署名した日に完了証明書を読む人はいません。それが意味を持つのは、何年も先の1日か2日です。元従業員が「これは私の署名ではない」と言い出した日。取引相手が同じ賃貸借契約の少しだけ違うコピーを持ち出してきた日。監査人が、この同意書は治療の前に締結されたとなぜ言えるのかと尋ねてきた日。そうした日に、証明書があるかないかは、答えを示せるか水掛け論になるかの分かれ目になります。

この記事では、その証明書に何が書かれているべきか、そして主要な各ツールが実際に何を渡してくれるのかを見ていきます。4製品比較の、証拠に焦点を当てた姉妹編です。

署名済みPDFだけでは証明にならない理由

署名画像が載ったPDFは、それ単体ではほとんど何も証明しません。その画像は別のドキュメントから貼り付けられたものかもしれません。ファイルは署名後に編集されているかもしれません。日付が書き換えられ、条項が差し替えられていても、目に見える痕跡は残らないのです。両当事者がそれぞれコピーを持っていても、どちらが本物かを確かめる手立てがありません。そしてファイル自体は、プロセスについて何も語りません。誰が受け取ったのか、いつ開いたのか、何を見たのか、その人が署名したバージョンは手元にあるバージョンと同じなのか。

電子署名に関する法律は、まさにこのギャップを織り込んでいます。電子署名を法廷で守れるものにするのは、書かれた線の形ではありません。その周囲にある帰属と意思の記録です。誰が招待され、どのように本人性が確認され、何をし、それがいつだったのか。完了証明書とは、その記録をひとまとめにしたものです。つまり証明書は、製品に付いてくる事務書類ではありません。争いが起きたときには、それこそが製品なのです。

強い証明書の解剖図

ベンダーごとの装飾を取り払うと、持っておく価値のある証明書は、次の6つの問いに答えています。

要素答えてくれる問い
恒久的な参照番号これはどのドキュメントなのか。何年後でも、修正が入った後でも、一意に特定できるか
完了日時(UTC)締結が完了したのはいつか。誰も異議を挟めないタイムゾーンで示せるか
署名者ごとのタイムライン一人ひとりについて、いつ招待され、いつ閲覧し、いつ署名したのか
IPアドレスそれぞれの署名はどこから行われたのか
署名の複製取得された署名は、実際にはどのような形だったのか
検証コードこの紙面を額面どおり信じるのではなく、記録システムと照合して確かめられるか

この6つのうち2つは、最も欠けていることが多いという理由で強調しておく価値があります。参照番号は、恒久的であってはじめて役に立ちます。ドキュメントを修正して再署名するたびに識別子が変わるようでは、書類の追跡経路が枝分かれしてしまいます。そして検証コードは、単に押印されるのではなくドキュメントの履歴から導出されてはじめて意味を持ちます。監査証跡全体のフィンガープリントであるコードは改ざんを暴けますが、単なるIDでしかないコードには暴けません。

PandaDoc・SignNow・Adobeは監査エビデンスをどう提供しているか

競合3社はいずれも本物のエビデンスを生成しています。この章で扱うのはその形式です。署名から紛争までの年月を何が生き延びるかは、形式によって決まるからです。

PandaDocは、署名済みドキュメントと並べて完了証明書を発行します。内容は期待どおりで、署名者の身元、IPアドレス、タイムスタンプ、ドキュメントID、そしてアプリ内の監査証跡による裏付けです。SignNowで同じ役割を担うのはドキュメント履歴で、誰がいつ何をしたかをダウンロードできるレポートにまとめたものです。法廷での証拠能力を掲げて提供され、署名済みファイルと並べて保管されます。どちらも堅実で慣行どおりのパッケージですが、主な弱さは切り離せてしまうことです。PDFの隣を旅するレポートは、一緒に旅しそこねることのあるレポートでもあります。証明書を付けずに署名済みファイルを転送すれば、受け取った人の手元にあるのは証拠ではなく主張です。

この点でAdobe Acrobat Signは3社の中で最も強く、それははっきり申し上げます。監査レポートに加えて、完了したドキュメントには暗号学的なシールが付与され、証明書ベースの構成では署名そのものがPDFに埋め込まれ、規格に準拠したどのリーダーでも検証できます。オフラインで、Adobeに問い合わせることなく検証できるのです。EUの適格署名やオフラインでの暗号学的検証が求められる世界にいるなら、最も深い答えを持っているのはAdobeです。ここに議論の余地はありません。

GingerDocsの証明書はどう生成され、どう検証されるか

GingerDocsの設計上の選択は、エビデンスは成果物から切り離せないものであるべきだ、というものです。最後の署名者が署名を終えると、完了証明書が自動的に生成され、署名済みPDF自体の末尾ページとして付加されます。紛失しうる別体のレポートは存在しません。ドキュメントを持っている人が、そのままエビデンスを持っていることになります。

