FAQ
Wat gebeurt als het cert van een ondertekenaar verloopt?
De ondertekenaar kan geen nieuwe documenten ondertekenen tot een beheerder een nieuw Signing Certificate aanmaakt. Eerder ondertekende documenten blijven geldig — de handtekening was geldig op het moment van ondertekenen.
Wat als iemand een ondertekende PDF wijzigt?
De handtekening wordt ongeldig. Elke PDF-viewer met PAdES-controle rapporteert het document als gemanipuleerd. De SHA-256-hash in de Signature Log matcht ook niet meer — duidelijk audit-bewijs.
Kan een document door meerdere ondertekenaars worden ondertekend?
Op dit moment ondersteunt elk document één handtekening. Na de eerste wordt de status "Signed" en is verdere ondertekening uitgeschakeld. Multi-signer-ondersteuning staat op de roadmap.
Welke authenticator-apps worden ondersteund?
Elke TOTP-compatibele app:
- Google Authenticator
- Authy
- Microsoft Authenticator
- 1Password
- Bitwarden Authenticator
- Duo Mobile
SMS-based 2FA wordt niet ondersteund (SIM-swap-risico).
Kan ik ondertekenen zonder 2FA?
Alleen als de beheerder Require 2FA voor dat DocType in Signable DocTypes heeft uitgeschakeld. Niet aanbevolen voor gereguleerde of klantgerichte ondertekening.
Wat als de TSA onbereikbaar is?
Voor PAdES-B-T en hoger vereist ondertekenen TSA-toegang. Bij onbereikbaarheid faalt ondertekenen — geen auto-fallback. Opties:
- Wachten en opnieuw proberen
- Een andere TSA configureren in Signing Settings (bv. DigiCert)
- Tijdelijk het niveau wijzigen naar PAdES-B-B (alleen voor noodgevallen)
Hoe lang zijn handtekeningen geldig?
| Niveau | Geldigheid |
|---|---|
| B-B | Zolang het cert geldig is (meestal 2 jaar) |
| B-T | Tijdstempel bewijst ondertekentijd indefinitely; validatie vraagt soms online CA-toegang |
| B-LT | Self-contained — offline verifieerbaar voor jaren |
| B-LTA | Decennia — bestand tegen algoritme-veroudering |
Zie Handtekening-niveaus.
Waar zie ik de audit-log?
Signature Log in het Frappe-desk. Filter op document, ondertekenaar, datum of status. Elke ondertekenpoging (succes en fout) staat erin.
Kan een ondertekende PDF worden ontdaan van de handtekening?
Nee. De handtekening is een cryptografisch zegel in de PDF — verwijderen breekt de handtekening. De enige manier om "ongetekend" terug te krijgen is een aparte ongetekende kopie bewaren vóór ondertekenen.
Verschil tussen AES en QES?
- AES (Geavanceerde Elektronische Handtekening) — wat deze app biedt. Identificeert de ondertekenaar uniek, ondertekenaar heeft alleenrecht over de sleutel, documentintegriteit gegarandeerd. Sterke juridische status in de EU, vooral met tijdstempel.
- QES (Gekwalificeerde Elektronische Handtekening) — voegt een Qualified Certificate van een EU-Trust-List-CA toe en meestal een hardware token. Onder eIDAS gelijkwaardig aan handgeschreven handtekening. Vereist een Qualified Trust Service Provider.
Voor de meeste zakelijke ondertekening is AES voldoende en juridisch bindend. QES alleen voor specifieke gereguleerde gevallen.
Werkt dit offline?
Ondertekenen vereist online toegang (TSA, eventueel CRL). Verificatie van B-LT en B-LTA kan offline. B-B en B-T-verificatie vragen meestal online CA / CRL-toegang.
Kunnen ondertekenaars een hardware token gebruiken?
Nog niet. De privésleutel staat encrypted in de database. Hardware token-ondersteuning (PKCS#11) staat op de roadmap voor QES-gevallen.
Hoe gaat dit om met de AVG?
Het Signing Certificate bevat naam en (optioneel) professioneel identifier. De audit-log legt ondertekenings-events met IP vast. Beide worden verwerkt op basis van uitvoering van de overeenkomst / gerechtvaardigd belang, afhankelijk van uw setup. Ondertekenaars kunnen inzage opvragen via de standaard ERPNext data-export-tools.
Gerelateerd
- Overzicht — basis
- Aan de slag — beheer-setup
- Document tekenen — dagelijkse flow
- Ondertekenaars & certificaten — beheer
- Handtekening-niveaus — PAdES-niveaus
- Een handtekening verifiëren — voor verifiërende partijen
- Beveiliging & audit — security-model