Underskriftstjänst
Med en fristående underskriftstjänst kan användaren skriva under en handling elektroniskt med sin e-legitimation. Här kan du läsa mer om hur det fungerar, och hitta det du behöver för att utveckla en egen fristående underskriftstjänst.
Det här är en fristående underskriftstjänst
En fristående underskriftstjänst är en delkomponent i ett system för e-underskrift, där användaren använder sin e-legitimation för att uttrycka sin avsikt att skriva under en handling medan e-underskriften skapas i den fristående underskriftstjänsten. Det gör att användare med en e-legitimation kan skriva under även om själva e-legitimationen inte innehåller den teknik som krävs för att skapa en e-underskrift.
Öppen källkod för fristående underskriftstjänst
Vi tillhandahåller öppen källkod som du kan använda för att utveckla en egen underskriftstjänst. Källkoden är baserad på specifikationerna för fristående underskriftstjänster i tekniskt ramverk för Sweden Connect.
Här hittar du öppen källkod och dokumentation:
För att implementera en underskriftstjänst baserad på vår öppna källkod behöver du ha teknisk kunskap om hur en underskriftstjänst fungerar. Du hittar specifikationer för underskriftstjänsten i tekniskt ramverk för Sweden Connect.
Tekniskt ramverk för Sweden Connect (swedenconnect.se)
Länk till annan webbplats.
Skaffa stöd för alla steg i processen
Fristående underskriftstjänst är en komponent av flera som krävs för att det ska vara möjligt att skriva under elektroniskt. Du behöver också ha dessa delar på plats:
- E-tjänst och e-legitimering
- En certifikattjänst
- En integration mellan e-tjänsten och underskriftstjänsten.
Du kan läsa kort om dem nedan.
E-tjänst och e-legitimering
Användaren måste vara identifierad innan hen skickas till den fristående underskriftstjänsten för att göra själva underskriften. Den e-tjänst som användaren ska skriva under i behöver därför ha möjlighet att hantera e-legitimering enligt Sweden Connects modell.
För att användare med utländska e-legitimationer ska kunna skriva under i en fristående underskriftstjänst krävs också anslutning till Sveriges eIDAS-nod, som tillhandahålls av oss på Digg. Följ gärna våra rekommendationer för offentliga aktörer när du inför e-legitimering i verksamheten.
Erbjud inloggning med utländska e-legitimationer
Sweden Connect Länk till annan webbplats.
Tänk också på att användargränssnittet för legitimering och underskrift behöver uppfylla lagen (2018:1937) om tillgänglighet till digital offentlig service.
Certifikattjänst
Undertecknarens identitet knyts till underskriften genom ett underskriftscertifikat. Underskriftstjänsten behöver därför kopplas till en certifikattjänst som utfärdar underskriftscertifikat i samband med underskriften.
Certifikattjänster utfärdar certifikat enligt ett definierat regelverk, en så kallad certifikatpolicy. I ett sådant regelverk kan certifikattjänster delegera ansvaret att verifiera användarens identitet till en lokal registreringstjänst (RA). När en fristående underskriftstjänst använder en extern certifikattjänst så agerar underskriftstjänsten som RA gentemot certifikattjänsten genom att ta hand om legitimering av undertecknaren. Certifikattjänsten utfärdar sedan underskriftscertifikat baserat på dessa uppgifter från underskriftstjänsten.
Det är också möjligt för underskriftstjänsten att själv agera certifikattjänst för att på så sätt förenkla integration och fördelning av ansvar såväl som personuppgiftsansvar. Certifikattjänster finns både i form av kommersiella alternativ och som öppen källkod.
Öppen källkod för certifikattjänst (github.com) Länk till annan webbplats.
Integration
Det behövs också en integration mellan e-tjänsten och underskriftstjänsten, för att bland annat skapa en begäran om underskrift och ta emot och hantera underskriftssvaret. Du kan utveckla integrationen på egen hand eller med hjälp av ett så kallat software development kit (SDK). SDK för underskriftstjänst finns som öppen källkod.
SDK för underskriftstjänst som öppen källkod (github.com) Länk till annan webbplats.
Så fungerar fristående underskriftstjänst
Process för underskrift
Att skriva under med hjälp av en fristående underskriftstjänst sker i en process där flera systemdelar samverkar. Här kan du läsa kort om hur det går till:
- E-tjänsten sammanställer handlingen som ska skrivas under, presenterar den för användaren och erbjuder användaren att skriva under.