記載されるのは、ドキュメントの恒久的な参照番号(一度割り当てられたら、後日そのドキュメントが修正され再署名されても変わりません)、UTCでの完了日時、タイトルとページ数、そして署名者ごとのカードです。カードには、名前とメールアドレス、署名順、最終ステータス(署名済み・確認済み・拒否)、招待・閲覧・署名の完全なタイムライン(UTC)、その署名が行われたIPアドレス、そして取得された実際の署名の複製が含まれます。

そして、この紙面を照合可能にしている部分。ドキュメントの改ざん検知が可能な監査証跡から導出される16文字の検証コードです。これは通し番号ではなく、完了時点で記録されていた全履歴のフィンガープリントです。PDFを持っている人なら誰でも、プラットフォームの記録と照合してもらえます。検証ページはアカウント不要で、必要なのは参照番号と、そのドキュメントに紐づくメールアドレスだけです。ドキュメントのオーナーは、GingerDocs内の記録と参照番号・検証コードを突き合わせることもできます。その背後では、アップロードされた原本が手つかずのまま保存され、過去に署名されたすべてのバージョンも残ります。だからこそ「このドキュメントは以前どうなっていたのか」という問いには、いつでも取り出せる答えがあるのです。

改ざん検知:ハッシュチェーン方式のログと、ただのアクティビティ一覧

どの証明書も、その土台にあるログから生成されます。つまり証明書の信頼性は、そのログが編集にどれだけ耐えるかを超えることはありません。ここは、機能一覧よりもアーキテクチャのほうが各ツールをはっきり分ける場所です。

一般的なアクティビティログは、アプリケーションが書き込むデータベースのテーブルであり、原理的には書き換えることもできます。残っている行をいくら見ても、どれかが改変されたのか削除されたのかは分かりません。そうしたログから生成された証明書は、その弱さをそのまま受け継ぎます。生成時点でログが語っていた内容を証明するだけであり、ログ自体の完全性はベンダーの保証に委ねられるのです。

GingerDocsの監査ログは追記専用で、ハッシュチェーン化されています。送信・閲覧・署名・拒否・リマインダー送信・完了といったすべてのイベントが、直前のエントリと結び付けるSHA-256ハッシュとともに書き込まれます。過去のエントリを編集すれば、改ざんされた箇所でチェーンが目に見えて壊れます。つまりこのログは、信頼するのではなく検証できるのです。そして証明書の16文字の検証コードはそのチェーンから導出されるため、紙面のコードと記録の中のチェーンは互いを保証し合います。片方だけを偽造すれば、それは表に出てきてしまう類のものです。

公平に採点すればこうなります。Adobeは改ざん検知をファイルの内部で暗号学的に実現します。GingerDocsは記録システムの側で実現し、そのフィンガープリントを証明書に印字します。PandaDocとSignNowは、慣行どおりの証明書の裏に慣行どおりのログを置いています。

異議が出たとき、実際にドキュメントを検証する手順

理屈はここまでにして、完了したGingerDocsのドキュメントを手にしたまま争いの日を迎えたら、実際にどう動くことになるのかを見てみましょう。

  1. PDF本体の末尾ページにある証明書を開きます。参照番号と16文字の検証コードを読み取ります。
  2. それを記録と照合します。アカウント不要の検証ページで、参照番号とドキュメントに紐づくメールアドレスを入力すれば、ステータスを確認して検証済みのコピーをダウンロードできます。あるいは、ドキュメントのオーナーにGingerDocs内の記録と参照番号・検証コードを突き合わせてもらいます。証明書とプラットフォームのチェーンが一致すれば、そのドキュメントは確かなものです。
  3. タイムラインをたどります。争点になっている署名にはカードがあり、その署名者がいつ招待され、いつ閲覧し、いつ署名し、どのIPからだったのか、そして取得された署名がどのような形だったのかが分かります。主張されている内容と突き合わせてください。
  4. 「ドキュメントの中身が違っていた」という主張であれば、保存されている原本と過去の署名済みバージョンを取り出し、フラット化された最終版と並べて見比べます。
  5. 争いがさらに深刻になった場合は、土台にある監査ログが最も深い記録になります。追記専用でハッシュチェーン化されており、端から端まで完全性を検証できます。

同じ手順を、メールのスレッドから出てきた素の署名済みPDFで試してみてください。参照番号もなく、コードもなく、タイムラインもなく、保存された原本もありません。あるのは、違う履歴を主張し合う2人の当事者だけです。この差こそが、必要になる前に証明書の中身を気にかけておくべき理由のすべてです。

いつものことながら、機能比較表よりも5分間のテストのほうが役に立ちます。検討中のツールで実際のドキュメントを1件完了させ、出てきたファイルを開き、その末尾ページに向かってこう問いかけてください。私の言葉を一切信用しない相手でも、これを検証できるだろうか、と。GingerDocsが何を渡してくれるのかを確かめるには、実際に1件を最後まで通してみてください。