72. Elektronické podpisy

Elektronické podpisy slouží ke správě certifikátů, podpisových profilů a pravidel, který profil se použije pro konkrétní výstup. Aktuálně se podepisují PDF výstupy a vybrané odchozí e-maily.

Kde funkci najdeš, závisí na roli:

• admin — správu podpisů najdeš jako záložku Elektronické podpisy uvnitř stránky Systém -> E-maily (vedle záložek Odeslané, Šablony, Profily, SMTP log).
• accountant (účetní) — pokud admin zapnul přepínač Povolit uživatelům správu vlastních podpisových profilů, objeví se účetnímu v postranním menu samostatná položka Systém -> Elektronické podpisy. Bez zapnutého přepínače účetní tuto položku v menu nevidí a přímý přístup na URL ho přesměruje na úvodní stránku.

PDF výstupy:

• vydaná faktura,
• samostatný výkaz práce,
• volitelně sloučené PDF v exportu vydaných faktur.

Když je výkaz práce vložený jako další stránka PDF faktury, podpis výstupu Vydaná faktura pokrývá celé výsledné PDF včetně této stránky. Výstup Výkaz práce se používá pro samostatně generované PDF výkazu. Sloučený export se podepisuje až jako hotový celek a používá stejnou konfiguraci profilu jako výstup Vydaná faktura. Podpis se provede jen po zaškrtnutí volby v exportu; bez ní zůstane sloučené PDF nepodepsané.

S/MIME e-mailové výstupy:

• e-mail s fakturou,
• e-mail s upomínkou,
• e-mail s připomínkou zálohy,
• e-mail s poděkováním za úhradu,
• e-mail se schválením výkazu,
• e-mail s připomínkou pravidelné faktury.

PDF používá PAdES podpis. Bez časového razítka jde o úroveň PAdES-B, s nastaveným TSA serverem o PAdES-T. Odchozí e-mail se podepisuje jako S/MIME zpráva. S/MIME podpis potvrzuje odesílatele a integritu zprávy, ale e-mail nešifruje.

📁 Podpis zachovává archivní formát. Faktury se generují jako PDF/A-3b a elektronický podpis tuto archivní konformitu zachová — podepsaný dokument je stále validní PDF/A-3b (ověřeno nástrojem veraPDF).

72.1 Základní pojmy

72.2 Oprávnění

Admin povolí uživatelské profily přepínačem Povolit uživatelům správu vlastních podpisových profilů (na záložce Elektronické podpisy v E-mailech). Pokud není zapnutý, účetní položku elektronických podpisů v menu nevidí.

72.3 Založení podpisového profilu

1. Admin otevře Systém -> E-maily a přepne na záložku Elektronické podpisy. Účetní (má-li povoleno) otevře rovnou Systém -> Elektronické podpisy.
2. V sekci Podpisové profily klikni Nový profil.
3. Vyplň Název a Kód. Kód je technický identifikátor profilu a musí být unikátní v rámci dodavatele.
4. Vyber Vlastník profilu:

• Profil dodavatele pro centrální firemní podpis,
• Můj profil pro podpis konkrétního přihlášeného uživatele,
• Jiný uživatel jen pro admina, pokud profil zakládá za konkrétního uživatele.

1. V části Použití vyber, k čemu se profil smí použít:

• PDF pro podpis faktur a výkazů práce,
• S/MIME e-mail pro podpis odchozích e-mailů,
• obě volby, pokud stejný certifikát používáš pro PDF i e-mail.

1. Backend profilu ponech native. E-mailové výstupy používají S/MIME backend interně podle typu výstupu.
2. Nech profil aktivní, pokud se má dát použít při podepisování.
3. Ulož profil.

72.4 Certifikát P12/PFX

Každý profil používá jeden certifikát. Stejný certifikát se může použít pro PDF podpis i pro S/MIME podpis e-mailu, pokud profil povoluje obě použití.