- E-tjänsten skapar en begäran om underskrift baserat på handlingen som ska skrivas under, med bland annat en kontrollsumma för handlingen. Kontrollsumman är unik och om endast ett tecken ändras i handlingen så blir kontrollsumman en annan. Dokumentet som ska skrivas under ingår dock aldrig i begäran, eftersom underskriftstjänsten krypterar den bifogade kontrollsumman i stället för hela dokumentet.
- E-tjänsten styr användaren till den fristående underskriftstjänsten med begäran om underskrift.
- Den fristående underskriftstjänsten kontrollerar begäran om underskrift och skickar sedan användaren till sin legitimeringstjänst, där användaren legitimeras och intygar sin avsikt att skriva under. För att säkerställa att användaren förstår vad som ska skrivas under så visas ett underskriftsmeddelande med information om handlingen som ska undertecknas, och som användaren måste godkänna.
- Användaren styrs tillbaka till den fristående underskriftstjänsten som tar emot och kontrollerar identitetsintyg från legitimeringstjänsten. Underskriftstjänsten genererar en nyckel och ett certifikat och skapar underskriften enligt begäran.
- Användaren styrs till e-tjänsten som tar emot och kontrollerar uppgifter om genomförd underskrift. E-tjänsten skapar sedan en komplett underskriven handling, undertecknad av användaren, genom att infoga den mottagna underskriften i handlingen som skrevs under.
E-tjänsten skickar sedan den underskrivna handlingen för vidare hantering i den verksamhet där informationen ska användas. Hur handlingen hanteras därefter, till exempel om handlingen diarieförs eller vilket kvitto som sänds till användaren, beror på vilken information det gäller och vilken verksamhet som det handlar om.
Avancerade eller kvalificerade underskrifter med fristående underskriftstjänst
En fristående underskriftstjänst tillhandahåller en avancerad e-underskrift. Det är också möjligt att använda en fristående underskriftstjänst för att skapa kvalificerade e-underskrifter, då krävs att både underskriftstjänsten och organisationen som tillhandahåller den granskas och godkänns av PTS enligt eIDAS-förordningens regler för kvalificerade betrodda tjänster. Underskriftstjänsten måste också användas tillsammans med en utfärdare av kvalificerade certifikat.
På PTS webbplats kan du läsa mer om kvalificerade betrodda tjänster och hur PTS arbetar med att granska dem.
Behöver du hjälp?
Har du några frågor om källkoden till underskriftstjänsten eller har du hittat några fel i koden? Kontakta oss så hjälper vi dig!
Vanliga frågor och svar
När en handling ska skrivas under med stöd av den fristående underskriftstjänsten skapas en kontrollsumma för den handling som ska skrivas under. Kontrollsumman tas fram genom en matematisk beräkning av all information som ingår i handlingen.
Kontrollsumman är unik och om ett enda tecken ändras i handlingen så blir kontrollsumman en annan. Det innebär att det direkt är möjligt att upptäcka om något har ändrats i handlingen efter att den skrivits under. Samtidigt är det inte möjligt att ur kontrollsumman kunna utläsa något av innehållet i handlingen.
När du skriver under ett fysiskt dokument med penna kan det vara viktigt att sidorna är numrerade och att du signerar varje sida. När en elektronisk underskrift görs behövs inte det, eftersom kontrollsumman gäller hela innehållet i dokumentet.
En elektronisk underskrift innehåller förutom kontrollsumman även information om det certifikat som användes när underskriften skapades, och tidpunkten för underskriften.
Om myndigheten inte har någon egen underskriftslösning som du kan använda behöver du skaffa en egen lösning för att skriva under dokument som ska skickas in till dem.
Vissa myndigheter har lagkrav som styr hur underskriften ska se ut, och det är den myndighet som tar emot den underskrivna handlingen som behöver bedöma om handlingen uppfyller kraven.
Vi kan därför inte svara på om en specifik underskriftslösning fungerar just i ditt fall.
Förordningen (EU) nr 910/2014
Länk till annan webbplats.(eIDAS-förordningen) delar in e-underskrifter i tre kategorier: elektronisk underskrift, avancerad elektronisk underskrift och kvalificerad elektronisk underskrift. Det är vanligt att myndigheter och andra offentliga aktörer ställer krav på avancerad elektronisk underskrift, och dessa behöver inte vara godkända, certifierade eller liknande. Det som krävs är att de uppfyller kraven i eIDAS-förordningen. Kraven är bland annat att underskriften ska vara unikt kopplad till och kunna identifiera den som skrivit under, och att det i efterhand ska gå att upptäcka eventuella ändringar.
Vi föreslår att du för en dialog med myndigheten som du ska skriva under hos, och beskriver förutsättningarna för den lösning som du planerar att använda för att skriva under en handling hos dem.
Ditt svar hjälper oss att förbättra sidan
Senast uppdaterad: