Cum semnezi un PDF cu certificatul digital calificat: tutorial

Ca să semnezi un PDF cu certificatul digital calificat ai nevoie de trei lucruri: tokenul în portul USB, driverul instalat pe calculator și un program care știe să aplice semnătura. Cel mai simplu program e Adobe Acrobat Reader, în versiunea gratuită: nu îți trebuie Acrobat Pro și nici vreun abonament plătit ca să semnezi. Mai jos ai pașii, cum verifici că semnătura e validă și ce faci când apar erorile clasice.

Ce pregătești înainte să semnezi primul PDF?

Ordinea contează, pentru că majoritatea problemelor de la semnare vin din pasul de instalare:

1. Instalează driverul tokenului înainte să bagi tokenul în USB. Windows nu recunoaște singur tokenurile criptografice, are nevoie de aplicația producătorului. Dacă nu ai făcut pasul ăsta, îl ai detaliat aici: instalarea certificatului digital și a driverului de token.
2. Verifică faptul că certificatul se vede în Windows. Deschide aplicația de management a tokenului (SafeNet Authentication Client, ePass, în funcție de modelul primit) și confirmă că apare certificatul tău, cu numele tău și cu o dată de expirare în viitor.
3. Instalează Adobe Acrobat Reader de pe site-ul oficial Adobe, versiunea gratuită. Dacă îl ai deja, actualizează-l, pentru că versiunile foarte vechi au probleme cu listele de certificate de încredere.
4. Ține PIN-ul la îndemână. Nu e parola de la calculator și nu e codul primit pe email la emitere; e PIN-ul tokenului, cel setat la instalare. La un anumit număr de introduceri greșite tokenul se blochează, așa că nu îl ghici.

Un detaliu care scapă des: un certificat digital calificat se folosește doar de pe tokenul pe care a fost emis. Nu îl poți copia pe un stick obișnuit sau pe alt calculator, pentru că cheia privată nu părăsește niciodată dispozitivul. Poți însă instala driverul pe câte calculatoare vrei și muta tokenul între ele.

Semnarea unui PDF în Adobe Acrobat Reader: pașii concreți

Interfața Adobe s-a schimbat în ultimii ani, așa că îți dau denumirile actuale, cu varianta veche în paranteză.

1. Bagă tokenul în USB și așteaptă câteva secunde până se aprinde ledul și Windows termină recunoașterea.
2. Deschide documentul PDF în Adobe Acrobat Reader. Atenție: documentul trebuie să fie în forma finală. Orice modificare făcută după semnare invalidează semnătura.
3. Din bara laterală apasă „All Tools" / „Toate instrumentele", apoi „View more" / „Vezi mai multe". În versiunile mai vechi era meniul Tools din partea de sus.
4. Alege „Use a certificate" / „Utilizează un certificat", apoi butonul „Digitally sign" / „Semnează digital".
5. Adobe îți afișează un mesaj că trebuie să desenezi zona semnăturii. Confirmă cu OK.
6. Trage cu mouse-ul un dreptunghi în locul din pagină unde vrei să apară semnătura, de obicei sub text, în dreptul rubricii „Semnătura" sau lângă ștampilă. Ține apăsat butonul stâng și trage; dimensiunea o alegi tu.
7. Se deschide fereastra „Sign with a Digital ID". Aici trebuie să apară certificatul tău, cu numele complet. Selectează-l și apasă „Continue" / „Continuă".
8. Vezi o previzualizare a semnăturii. Apasă „Sign" / „Semnează".
9. Adobe îți cere unde salvezi documentul semnat. Recomandarea mea: nu suprascrie originalul, salvează cu un nume nou, de exemplu contract_semnat.pdf. Dacă greșești ceva, mai ai originalul curat.
10. Introdu PIN-ul tokenului în fereastra care apare. Gata, documentul e semnat.

