28. Elektronické podpisy

Sekce Systém -> Elektronické podpisy slouží ke správě certifikátů, podpisových profilů a pravidel, který profil se použije pro konkrétní výstup. Aktuálně se podepisují PDF výstupy a vybrané odchozí e-maily.

PDF výstupy:

• vydaná faktura,
• samostatný výkaz práce.

Když je výkaz práce vložený jako další stránka PDF faktury, podpis výstupu Vydaná faktura pokrývá celé výsledné PDF včetně této stránky. Výstup Výkaz práce se používá pro samostatně generované PDF výkazu.

S/MIME e-mailové výstupy:

• e-mail s fakturou,
• e-mail s upomínkou,
• e-mail s připomínkou zálohy,
• e-mail s poděkováním za úhradu,
• e-mail se schválením výkazu,
• e-mail s připomínkou pravidelné faktury.

PDF používá PAdES podpis. Bez časového razítka jde o úroveň PAdES-B, s nastaveným TSA serverem o PAdES-T. Odchozí e-mail se podepisuje jako S/MIME zpráva. S/MIME podpis potvrzuje odesílatele a integritu zprávy, ale e-mail nešifruje.

28.1 Základní pojmy

28.2 Oprávnění

Admin povolí uživatelské profily přepínačem Povolit uživatelům správu vlastních podpisových profilů. Pokud není zapnutý, účetní v menu sekci elektronických podpisů nevidí.

28.3 Založení podpisového profilu

1. Otevři Systém -> Elektronické podpisy.
2. V sekci Podpisové profily klikni Nový profil.
3. Vyplň Název a Kód. Kód je technický identifikátor profilu a musí být unikátní v rámci dodavatele.
4. Vyber Vlastník profilu:

• Profil dodavatele pro centrální firemní podpis,
• Můj profil pro podpis konkrétního přihlášeného uživatele,
• Jiný uživatel jen pro admina, pokud profil zakládá za konkrétního uživatele.

1. V části Použití vyber, k čemu se profil smí použít:

• PDF pro podpis faktur a výkazů práce,
• S/MIME e-mail pro podpis odchozích e-mailů,
• obě volby, pokud stejný certifikát používáš pro PDF i e-mail.

1. Backend profilu ponech native. E-mailové výstupy používají S/MIME backend interně podle typu výstupu.
2. Nech profil aktivní, pokud se má dát použít při podepisování.
3. Ulož profil.

28.4 Certifikát P12/PFX

Ke každému profilu se nahrává jeden společný certifikát. Stejný P12/PFX soubor se může použít pro PDF podpis i pro S/MIME podpis e-mailu, pokud profil povoluje obě použití.

1. Otevři editaci profilu.
2. V části Certifikát profilu klikni Vybrat soubor.
3. Vyber soubor ve formátu P12/PFX s privátním klíčem.
4. Zadej Heslo k certifikátu. Aplikace ho použije pro kontrolu souboru a podle zvolené politiky ho buď uloží šifrovaně, nebo jen ověří.
5. Vyber politiku hesla.
6. Klikni Uložit profil nebo Nahrát certifikát podle toho, jestli profil teprve vytváříš, nebo upravuješ.

Po nahrání se zobrazí metadata certifikátu: subject, e-mail v certifikátu, platnost, politika hesla a SHA-256 fingerprint. Soubor certifikátu se ukládá do interního storage aplikace. V produkci je vhodné mít MYINVOICE_DATA_DIR nastavený mimo webový root.

Certifikát bez privátního klíče nestačí. Pokud import selže s chybou špatného hesla nebo neplatného PKCS#12, zkontroluj, že P12/PFX opravdu obsahuje privátní klíč a že zadáváš správnou passphrase.

Pro S/MIME podpis je prakticky důležité, aby certifikát obsahoval e-mailovou adresu používanou jako odesílatel nebo aby ho příjemcův klient uměl přiřadit k odesílateli. Aplikace podpis vytvoří, ale důvěryhodnost a shoda identity se vyhodnocuje až v e-mailovém klientovi příjemce.

28.5 Politika hesla k certifikátu

Passphrase file

Cestu k souboru nastav správce v konfiguraci:

'signing' => [
    'passphrase_file' => '/var/lib/myinvoice/signing-passphrases.json',
],

Kvůli zpětné kompatibilitě se bere i pdf_signing.passphrase_file.

Soubor může být JSON:

{
  "profiles": {
    "owner_john": { "passphrase": "heslo-k-p12" },
    "owner_novak": { "passphrase": "jine-heslo" }
  }
}

Nebo INI:

[owner_john]
passphrase=heslo-k-p12

[owner_novak]
passphrase=jine-heslo

Do pole ID hesla v passphrase file v profilu zadej například owner_john. Soubor musí být čitelný procesem aplikace a neměl by být součástí webového rootu ani gitu.

