Jak podpisać plik XML podpisem kwalifikowanym

Jak podpisać plik XML podpisem kwalifikowanym?

Podpis kwalifikowany XML składa się z finalnego pliku, ważnego certyfikatu X.509 i aplikacji obsługującej profil wskazany przez odbiorcę, najczęściej XMLDSig lub XAdES. Rozporządzenie eIDAS obowiązuje w UE od 2014 roku, lecz nie narzuca jednego ustawienia podpisu dla wszystkich plików XML - o formacie decyduje konkretna procedura i system odbiorcy.

Największy błąd widzę nie przy wpisywaniu PIN-u, ale wcześniej: użytkownik wybiera poprawny certyfikat, po czym tworzy podpis w niewłaściwym układzie. Urząd lub system kontrahenta może oczekiwać podpisu osadzonego w XML, podpisu otaczającego albo osobnego pliku podpisu. Każdy z tych wariantów może być technicznie poprawny, ale tylko jeden przejdzie walidację po stronie odbiorcy.

„Rozporządzenie eIDAS ustanawia ramy prawne dla identyfikacji elektronicznej i usług zaufania w Unii Europejskiej.” - EUR-Lex, Rozporządzenie (UE) nr 910/2014, 2014

Jakie elementy są potrzebne do podpisu kwalifikowanego XML?

Do podpisania XML potrzebujesz co najmniej pięciu elementów: gotowego pliku, aktywnego certyfikatu, dostępu do klucza prywatnego, programu podpisującego i informacji o wymaganym formacie wyniku.

• Plik XML powinien być wersją końcową, ponieważ nawet poprawienie jednej litery po podpisaniu zwykle unieważnia integralność dokumentu.
• Certyfikat kwalifikowany musi być ważny w chwili składania podpisu i przypisany do osoby lub podmiotu uprawnionego w danym procesie.
• Token kryptograficzny albo karta wymagają podłączonego czytnika i działającego sterownika producenta.
• Podpis zdalny wymaga dostępu do konta dostawcy oraz zwykle potwierdzenia w aplikacji mobilnej, kodem SMS albo drugim PIN-em.
• Aplikacja do podpisu musi obsługiwać XMLDSig lub XAdES, ponieważ narzędzie przeznaczone wyłącznie do PDF i PAdES może nie obsłużyć XML.
• Instrukcja odbiorcy powinna określać profil XAdES, typ podpisu, wymóg znacznika czasu oraz nazwę lub lokalizację pliku wynikowego.

Przykład: system może przyjąć plik deklaracja.xml wyłącznie wtedy, gdy podpis zostanie zapisany wewnątrz tego samego XML. Wysłanie obok pliku deklaracja.xml.xades może wtedy skończyć się odrzuceniem, choć podpis sam w sobie jest ważny.

Czy przed podpisaniem XML trzeba zrobić kopię?

Tak, przed podpisaniem zapisz nieedytowalną kopię XML w osobnym folderze. Kopia pozwoli wrócić do pliku źródłowego, gdy odbiorca odrzuci wybrany profil XAdES albo gdy aplikacja utworzy osobny podpis odłączony zamiast zmodyfikować dokument.

Utwórz folder, na przykład Dokumenty\XML\2026-08-09_oryginal, i skopiuj tam plik. Nie zmieniaj ręcznie rozszerzenia z .xml na .xades, ponieważ rozszerzenie nie konwertuje dokumentu ani nie tworzy prawidłowego podpisu.

Kiedy XML trzeba podpisać podpisem kwalifikowanym?

XML wymaga podpisu kwalifikowanego wtedy, gdy nakazuje to przepis, regulamin platformy, urząd albo umowa z kontrahentem. eIDAS opisuje unijne ramy usług zaufania, ale nie sprawia, że każdy plik XML automatycznie wymaga podpisu kwalifikowanego. Najpierw odczytaj instrukcję procesu i wymagania techniczne odbiorcy.

Nie zakładaj, że format pliku przesądza o formalnościach. XML jest tylko sposobem zapisu danych - może zawierać fakturę, zgłoszenie, dane systemowe albo eksport ustawień. Dwa pliki XML mogą wyglądać podobnie, a podlegać zupełnie innym zasadom przekazania.

