名の対象となるバイト範囲がファイル全体を覆っているか、ドキュメントのダイジェストが今も一致するか、一緒に埋め込まれた証明書に対してCMS署名が検証できるか、そしてその証明書に何が書かれているかです。1つの判定にまとめてしまうと不正な署名が良いものに見えてしまうため、それぞれに行と重大度を割り当てています。
- 証明書が信頼されていない、と出るのはなぜですか？
- 表示しているのは「未確認」で、これは別の意味です。信頼を確認するには、証明書を認証局のストアと突き合わせ、失効していないかを発行元に問い合わせる必要がありますが、どちらもこのツールが使わないネットワークを必要とします。表示されたサブジェクトと発行者を、想定していたものと見比べてください。
- 署名がドキュメント全体を覆っていない、とはどういう意味ですか？
- ファイルの一部が、署名の対象となるバイト範囲の外にあるということです。署名が適用されたあとに内容が追加されています。前の部分に対する署名は問題なく検証できても、追加された部分は署名されていません。残りについて署名が何を示していようと、範囲の外にあるものはすべて未検証として扱ってください。
- ページに署名が見えているのに、署名はないと報告されます。なぜですか？
- それが署名ではなく絵だからです。手書き署名の画像はごく普通のページの内容で、その背後に暗号的なものは何もないため、検証できるものが存在しません。たいていの書類ではそれで問題ありませんが、そのファイルからは署名後に改変されたかどうかを知ることはできません。
- 検証のためにドキュメントはアップロードされますか？
- いいえ。検証はブラウザーの中のWeb Workerで動き、認証局への問い合わせも行いません。信頼について断定せず未確認のままにしているのは、そのためでもあります。ダウンロードするレポートも、お使いの端末で生成されたものです。