Din acest moment, PDF-ul conține semnătura ta electronică calificată. Potrivit Legii 214/2024 (legea semnăturii electronice și a serviciilor de încredere, care a înlocuit vechea Lege 455/2001), semnătura electronică calificată produce aceleași efecte juridice ca semnătura olografă, iar documentul semnat astfel are valoarea unui înscris sub semnătură privată.

Varianta a doua: aplicația furnizorului de certificat

Adobe Reader e suficient pentru PDF-uri, dar semnează un singur document pe rând și nu lucrează cu alte formate. Pentru asta, furnizorii au aplicații proprii de semnare. Pentru certificatele CertDigital, aplicația se numește CERTDIGITAL CDP Client și o descarci din secțiunea de suport a furnizorului.

Ce face în plus față de Adobe:

• semnează PDF, XML și fișiere .p7s (formatul cerut de unele instituții pentru documente care nu sunt PDF);
• poate aplica o marcă temporală calificată, adică o dovadă independentă a momentului semnării, utilă la contracte și la licitații;
• îți permite să configurezi din setări poziția și dimensiunea semnăturii vizibile, o singură dată, apoi le aplică identic pe toate documentele;
• funcționează și cu certificate din Windows Store sau din cloud, nu doar de pe token;
• are un modul de verificare a documentelor semnate, cu raport de validare descărcabil.

Dacă semnezi ocazional, rămâi pe Adobe Reader. Dacă semnezi zilnic sau ai de trimis fișiere .p7s, merită cele cinci minute în care instalezi aplicația furnizorului.

Semnătură vizibilă sau invizibilă: care e diferența?

Dreptunghiul care apare pe pagină nu este semnătura. Semnătura e o structură criptografică atașată fișierului și există chiar dacă pe pagină nu se vede nimic. Chenarul e doar reprezentarea grafică, pusă acolo ca să vadă cine deschide documentul că e semnat.

Juridic, semnătura invizibilă are aceeași valoare ca cea vizibilă. Diferența e practică:

• Semnătura vizibilă o folosești când documentul ajunge la un om care îl citește: contracte, oferte, adeverințe, documentație pentru licitații, acte trimise unui partener. Asta cer și instituțiile care vor ca „semnătura să apară pe document".
• Semnătura invizibilă o folosești la fișiere procesate automat, la formulare fără loc liber în pagină sau când nu vrei să strici aspectul unui document deja machetat.

Dacă o instituție îți respinge documentul pentru că „nu se vede semnătura", semnătura în sine e în regulă. Repetă semnarea cu chenar vizibil, pe pagina pe care ți-o indică.

Cum verifici că semnătura e validă

Verifică orice document important înainte să-l trimiți. Ai trei metode, de la cea mai rapidă:

1. În Adobe Reader. Închide și redeschide fișierul salvat. Sus trebuie să apară o bară albastră sau verde cu mesajul „Signed and all signatures are valid" / „Semnat, toate semnăturile sunt valide". Dă click pe chenarul semnăturii, apoi pe „Signature Properties" ca să vezi cine a semnat, când, și dacă documentul a fost modificat după semnare.
2. În aplicația furnizorului. Modulul de verificare îți spune explicit dacă lanțul de încredere e complet și dacă documentul a fost alterat, și îți generează un raport pe care îl poți atașa la un dosar.
3. Cu validatorul Comisiei Europene. Comisia pune la dispoziție gratuit aplicația demo DSS (DSS Demo WebApp), care validează semnături în format PAdES, XAdES, CAdES și ASiC și îți dă un raport detaliat. Două precizări: Comisia o declară aplicație de demonstrație, nu serviciu de producție, iar fișierul pe care îl încarci ajunge pe serverele UE, deci nu o folosi pentru documente confidențiale. Pe de altă parte, fiind un instrument conform eIDAS, aici se face validarea juridică a unei semnături calificate, nu după bifa verde din Adobe.