Kto określa wymagany format podpisu XML?

Wymagany format ustala odbiorca dokumentu albo akt prawny regulujący konkretną procedurę. Instrukcja formularza, dokumentacja API lub regulamin platformy powinny wskazywać, czy potrzebny jest XMLDSig, XAdES, podpis odłączony oraz kwalifikowany znacznik czasu.

• Urząd publiczny może opublikować osobną instrukcję dla danego formularza i wskazać własny sposób przesłania podpisanego XML.
• Platforma B2B może wymagać konkretnego profilu XAdES, aby automatycznie sprawdzić dokument po imporcie.
• Kontrahent może dopuścić kilka formatów, ale wymagać podpisu kwalifikowanego na podstawie umowy lub procedury wewnętrznej.
• System księgowy może przyjmować wyłącznie podpis osadzony, ponieważ odczytuje podpis razem z danymi XML.
• Integracja API może oczekiwać osobnego pliku XML i osobnego pliku podpisu, czyli podpisu odłączonego.
• Instrukcja techniczna ma pierwszeństwo przed domyślnym ustawieniem aplikacji podpisującej, bo to odbiorca waliduje rezultat.

Praktyczna zasada jest prosta: nie podpisuj „na próbę” losowym profilem. Najpierw znajdź sekcję typu „wymagania techniczne”, „specyfikacja integracji” albo „instrukcja składania dokumentów”. Jeśli dokumentacja milczy, zapytaj odbiorcę na piśmie.

Czy podpis zaufany może zastąpić podpis kwalifikowany?

To zależy od konkretnej procedury - podpis zaufany i podpis kwalifikowany nie są tym samym mechanizmem. Nie zamieniaj ich bez potwierdzenia w regulaminie usługi lub instrukcji urzędu, ponieważ system może weryfikować konkretny rodzaj podpisu i nie przyjąć innego wariantu.

Podpis zaufany bywa używany w usługach administracji publicznej, natomiast podpis kwalifikowany opiera się na kwalifikowanym certyfikacie i usłudze zaufania. To nie jest kwestia „mocniejszego przycisku” w programie. Są to różne rozwiązania, mające odmienne zastosowania techniczne i proceduralne.

„Podpis kwalifikowany należy oceniać w kontekście wymagań usługi i obowiązujących ram eIDAS, a nie wyłącznie na podstawie rozszerzenia pliku.” - European Commission, informacje o usługach zaufania eIDAS, 2024

Treść nie zastępuje konsultacji z prawnikiem ani instrukcji właściwej instytucji. Przy dokumencie wywołującym skutki prawne zachowaj odpowiedź odbiorcy, regulamin lub podstawę prawną, na której opierasz wybór podpisu.

Co przygotować przed podpisaniem XML profilem XAdES?

Przed podpisaniem XML profilem XAdES sprawdź ważność certyfikatu, działanie tokena lub podpisu zdalnego, wersję aplikacji oraz wymagany kontener wyniku. XAdES jest rodziną profili podpisu elektronicznego opartych na XML, opisywaną przez ETSI, a nie formatem przeznaczonym dla plików PDF (źródło: ETSI EN 319 132-1, 2024).

Z mojej praktyki redaktora instrukcji IT wynika, że najwięcej odrzuceń powstaje przez dobry certyfikat użyty w złym kontenerze. Użytkownik widzi zielony komunikat aplikacji i uznaje sprawę za załatwioną. Tymczasem portal odbiorcy odrzuca plik, bo oczekiwał innego rodzaju podpisu.

Jak sprawdzić certyfikat kwalifikowany i urządzenie?

Zacznij od uruchomienia aplikacji dostawcy certyfikatu i sprawdzenia daty ważności, a dopiero potem otwieraj program do podpisywania XML. Dzięki temu od razu wykryjesz problem z czytnikiem, tokenem kryptograficznym, PIN-em lub usługą zdalną.

