Ondertekenaars & certificaten

Ondertekenaars & certificaten

Onboarden van een nieuwe ondertekenaar en het beheren van hun certificaat-lifecycle.

Een nieuwe ondertekenaar onboarden

Stap 1 — Gebruikersaccount aanmaken

1. User → New
2. E-mail + volledige naam
3. Rollen: Customer + Signer
4. Opslaan — gebruiker krijgt welkomstmail met inloggegevens

Stap 2 — Koppel aan een Klant (portaaltoegang)

Als de ondertekenaar via het portaal werkt:

1. Open het Customer-record
2. Portal Users-sectie → voeg de e-mail toe
3. Opslaan

De gebruiker kan inloggen op /orders en de Verkooporders van deze Klant zien.

Stap 3 — Signing Certificate aanmaken

1. Signing Certificate → New
2. User: de ondertekenaar
3. Identifier: licentie-/registratienummer (in het certificaat verankerd)
4. Validity: default 730 dagen (2 jaar)
5. Opslaan

Bij opslaan:

• Genereert EC-P256 sleutelpaar
• Geeft X.509-certificaat uit, getekend door uw CA
• Slaat keystore (encrypted) op in de database
• Status → Active

Stap 4 — Ondertekenaar stelt 2FA in

Bij eerste login:

1. Voert e-mail + wachtwoord in
2. Frappe toont een QR-code
3. Scant met authenticator-app
4. Voert 6-cijferige code in ter bevestiging

Login + ondertekenen vereisen vanaf nu de authenticator-app.

Self-service: certificaat aanvragen

Als de ondertekenaar inlogt en geen actief certificaat heeft, toont de Signing Certificates-portaalpagina (/signing-certificates) een knop Request Certificate. Een klik genereert automatisch een nieuw certificaat.

Certificaat-lifecycle

Een certificaat intrekken

1. Open het Signing Certificate van de ondertekenaar
2. Klik Revoke
3. Bevestig

Na intrekken:

• Status → Revoked
• Versleutelde keystore-data wordt verwijderd — cert kan nooit meer gebruikt worden
• CRL wordt opnieuw gepubliceerd
• Eerder ondertekende documenten blijven geldig — handtekening was geldig op het moment van ondertekenen

Certificate Revocation List (CRL)

De CRL staat op de URL in Signing Settings. Verifiërende partijen controleren of een cert is ingetrokken.

Meerdere certificaten per ondertekenaar

Een ondertekenaar kan meerdere Signing Certificates hebben — meestal één Active en eventueel oudere Expired/Revoked. Het systeem kiest het meest recente Active cert bij ondertekenen.

Velden zichtbaar voor de ondertekenaar

Op het portaal ziet de ondertekenaar van zijn eigen certificaten:

• Status (Active / Expired / Revoked)
• Identifier (licentienummer)
• Valid From / Valid Until
• Serienummer
• Downloadlink voor het publieke cert

Volgende

• Ondertekenen: Document tekenen
• Verificatie: Een handtekening verifiëren
• Security: Beveiliging & audit