28.6 TSA a důvod podpisu

V profilu je volitelná část PDF nastavení profilu. Tato nastavení platí jen pro PDF podpisy:

Bez TSA se dokument podepíše jako PAdES-B. Pokud je TSA nastavená a dostupná, přidá se důvěryhodné časové razítko a výsledkem je PAdES-T.

S/MIME podpis odchozího e-mailu v této implementaci TSA nepoužívá.

28.7 Konfigurace podpisů pro výstupy

Sekci Konfigurace podpisů vidí admin. Každý řádek nastavuje jeden typ výstupu: buď PDF, nebo S/MIME e-mail.

Výběr profilu

U automatických/background operací nemusí existovat přihlášený uživatel. Pokud je výstup nastavený na Přihlášený uživatel, je proto důležité nastavit rozumný fallback.

Fallback uživatele

Při chybě

Tlačítko Otestovat v řádku konfigurace vytvoří dočasné PDF a zkusí ho podepsat podle stejného mapování. Zobrazuje se jen u PDF výstupů. Výsledek zobrazí stav, použitý profil a vlastníka certifikátu (CN), pokud ho backend zjistí.

S/MIME podpis otestuješ odesláním testovacího e-mailu pro příslušný typ zprávy a ověřením podpisu v e-mailovém klientovi.

28.8 Mapování podpisových profilů uživatele

Sekce Mapování podpisových profilů slouží pro osobní výchozí profily přihlášeného uživatele.

Použije se jen tehdy, když admin v Konfiguraci podpisů nastavil daný výstup na Přihlášený uživatel. Pokud je výstup nastavený na Profil dodavatele, uživatelský profil se ignoruje a UI na to upozorní.

Pro každý výstup vyber vlastní aktivní profil, který podporuje stejné použití jako výstup. Pro PDF výstupy musí profil podporovat použití PDF, pro e-mailové výstupy použití S/MIME e-mail.

28.9 Výběr podpisu na konkrétním dokladu

Na detailu faktury je pro uživatele s právem zápisu sekce Elektronický podpis dokumentu. Umožňuje přepsat výchozí konfiguraci pro konkrétní doklad.

Změna výběru u faktury invaliduje PDF cache, aby se další stažení nebo odeslání vygenerovalo s aktuálním podpisem. U uživatelských profilů cache závisí na tom, který uživatel PDF generuje, takže stejný doklad může být podepsaný jiným profilem podle přihlášeného uživatele.

Per-dokladový výběr se týká PDF dokladů. Odchozí e-maily se řídí mapováním e-mailových výstupů v Konfiguraci podpisů.

28.10 Podepisování odchozích e-mailů

S/MIME podpis se aplikuje při sestavení e-mailu těsně před odesláním přes SMTP. Podepisuje se výsledná MIME zpráva včetně HTML/textového těla a příloh, takže příjemce může v běžném e-mailovém klientovi ověřit, že zpráva nebyla cestou změněna.

Podporované e-mailové výstupy:

Nastavení funguje stejně jako u PDF výstupů:

• admin v Konfiguraci podpisů zapne podpis pro konkrétní e-mailový výstup,
• zvolí Profil dodavatele nebo Přihlášený uživatel,
• při strategii Přihlášený uživatel si uživatel nastaví vlastní výchozí profil v Mapování podpisových profilů,
• při chybě se použije politika Vrátit nepodepsané nebo Zastavit s chybou.

S/MIME podpis e-mail nešifruje. Obsah zprávy zůstává čitelný stejně jako u běžného e-mailu, jen je opatřen elektronickým podpisem.

28.11 Ověření podepsaného PDF

Po stažení můžeš PDF ověřit v běžné PDF čtečce nebo na serveru například přes pdfsig:

pdfsig Faktura-2606009.pdf

U platného podpisu uvidíš stav podpisu jako validní. Pokud výstup hlásí, že vydavatel certifikátu je neznámý, znamená to obvykle chybějící důvěryhodný certifikační řetězec v prostředí ověřovatele. Samotný kryptografický podpis může být přesto validní.

28.12 Audit a řešení problémů

Správa i použití podpisů se zapisuje do activity logu. Typické události:

Časté problémy:

28.13 Poznámka k REST API

Podpisové endpointy jsou interní administrační endpointy používané SPA aplikací (/api/settings/... a /api/documents/.../signature-selection). Nejsou součástí veřejného /api/v1 subsetu a nejsou popsané v api/openapi.yaml.

Veřejné endpointy pro stažení nebo odeslání PDF vrací dokument podle aktuální konfigurace podpisů, ale samotná správa podpisových profilů zatím není veřejné API pro externí integrace.