• Podłącz token USB albo czytnik kart bezpośrednio do portu komputera, ponieważ pasywny hub USB może nie zapewnić stabilnego połączenia.
• Otwórz aplikację dostawcy certyfikatu i potwierdź, że widzi urządzenie oraz certyfikat X.509.
• Sprawdź datę ważności certyfikatu, ponieważ wygasły certyfikat nie pozwoli złożyć nowego ważnego podpisu.
• Jeżeli używasz podpisu zdalnego, zaloguj się do usługi przed rozpoczęciem pracy i sprawdź, czy telefon odbiera autoryzacje.
• Przygotuj PIN, ale nie zapisuj go w pliku tekstowym, notatniku ani wiadomości e-mail.
• Zainstaluj aktualny sterownik wyłącznie z oficjalnej strony dostawcy certyfikatu albo producenta urządzenia.

Ostrzeżenie: wyszukiwarka często pokazuje reklamy z przyciskiem „Pobierz teraz”. Nie pobieraj sterowników, bibliotek PKCS#11 ani programów do podpisu z przypadkowych serwisów z downloadami. Takie instalatory potrafią dołączać dodatkowe programy lub podszywać się pod narzędzia producenta.

Czy podpis kwalifikowany działa w chmurze?

Tak, podpis zdalny może działać bez fizycznej karty w czytniku, jeśli dostawca udostępnia taką usługę i odbiorca akceptuje wynikowy profil podpisu. Nadal musisz wybrać właściwy XML, wariant XAdES oraz potwierdzić operację metodą wskazaną przez dostawcę.

• Token kryptograficzny przechowuje klucz na urządzeniu fizycznym i zwykle wymaga sterownika oraz PIN-u.
• Karta kryptograficzna działa z czytnikiem kart i może wymagać dodatkowej aplikacji pośredniczącej.
• Podpis zdalny zatwierdzasz online, najczęściej w aplikacji mobilnej lub przez jednorazowe potwierdzenie.
• Certyfikat w systemie Windows nie zawsze oznacza gotowość do podpisu XML, bo aplikacja może potrzebować dodatkowej biblioteki dostawcy.
• Praca na komputerze firmowym może wymagać zgody działu IT, jeżeli polityka blokuje instalację sterowników lub dostęp do tokena.

Jeżeli aplikacja nie widzi certyfikatu, zamknij ją, odłącz token, uruchom ponownie komputer i otwórz najpierw oprogramowanie dostawcy. Nie próbuj wielokrotnie zgadywać PIN-u - po określonej przez dostawcę liczbie błędów urządzenie może się zablokować.

Jaki wariant XAdES wskazuje odbiorca XML?

Wariant XAdES musi odpowiadać specyfikacji odbiorcy, ponieważ podpis XML może być osadzony, otaczający albo odłączony. Specyfikacja W3C XML Signature opisuje mechanizm zapewniający integralność danych XML, natomiast profile XAdES rozszerzają go o dane wymagane w europejskich procesach podpisu elektronicznego (źródło: W3C, 2013; ETSI, 2024).

Nie oceniaj formatu po samej nazwie pliku. Plik wniosek.xml może po podpisaniu nadal mieć rozszerzenie .xml, ale może też wymagać osobnego pliku podpisu. To instrukcja odbiorcy rozstrzyga, co wysłać.

Czym różni się podpis osadzony, otaczający i odłączony?

Podpis osadzony znajduje się wewnątrz XML, otaczający obejmuje podpisywane dane, a odłączony zapisuje podpis poza dokumentem. Wszystkie trzy układy spotyka się w świecie XMLDSig i XAdES, lecz nie są zamienne bez zgody systemu odbiorcy.

Wariant	Gdzie znajduje się podpis	Co zwykle przekazujesz	Najważniejsza pułapka
Podpis osadzony	W strukturze podpisywanego XML.	Jeden plik XML z podpisem.	Ręczna edycja XML po podpisaniu narusza integralność.
Podpis otaczający	Element podpisu zawiera dane objęte podpisem.	Plik XML o strukturze wymaganej przez odbiorcę.	Nie każdy system umie odczytać taką strukturę.
Podpis odłączony	W osobnym pliku podpisu.	Plik źródłowy XML oraz plik podpisu.	Zmiana nazwy, kodowania albo treści XML może zerwać powiązanie.