U vlastního profilu jsou dostupné dva zdroje:

Použití osobního certifikátu EPO

1. V Nástroje → EPO podání a archív otevři Certifikáty EPO, nahraj P12/PFX a povol ho pro aktuální firmu.
2. Založ nebo uprav profil s vlastníkem Můj profil.
3. V části Certifikát profilu zvol Použít osobní certifikát EPO a vyber certifikát z trezoru.
4. Potvrď se — buď Ověřit přístupovým klíčem, nebo aktuálním heslem do MyÚčta a při zapnutém 2FA také TOTP. Tím vědomě povolíš použití soukromého klíče v podpisovém profilu.
5. Ulož profil.

Profil ukládá jen vazbu a veřejná metadata certifikátu. PFX a jeho heslo zůstávají v původním šifrovaném trezoru, při PDF nebo S/MIME podpisu se dešifrují pouze v paměti serveru. Certifikát nelze z trezoru smazat ani odebrat z firmy, dokud ho používá její aktivní podpisový profil. Nejprve v profilu certifikát odeber nebo ho nahraď jiným.

Samostatný certifikát profilu

1. Otevři editaci profilu.
2. V části Certifikát profilu klikni Vybrat soubor.
3. Vyber soubor ve formátu P12/PFX s privátním klíčem.
4. Zadej Heslo k certifikátu. Aplikace ho použije pro kontrolu souboru a podle zvolené politiky ho buď uloží šifrovaně, nebo jen ověří.
5. Vyber politiku hesla.
6. Klikni Uložit profil nebo Nahrát certifikát podle toho, jestli profil teprve vytváříš, nebo upravuješ.

Po nahrání se zobrazí metadata certifikátu: subject, e-mail v certifikátu, platnost, politika hesla a SHA-256 fingerprint. Soubor certifikátu se ukládá do interního storage aplikace. V produkci je vhodné mít MYINVOICE_DATA_DIR nastavený mimo webový root (MyÚčto je fork MyInvoice a tento název proměnné prostředí sdílí beze změny).

Certifikát bez privátního klíče nestačí. Pokud import selže s chybou špatného hesla nebo neplatného PKCS#12, zkontroluj, že P12/PFX opravdu obsahuje privátní klíč a že zadáváš správnou passphrase.

Pro S/MIME podpis je prakticky důležité, aby certifikát, včetně sdíleného osobního certifikátu EPO, obsahoval e-mailovou adresu používanou jako odesílatel nebo aby ho příjemcův klient uměl přiřadit k odesílateli. Aplikace podpis vytvoří, ale důvěryhodnost a shoda identity se vyhodnocuje až v e-mailovém klientovi příjemce.

72.5 Politika hesla k certifikátu

Passphrase file

Cestu k souboru nastav správce v konfiguraci:

'signing' => [
    'passphrase_file' => '/var/lib/myucto/signing-passphrases.json',
],

Kvůli zpětné kompatibilitě se bere i pdf_signing.passphrase_file.

Soubor může být JSON:

{
  "profiles": {
    "owner_john": { "passphrase": "heslo-k-p12" },
    "owner_novak": { "passphrase": "jine-heslo" }
  }
}

Nebo INI:

[owner_john]
passphrase=heslo-k-p12

[owner_novak]
passphrase=jine-heslo

Do pole ID hesla v passphrase file v profilu zadej například owner_john. Soubor musí být čitelný procesem aplikace a neměl by být součástí webového rootu ani gitu.

72.6 TSA a důvod podpisu

V profilu je volitelná část PDF nastavení profilu. Tato nastavení platí jen pro PDF podpisy:

Bez TSA se dokument podepíše jako PAdES-B. Pokud je TSA nastavená a dostupná, přidá se důvěryhodné časové razítko a výsledkem je PAdES-T.

S/MIME podpis odchozího e-mailu v této implementaci TSA nepoužívá.

72.7 Konfigurace podpisů pro výstupy

Sekci Konfigurace podpisů vidí admin na záložce Elektronické podpisy v Systém -> E-maily. Každý řádek nastavuje jeden typ výstupu: buď PDF, nebo S/MIME e-mail.

