數字化時代引入電子合同簽約系統，已是大勢所趨，在疫情隔離政策的大背景下，原本稀松平常的合同“蓋章”成為困難，將原先的紙質簽署轉變為電子簽署更是企業良好運營的必要之舉。

實務中，越來越多的電子合同糾紛類案件被大傢註意到，隨著司法機構對《電子簽名法》以及電子簽名技術的深入瞭解，電子合同存在的抵賴風險逐漸被證實，電子合同被判定為無效的案例不在少數，如何去分析市面上電子簽名的法律效力，為電子合同的抗抵賴提供法律風控保護，已經成為企業實現數字化必須要考慮的一大問題。

作為新興簽約方式，電子合同與紙質合同在法律可靠性方面存在區別：

傳統紙質合同之所以可靠，在於它依賴手寫簽名或公章用印，憑借簽名人長期養成的簽名字跡以及備案公章，確保他人無法替代簽名人完成簽名，實現合同最本質的抗抵賴特性。

電子環境下，是通過電子簽名制作數據完成合同簽署的，《電子簽名法》第三十四條對電子簽名制作數據做出解釋，是指在電子簽名過程中使用的，將電子簽名與電子簽名人可靠地聯系起來的字符、編碼等數據。簡單來說，就好比指紋或者多年形成的書寫痕跡，能夠清晰定位特定主體，表明簽名是由誰實施。誰掌握電子簽名制作數據，誰就能夠完成簽約，因此電子簽名制作數據的專屬與控制極為重要，《電子簽名法》第十三條與第十四條對可靠電子簽名的構成要件以及法律效力做出瞭明確規定：

《電子簽名法》第十四條明確規定，可靠的電子簽名與手寫簽名或者蓋章具有同等的法律效力，並在第十三條對可靠電子簽名進行瞭詳細規定，電子簽名同時符合下列條件的，視為可靠的電子簽名：

（一）電子簽名制作數據用於電子簽名時，屬於電子簽名人專有；

（二）簽署時電子簽名制作數據僅由電子簽名人控制；

（三）簽署後對電子簽名的任何改動能夠被發現；

（四）簽署後對數據電文內容和形式的任何改動能夠被發現。

對四要件進行分析不難發現：前2個要件，是指簽名行為隻能由簽名人本人實施，他人無法替代；後2個要件是指簽名內容與簽名結果無法被篡改，電子簽名必須滿足這些條件，才能成為具備抗抵賴能力的、不可否認的有效簽名。

電子簽名的實現方式多種多樣，使用數字證書的數字簽名是其中的一種，也是最為常見的一種。接下來，我們將以《電子簽名法》第十三條為準繩，對市面上常見的數字簽名法律效力問題進行深度剖析：

結合全國人大《電子簽名法釋義》第十六條以及國傢密碼管理局頒佈的GB/Z001《密碼術語》標準第2.113條的兩個定義，可以簡要概括出，“數字簽名是基於非對稱密碼技術的一種電子簽名方法，簽名者使用私鑰對數據電文進行簽名，簽名結果可以使用私鑰對應的公鑰進行驗證”，數字簽名模式下，能夠代表某主體身份的電子簽名制作數據就是此處提及的：私鑰。

市面上大多電子簽名服務商采用的SaaS中心化電子簽名，正是典型的數字簽名。我將通過SaaS電子簽名的服務流程，對其特征及存在的問題進一步分析：

SaaS中心化電子簽名服務流程圖

從SaaS電子簽名服務流程圖，足以看出簽名服務的中心化特點，其中最顯著的就是：在中心化平臺中，電子簽名制作數據也就是私鑰的專屬性與唯一控制性存在風險，SaaS電子簽名服務商掌握用戶的私鑰，並代替用戶申請電子認證，建立用戶與私鑰的專屬性。

如果你仔細查閱市面上的大部分電子簽名服務商的《使用協議》，你就會瞭解稱其為中心化電子簽名的緣由，《使用協議》中明確寫明，用戶確認委托平臺將其身份傳輸CA機構用於申請數字證書，也明確表示平臺托管數字證書，並且用於認證並簽署的簽名密鑰對也是由平臺申請並保管，不需要將私鑰傳送給用戶。

某SaaS電子簽名服務商的使用協議

從用戶的體驗方面，也可以驗證SaaS電子簽名的中心化特點：簽名人可以通過不同設備，如手機、pad抑或是電腦隨時隨地完成簽名，這給用戶的簽署帶來瞭極大便捷，但同時也意味著用於簽名的私鑰存儲於中心化的平臺服務器，簽名人用於簽名的私鑰都由中心的服務器負責管理，平臺掌握用戶簽名的全部資源。

此模式下，平臺仿若用戶的中心代理人，用戶需要簽名時通知雲平臺，雲平臺借助設置的安全門檻驗證無誤後，以用戶的名義調用私鑰完成簽署，這使得SaaS電子簽名無法同時滿足《電子簽名法》第十三條規定的電子簽名制作數據的專有和唯一控制性要件，當事人可以從以下四處提出抗辯，從而使得電子簽名存在抵賴風險：

一、平臺代替用戶向CA申請並保管數字證書

此處並不是說委托申請數字認證不合規定，而是說平臺如若掌握用戶姓名、身份證號碼等信息，是會存在私自申請數字證書的可能性，這與CA機構的實際運營模式情況有很大關系。

按照電子認證規則，CA機構需要嚴格依照電子認證業務規則完成電子認證；然而實務中，有些CA機構一味追求發證數量，私下將審核權限下放至大客戶，這造成瞭在用戶不知情狀況下，平臺私自以用戶身份申請數字證書，私自以其名義完成簽署。