• Podpis osadzony wybierz tylko wtedy, gdy instrukcja wymaga jednego podpisanego dokumentu XML.
• Podpis otaczający stosuj, gdy specyfikacja opisuje strukturę XML zawierającą podpis i dane.
• Podpis odłączony stosuj, gdy odbiorca jasno prosi o osobny plik podpisu obok pliku źródłowego.
• Kodowanie UTF-8 pozostaw bez zmian, jeżeli system odbiorcy wskazuje je w schemacie lub dokumentacji.
• Nazwa pliku zachowaj dokładnie wtedy, gdy integracja łączy XML i podpis po nazwie albo identyfikatorze.

Kiedy dodać kwalifikowany znacznik czasu?

Dodaj kwalifikowany znacznik czasu, gdy wymaga go procedura albo gdy dokument ma być długo archiwizowany i trzeba wykazać moment złożenia podpisu. Nie zaznaczaj tej opcji automatycznie, ponieważ nie każdy obieg dokumentów jej potrzebuje, a odbiorca może wymagać określonego poziomu profilu.

Przykład: kontrahent może wymagać zwykłego XAdES-BES bez znacznika czasu, podczas gdy procedura archiwalna może wskazać rozszerzony wariant z czasem. Nie zgaduj nazw profili. Skopiuj wymaganie z dokumentacji odbiorcy do własnej checklisty i ustaw je dokładnie w aplikacji.

Jak podpisać XML podpisem kwalifikowanym krok po kroku?

Podpisanie XML podpisem kwalifikowanym wykonasz w sześciu krokach: zabezpiecz plik źródłowy, wybierz certyfikat, ustaw wymagany XAdES, zatwierdź podpis, zapisz wynik i przeprowadź walidację. Przed rozpoczęciem sprawdź instrukcję odbiorcy, ponieważ standardy W3C XMLDSig i ETSI XAdES dopuszczają różne układy podpisu (źródło: W3C, 2013; ETSI, 2024).

Jak wybrać plik XML i certyfikat?

W pierwszym kroku wybierz kopię finalnego pliku XML, a następnie wskaż ważny certyfikat kwalifikowany należący do właściwego podpisującego. Nie otwieraj dokumentu w edytorze, który może zmienić kodowanie, wcięcia lub znaki specjalne przed podpisaniem.

• Skopiuj finalny plik XML do folderu roboczego, na przykład Dokumenty\Do_wysylki, aby nie podpisywać jedynej kopii źródłowej.
• Uruchom aplikację dostawcy podpisu z menu Start systemu Windows, a nie plik pobrany z reklamy w przeglądarce.
• Wybierz funkcję typu „Podpisz dokument”, „Podpis XML” albo „Podpis XAdES”, zależnie od nazwy użytej przez program.
• Wskaż plik XML i sprawdź jego nazwę, rozmiar oraz folder, aby nie podpisać starszej wersji dokumentu.
• Wybierz właściwy certyfikat kwalifikowany z listy, zwracając uwagę na imię, nazwisko lub nazwę podmiotu oraz datę ważności.
• Wpisz PIN do tokena albo zatwierdź podpis zdalny wyłącznie po sprawdzeniu, że wyświetlony dokument jest właściwy.

Przykład: masz pliki faktura-12.xml i faktura-12-poprawiona.xml. Podpisuj wyłącznie drugi plik, a pierwszy zostaw jako materiał roboczy. Podpis na starej wersji nie „przeniesie się” na poprawioną treść.

Jak ustawić format XAdES i miejsce zapisu?

W drugim kroku wybierz wyłącznie profil, typ podpisu i lokalizację zapisu podane przez odbiorcę. Jeżeli instrukcja wymaga podpisu odłączonego, program powinien utworzyć plik podpisu obok oryginalnego XML, a nie zmieniać sam dokument.