Bifa verde din Adobe înseamnă că certificatul tău a fost găsit în magazinul de încredere al aplicației, alimentat din listele europene de încredere (EUTL) și din lista Adobe (AATL). Afișajul ține însă de configurația locală și nu e o condiție a valabilității juridice: o semnătură calificată emisă de un furnizor din Lista de încredere UE produce efecte juridice (echivalente semnăturii olografe, potrivit art. 25 alin. (2) din Regulamentul (UE) 910/2014) chiar dacă pe un anumit calculator Adobe afișează „validity unknown" fiindcă magazinul local nu e la zi. Dacă bifa lipsește, treci la secțiunea de erori.

Cum semnezi mai multe documente odată

Adobe Reader gratuit nu are semnare în lot: repeți pașii pentru fiecare fișier, iar PIN-ul ți-l cere de fiecare dată sau, la unele configurații, o singură dată pe sesiune. Dacă ai de semnat 30 de facturi sau un dosar întreg, ai două variante realiste:

• Aplicația furnizorului, care permite selectarea mai multor fișiere și semnarea lor succesivă cu aceleași setări de poziție și aspect;
• Comasarea documentelor într-un singur PDF, atunci când destinatarul acceptă asta: o semnătură pe un fișier de 40 de pagini acoperă tot conținutul lui.

Dacă mai multe persoane trebuie să semneze același document, ordinea contează. Fiecare semnătură nouă se adaugă peste cele anterioare, iar semnăturile deja aplicate rămân valide doar dacă documentul nu e modificat între timp. Semnați deci pe rând, pe același fișier, fără să-l editați între semnături.

Erorile clasice și cum le repari

„Tokenul nu e văzut": certificatul nu apare în lista Adobe

E cea mai frecventă eroare. Verifică, în ordine:

1. Tokenul e băgat direct în calculator, nu printr-un hub USB și nu prin adaptor. Multe hub-uri ieftine nu duc tokenuri criptografice.
2. Închide complet Adobe Reader (inclusiv din bara de jos) și redeschide-l cu tokenul deja conectat. Adobe citește dispozitivele la pornire.
3. Certificatul se vede în aplicația de management a tokenului? Dacă nu se vede nici acolo, problema e de driver, nu de Adobe, așa că reinstalează driverul.
4. Dacă tot nu apare, atașează manual modulul PKCS#11. Deschide Preferințele cu Ctrl+K pe Windows (Cmd+K pe Mac), scurtătură care funcționează în toate variantele. Altfel, le găsești în interfața clasică în Edit → Preferences, iar în noua interfață Acrobat în meniul hamburger → Preferences (pe macOS: Acrobat Reader → Settings). Apoi mergi la categoria Signatures, la „Identities & Trusted Certificates" apasă „More…", iar în arborele din stânga alege Digital IDs → PKCS#11 Modules and Tokens → „Attach Module" și indică fișierul de bibliotecă (DLL pe Windows / dylib pe Mac) al driverului tokenului tău, din folderul de instalare al driverului. Dacă butonul „Attach Module" apare gri/inactiv (se întâmplă des după actualizările recente), dezactivează întâi modul protejat: Preferences → Security (Enhanced) → debifează „Enable Protected Mode at startup", închide și redeschide Adobe, apoi reia pașii.

„PIN incorect" sau PIN blocat

PIN-ul tokenului nu e parola contului tău și nu e codul de emitere. Dacă l-ai uitat, nu încerca la nesfârșit: după un număr limitat de încercări greșite tokenul se blochează. Deblocarea se face cu PUK-ul (dacă îl ai) din aplicația de management a tokenului. Dacă nu ai nici PUK-ul, certificatul trebuie reemis. De aceea, oprește-te după două-trei încercări și cere ajutor.

„Certificat neîncrezut" / „Validity unknown" / semnătură cu semn de întrebare

De cele mai multe ori documentul e semnat corect, dar Adobe de pe calculatorul care îl deschide nu are lista de autorități actualizată. Încearcă întâi actualizarea listelor de încredere. Deschide Preferințele (Ctrl+K pe Windows, Cmd+K pe Mac; în interfața clasică Edit → Preferences, în noua interfață Acrobat meniul hamburger → Preferences, pe macOS Acrobat Reader → Settings) și mergi la categoria Trust Manager. Acolo sunt două secțiuni separate, fiecare cu propriul buton „Update Now": una pentru lista Adobe (AATL) și una pentru listele europene de încredere (EUTL). Apasă „Update Now" la ambele, apoi click dreapta pe semnătură → „Validate Signature".