正如（2020）粵01民終12365號裁判文書中，金融平臺在未經洪某某同意的情況下，代洪某某申請電子簽名證書，通過此數字簽名證書簽署的電子協議，自然不具備抗抵賴特性。

（2019）粵0112民初12565號裁判文書中，廣東省廣州市黃埔區人民法院認為，被告通過某簽約平臺為原告申請瞭一張數字簽名證書，但沒有證據顯示已經過原告同意，並由原告申請。被告在未經原告同意的情況下，代原告申請電子簽名證書，顯然違反瞭上述法律法規的規定，因此，上述協議的簽訂並不是原告的真實意思表示。

SaaS中心化電子簽名代申請保管數字證書的模式，往往會產生電子簽名抵賴風險，司法實務中越來越多的電子簽名案件因此被認定為無效。

二、平臺自主設置簽名前身份校驗的安全門檻

SaaS中心化電子簽名中，用戶點擊【去簽名】後，服務商會向用戶發送短信驗證碼或進行人臉識別，要求用戶輸入驗證碼或人臉識別通過後，即可實施簽名操作。

但無論此處使用短信驗證碼或者人臉識別，本質上都是服務商為調用私鑰簽名設置的安全門檻，驗證碼是服務商的服務器發送，校驗工作也由其完成，這就相當於遊戲主設置瞭遊戲規則，參與者必須遵守遊戲規則，但並不意味著遊戲主也必須遵守。

因此，此類的安全手段並不是絕對的安全。

三、實際調用私鑰完成簽名的行為由平臺實施

參考《使用協議》，平臺申請並保管用戶簽名密鑰對，用戶甚至都沒有經手密鑰，在簽名時，是由服務商接到用戶指令後，以用戶名義調用私鑰和數字證書，幫助用戶完成簽名行為。

簽名的實際體驗中，表面上是由用戶自主調用私鑰，在電子協議中完成簽名，但本質上操作主體是平臺。先不論信任與否的問題，平臺作為完全能力者，擁有在用戶未提出簽名申請時，就調用的能力。

四、簽名內容的更改

電子簽名行為發生在哪裡呢？是服務器？還是本地？

聯系到私鑰與數字證書就可以明白，簽名所需資源都存儲於雲服務器，簽名行為自然也是發生在服務商平臺。

簽名人通過電腦（手機等裝置）的顯示屏，看到待簽名的內容和表示同意的承諾，但對應的電子簽名痕跡卻並不是發生在簽名人的電腦上，而是在簽名業務運營方的遠端服務器上產生，簽名行為與簽名痕跡相互分離，無法實現將簽名痕跡與簽名者認可內容的直接綁定。

在這種不可靠的電子簽名方案中，由於簽名痕跡與被認可的簽名內容不具有不可分離的綁定作用，使得用戶得以就此流程，提出“簽名內容被調包”、“我簽的不是這個內容”的否認抗辯。

中心化平臺在電子簽署流程風控的瑕疵，最終將會導致電子合同產生抵賴風險，無法實現同紙質簽名相同的抗抵賴效果，給合同當事人造成潛在的損失。

除此以外，采用中心化電子簽約平臺，還會出現撤銷授權後私鑰與數字證書無法銷毀，以及商業機密泄露的風險。此前發生的“中信銀行事件”，就是中心化管理所滋生的弊端，2020年5月，中信銀行發佈道歉信，稱其內部員工違規盜取並泄露客戶信息，引發網友們的高度關註。銀行這樣的權威機構都存在私自竊取信息的現象，原因就在於傳統的中心化存儲方式，所有數據都由幾大數據中心巨頭統一管理，所以，當個人數據被私自查看，用戶卻一無所知。

企業亟需正視電子合同的法律風險，不可以持有僥幸心理，須知這種電子合同因抵賴產生糾紛的敗訴案件雖是低頻事件，卻是系統性的，一旦有一起電子合同因中心化被判定為無效，企業所簽署的電子合同或許都面臨被推翻的風險。企業為追求高效便捷引入中心化電子合同平臺，而犧牲電子合同本身安全可靠性的行為，實不可取！

既然中心化的平臺存在這些問題，要想消除電子合同的抵賴風險，就必須實現去中心化。

去中心化的實質，是撤銷對中心的信任委托，不依賴於對系統的無條件信任，將控制權回歸本人。去中心化的電子簽約平臺，排除平臺對電子簽名制作數據的控制，使得電子簽名制作數據僅用戶知曉、簽名必須由用戶實施，確保包括系統在內的任何人都無法代替用戶實施簽約行為，從而實現電子合同的抗抵賴效果。

此外，理想的電子合同系統，除瞭去中心化架構，還要確保簽約行為發生在本地服務器，確保所見即所得，並且借助內外網隔離的部署方式，排除機密內容外泄，保護企業的商業機密。

若是企業預備引入電子合同系統，在考察各電子合同服務商時，不妨多問以下幾個問題，“數字證書是誰申請的？”、“電子簽名制作數據是什麼？保管在哪裡？”、“如何保障制作數據唯一控制？”，以檢測電子合同系統是否是中心化以及信息安全保護等級。在眾多電子合同服務商中，堅定不移地選擇去中心化平臺，在保障法律有效性的前提下，追求便捷性，確保企業完成高質量數字化轉型，實現高質量發展。