• Profil XAdES ustaw zgodnie z nazwą z instrukcji, bez wybierania „najwyższego” wariantu na zasadzie domysłu.
• Typ podpisu wybierz jako osadzony, otaczający lub odłączony dokładnie według wymagań portalu albo kontrahenta.
• Folder wynikowy ustaw w lokalizacji z kopią roboczą, aby nie pomylić podpisanego pliku z oryginałem.
• Nazwę wynikową pozostaw w domyślnej formie, jeśli dokumentacja nie podaje innej konwencji nazw.
• Rozszerzenie pliku zachowaj takie, jakie nadała aplikacja, bo ręczna zmiana może utrudnić automatyczny import.
• Opcję nadpisania wyłącz, gdy program ją oferuje, ponieważ odzyskanie nadpisanego XML może być trudne.

Czy przed wysłaniem XML trzeba sprawdzić podpis?

Tak, wykonaj walidację zaraz po podpisaniu i przed wysłaniem, aby sprawdzić integralność dokumentu, status certyfikatu oraz zgodność formatu. Zielony komunikat aplikacji oznacza zwykle poprawność techniczną, ale nie zastępuje wymagań konkretnego portalu odbiorcy.

Jeśli aplikacja pokazuje błąd integralności, nie wysyłaj pliku. Wróć do zachowanej kopii źródłowej, sprawdź czy XML nie został zmieniony, a następnie podpisz go ponownie. Jeśli błąd dotyczy formatu, porównaj ustawienia z instrukcją odbiorcy, a nie z ustawieniami użytymi przy poprzednim dokumencie.

Jak zweryfikować podpis kwalifikowany na XML?

Weryfikacja podpisu kwalifikowanego XML powinna potwierdzić trzy sprawy: integralność danych, poprawność matematyczną podpisu oraz status certyfikatu w zaufanym źródle. Aktualność kwalifikowanego dostawcy należy sprawdzać w bieżących informacjach o listach zaufanych UE, a nie na podstawie starego zrzutu ekranu.

Jak odczytać wynik walidacji podpisu?

Prawidłowy wynik walidacji powinien wskazywać, że dokument nie został zmieniony po podpisaniu i że aplikacja mogła zweryfikować certyfikat. Dokładne nazwy komunikatów zależą od programu, dlatego czytaj pełne szczegóły, a nie tylko ikonę w kolorze zielonym.

• Integralność poprawna oznacza, że podpisane dane odpowiadają danym sprawdzanym przez walidator.
• Certyfikat ważny oznacza, że certyfikat nie był po terminie w czasie ocenianym przez walidator.
• Łańcuch zaufania wskazuje, czy aplikacja potrafi powiązać certyfikat z zaufanym wystawcą.
• Znacznik czasu wymaga osobnej oceny, gdy dokument zawiera tę usługę i procedura na niej polega.
• Ostrzeżenie o sieci może wynikać z braku dostępu do usług sprawdzających status, a nie z uszkodzenia XML.
• Raport walidacji zapisz jako PDF lub plik tekstowy, gdy dokument ma znaczenie formalne lub będzie archiwizowany.

Gdzie sprawdzić listę zaufaną UE?

Status dostawcy usług zaufania sprawdzaj w aktualnym narzędziu European Commission EU Trusted Lists, a nie w przypadkowych listach publikowanych w internecie. Lista może się zmieniać, dlatego przy ważnych dokumentach sprawdź ją ponownie przed wysłaniem lub archiwizacją.

Nie musisz ręcznie analizować każdego elementu certyfikatu, jeżeli aplikacja walidująca pokazuje pełny wynik i korzysta z aktualnych źródeł zaufania. Gdy jednak program sygnalizuje brak zaufania, nie ignoruj ostrzeżenia. Ustal, czy komputer ma dostęp do internetu, aktualne daty systemowe i najnowszą listę certyfikatów.

Jak rozwiązać najczęstsze problemy z podpisem kwalifikowanym XML?

Najczęstsze problemy z podpisem kwalifikowanym XML to niewidoczny certyfikat, zły wariant XAdES, zmieniony plik źródłowy oraz podpis odłączony wysłany bez właściwego XML. W większości przypadków da się je usunąć bez ponownego wyrabiania certyfikatu, zaczynając od prostego sprawdzenia urządzenia i ustawień formatu.