Actualizarea listelor rezolvă eroarea doar dacă furnizorul care a emis certificatul se află efectiv în AATL sau în EUTL. Sunt și situații în care „Update Now" nu ajută:

• Certificat emis de o autoritate internă sau de un furnizor neinclus în listele Adobe/UE. Aici soluția e adăugarea din Signature Properties → Add to Trusted Certificates sau importul lanțului de încredere al furnizorului.
• Lanțul e doar în magazinul Windows. Adobe nu folosește implicit magazinul Windows, deci trebuie activată integrarea din Preferences → Signatures → Verification → More → Windows Integration.
• Verificarea de revocare (OCSP/CRL) inaccesibilă, lipsa mărcii temporale sau documentul modificat după semnare. Și acestea dau un statut nedeterminat sau invalid, indiferent de AATL/EUTL.

Mai e ceva care surprinde: chiar cu „Update Now", instantaneul EUTL folosit de Adobe se publică aproximativ o dată pe lună, iar magazinul local se reîmprospătează cel mult o dată la circa două săptămâni. De la înscrierea unui furnizor român în lista națională de încredere și până când Acrobat o reflectă pot trece până la vreo 30 de zile. Un certificat calificat proaspăt poate apărea deci „neîncrezut" în Adobe deși e valid juridic. Și din acest motiv e mai sigur să te bazezi pe un validator conform eIDAS decât pe afișajul din Adobe.

Dacă mesajul apare la destinatar, nu la tine, trimite-i pașii de mai sus. De regulă certificatul tău e în regulă, iar problema e o setare locală pe calculatorul lui.

„The document has been altered" după semnare

Ai deschis fișierul semnat, ai completat ceva sau l-ai salvat din nou. Orice modificare făcută după semnare invalidează semnătura, așa că reia procesul de pe originalul nesemnat.

Semnătura apare, dar instituția o respinge

Verifică trei lucruri: certificatul nu e expirat (dacă e, ai varianta de reînnoire), formatul cerut e PDF și nu .p7s, iar semnătura e vizibilă dacă instituția cere asta explicit. Pentru SEAP/SICAP, de exemplu, oferta și DUAE trebuie semnate cu semnătură electronică calificată, conform HG 395/2016; o semnătură avansată sau o poză cu semnătura scanată nu sunt acceptate.

Ce nu îți trebuie neapărat

Nu orice semnătură de pe un PDF are nevoie de certificat calificat pe token. Pentru un document intern, pentru o confirmare între prieteni sau pentru un formular fără miză juridică, o semnătură simplă e suficientă legal, chiar dacă are altă forță probantă. Certificatul calificat devine necesar acolo unde legea sau instituția îl cere expres: relația cu ANAF prin SPV, licitații publice, contracte pe care vrei să te poți baza în instanță, documente de HR.

Persoanele fizice se pot înrola în SPV și gratuit, cu utilizator și parolă, fără certificat. Certificatul calificat e obligatoriu pentru înrolarea persoanelor juridice și util atunci când administrezi mai multe firme sau semnezi frecvent documente.

Pe scurt

Token în USB, driver instalat, Adobe Reader gratuit, All Tools → Use a certificate → Digitally sign, desenezi chenarul, alegi certificatul, salvezi cu nume nou, introduci PIN-ul. La final verifici că scrie „toate semnăturile sunt valide".

Dacă nu ai încă un certificat sau al tău e aproape de expirare, poți vedea prețurile finale sau comanda online, cu livrare prin curier. Iar dacă te blochezi la vreun pas de mai sus, scrie-ne. De obicei e o setare, nu o problemă cu certificatul.