Dlaczego aplikacja nie widzi certyfikatu kwalifikowanego?

Najczęściej przyczyną jest brak sterownika, odłączony token, zablokowany PIN albo nieuruchomiona usługa podpisu zdalnego. Otwórz najpierw program dostawcy certyfikatu, bo on szybciej pokaże, czy problem leży w urządzeniu, czy w aplikacji do XML.

• Odłącz token lub czytnik i podłącz go do innego portu USB, najlepiej bezpośrednio w komputerze.
• Uruchom ponownie aplikację dostawcy certyfikatu i sprawdź, czy odczytuje certyfikat X.509.
• Sprawdź datę oraz godzinę w Windows, ponieważ błędny zegar może powodować problemy z walidacją i logowaniem.
• Zainstaluj aktualny sterownik z oficjalnej strony dostawcy, unikając portali z niezweryfikowanymi instalatorami.
• Przy podpisie zdalnym wyloguj się i zaloguj ponownie, a następnie sprawdź połączenie telefonu z internetem.
• Jeżeli PIN został kilkakrotnie wpisany błędnie, skontaktuj się z dostawcą zamiast próbować kolejnych kombinacji.

Dlaczego odbiorca odrzuca poprawnie podpisany XML?

Odbiorca może odrzucić ważny podpis, gdy plik ma niewłaściwy profil, układ podpisu, nazwę, kodowanie lub kanał wysyłki. Techniczna ważność podpisu nie gwarantuje zgodności z wymaganiami biznesowymi albo urzędowymi danego systemu.

Przykład: aplikacja utworzyła poprawny podpis odłączony, lecz portal przyjmuje tylko podpis osadzony. Drugi częsty przypadek to poprawienie XML po podpisaniu w Notatniku lub Excelu. Nawet jeśli plik „wygląda tak samo”, zmiana znaków, spacji albo kodowania może sprawić, że walidator wykryje naruszenie integralności.

• Nieobsługiwany profil rozwiąż przez porównanie ustawienia XAdES ze specyfikacją odbiorcy.
• Brak pliku podpisu rozwiąż przez wysłanie kompletu XML i podpisu, gdy procedura wymaga wariantu odłączonego.
• Zmieniony XML rozwiąż przez podpisanie ponownie niezmienionej, finalnej wersji dokumentu.
• Niewłaściwe kodowanie rozwiąż przez użycie oryginalnego eksportu z systemu źródłowego zamiast ręcznej edycji.
• Błąd wysyłki e-mail rozwiąż przez użycie portalu odbiorcy lub kanału szyfrowanego, jeśli taki udostępnia.

Jak archiwizować podpisany plik XML?

Podpisany XML archiwizuj razem z plikiem źródłowym, plikiem wynikowym, raportem walidacji i dowodem wysłania. Przy podpisie odłączonym zachowaj co najmniej dwa powiązane pliki, ponieważ sam XML albo sam podpis nie wystarczy do późniejszej weryfikacji całego zestawu.

Co przechowywać po podpisaniu XML?

Po podpisaniu zachowaj oryginalny XML, podpisany wynik, raport weryfikacji i potwierdzenie nadania lub odbioru. Takie archiwum ułatwia odtworzenie procesu, gdy odbiorca po czasie zgłosi błąd albo poprosi o ponowne przekazanie dokumentu.

• Oryginalny XML przechowuj bez zmian jako kopię danych przed złożeniem podpisu.
• Podpisany XML albo plik XAdES zachowaj w tej samej strukturze folderów, w której został wysłany.
• Raport walidacji zapisz z datą, aby było jasne, kiedy sprawdzono podpis i certyfikat.
• Potwierdzenie nadania zachowaj jako plik PDF, wiadomość systemową lub numer referencyjny portalu.
• Instrukcję odbiorcy dołącz do archiwum, zwłaszcza gdy wskazuje konkretny profil XAdES lub sposób wysyłki.
• Kopię zapasową umieść w zaszyfrowanym repozytorium firmowym albo zaufanej chmurze z kontrolą dostępu.

Czy podpisany XML można wysłać zwykłym e-mailem?

To zależy od wymagań odbiorcy i wrażliwości danych, lecz dla poufnych XML lepszy jest portal odbiorcy albo szyfrowany kanał. Podpis potwierdza integralność i tożsamość w określonym zakresie, ale nie ukrywa automatycznie treści pliku przed osobą, która uzyska dostęp do załącznika.

Jeśli musisz przekazać duży lub poufny dokument, skorzystaj z instrukcji jak wysłać duży plik bezpiecznie. Przygotuj też kopię lokalną, ponieważ linki do transferu plików często wygasają po kilku dniach.

Najczęściej zadawane pytania

Czy każdy XML można podpisać podpisem kwalifikowanym?

Technicznie wiele plików XML można objąć podpisem, ale odbiorca musi obsługiwać wybrany wariant XMLDSig lub XAdES. Przed podpisaniem sprawdź, czy system oczekuje podpisu osadzonego, otaczającego czy odłączonego. Więcej podstaw znajdziesz w tekście podpis kwalifikowany - co to jest.

Czy podpis zaufany i kwalifikowany to to samo?

Nie, są to różne mechanizmy używane w różnych procesach. Nie zakładaj ich zamienności tylko dlatego, że oba pozwalają podpisać dokument elektronicznie. O dopuszczalnym rozwiązaniu decyduje przepis, urząd albo regulamin usługi.

Czy do XML trzeba wybrać XAdES?

W wielu procesach XML stosuje się XMLDSig z profilem XAdES, ale nie jest to reguła dla każdego pliku XML. Właściwy profil i układ podpisu odczytaj z dokumentacji odbiorcy. Program do PDF nie musi obsługiwać podpisu XML.

Czy po podpisaniu XML można poprawić literówkę?

Nie, po zmianie treści podpis najczęściej przestanie potwierdzać integralność dokumentu. Popraw plik źródłowy, utwórz nową wersję i podpisz ją ponownie. Nie edytuj podpisanego XML nawet wtedy, gdy zmiana wydaje się kosmetyczna.

Dlaczego aplikacja nie widzi certyfikatu kwalifikowanego?

Najpierw sprawdź token, czytnik kart, sterownik i datę ważności certyfikatu w aplikacji dostawcy. Przy podpisie zdalnym sprawdź logowanie oraz możliwość zatwierdzenia operacji na telefonie. Nie wpisuj wielokrotnie PIN-u, bo urządzenie może zostać zablokowane.

Czy znacznik czasu jest obowiązkowy przy podpisie XML?

Nie zawsze. Kwalifikowany znacznik czasu może być wymagany przez konkretną procedurę albo przydatny przy długim przechowywaniu dokumentu. Wybierz go tylko wtedy, gdy wymaga go odbiorca lub polityka archiwizacji.

Jak sprawdzić podpis elektroniczny na pliku XML?

Otwórz plik w aplikacji walidującej i sprawdź integralność, status certyfikatu oraz łańcuch zaufania. Przy podpisie odłączonym wskaż jednocześnie XML i odpowiadający mu plik podpisu. Zobacz też poradnik jak zweryfikować podpis elektroniczny.

Czy można otworzyć XML przed podpisaniem?

Można go obejrzeć, ale nie zapisuj go ponownie w edytorze, jeśli nie musisz. Edytor może zmienić kodowanie lub strukturę i wpłynąć na późniejszą walidację. Bezpieczniej korzystać z oryginalnego eksportu systemu; pomocny jest poradnik jak otworzyć plik XML.

Źródła i literatura

• EUR-Lex - Rozporządzenie (UE) nr 910/2014 eIDAS, 2014.
• W3C - XML Signature Syntax and Processing Version 2.0, 2013.
• ETSI - EN 319 132-1, Electronic Signatures and Infrastructures (ESI); XAdES digital signatures, wydanie wskazane przez dokumentację odbiorcy, 2024.
• European Commission - EU Trusted Lists Browser, dostęp sprawdzany przed użyciem.
• NASK - Narodowe Centrum Certyfikacji, informacje o infrastrukturze certyfikacji.