Výběr profilu

U automatických/background operací nemusí existovat přihlášený uživatel. Pokud je výstup nastavený na Přihlášený uživatel, je proto důležité nastavit rozumný fallback.

Fallback uživatele

Při chybě

Tlačítko Otestovat v řádku konfigurace vytvoří dočasné PDF a zkusí ho podepsat podle stejného mapování. Zobrazuje se jen u PDF výstupů. Výsledek zobrazí stav, použitý profil a vlastníka certifikátu (CN), pokud ho backend zjistí.

Změny všech řádků se uloží společně tlačítkem Uložit konfiguraci podpisů pod tabulkou.

S/MIME podpis otestuješ odesláním testovacího e-mailu pro příslušný typ zprávy a ověřením podpisu v e-mailovém klientovi.

72.8 Mapování podpisových profilů uživatele

Sekce Mapování podpisových profilů slouží pro osobní výchozí profily přihlášeného uživatele. Admin ji vidí na záložce Elektronické podpisy v Systém -> E-maily, účetní (má-li povoleno) na stránce Systém -> Elektronické podpisy.

Použije se jen tehdy, když admin v Konfiguraci podpisů nastavil daný výstup na Přihlášený uživatel. Pokud je výstup nastavený na Profil dodavatele, uživatelský profil se ignoruje a UI na to upozorní.

Pro každý výstup vyber vlastní aktivní profil, který podporuje stejné použití jako výstup. Pro PDF výstupy musí profil podporovat použití PDF, pro e-mailové výstupy použití S/MIME e-mail.

72.9 Výběr podpisu na konkrétním dokladu

Na detailu faktury je pro uživatele s právem zápisu sekce Elektronický podpis dokumentu. Umožňuje přepsat výchozí konfiguraci pro konkrétní doklad.

Změna výběru u faktury invaliduje PDF cache, aby se další stažení nebo odeslání vygenerovalo s aktuálním podpisem. U uživatelských profilů cache závisí na tom, který uživatel PDF generuje, takže stejný doklad může být podepsaný jiným profilem podle přihlášeného uživatele.

Per-dokladový výběr se týká PDF dokladů. Odchozí e-maily se řídí mapováním e-mailových výstupů v Konfiguraci podpisů.

72.10 Podepisování odchozích e-mailů

S/MIME podpis se aplikuje při sestavení e-mailu těsně před odesláním přes SMTP. Podepisuje se výsledná MIME zpráva včetně HTML/textového těla a příloh, takže příjemce může v běžném e-mailovém klientovi ověřit, že zpráva nebyla cestou změněna.

Podporované e-mailové výstupy:

Nastavení funguje stejně jako u PDF výstupů:

• admin v Konfiguraci podpisů zapne podpis pro konkrétní e-mailový výstup,
• zvolí Profil dodavatele nebo Přihlášený uživatel,
• při strategii Přihlášený uživatel si uživatel nastaví vlastní výchozí profil v Mapování podpisových profilů,
• u S/MIME identity zvolí pravidlo pro vztah mezi e-mailem v certifikátu a hlavičkou From,
• při chybě se použije politika Vrátit nepodepsané nebo Zastavit s chybou.

Výchozí politika S/MIME identity je Podepsat a varovat. Pokud certifikát neobsahuje e-mailovou identitu nebo se liší od skutečného odesílatele ve From, e-mail se podepíše a neshoda se zapíše do activity logu. Striktní kontrolu lze zapnout volbou Vyžadovat shodu From.

Režimy S/MIME identity:

Režimy s přepsáním From podepisují až výslednou zprávu po úpravě hlavičky. Activity log obsahuje původní From, nové From, e-mail certifikátu a použitý podpisový profil. Pokud podmínka pro přepsání neplatí, chová se režim jako striktní chyba a použije se nastavená politika chyby.

Pokud je v Odesílacím e-mailovém profilu vybraný konkrétní S/MIME profil, má pro daný e-mail přednost před obecným mapováním profilu ve výstupu. Díky tomu může jedna odesílací identita držet pohromadě From, DKIM identitu a certifikát.

S/MIME podpis e-mail nešifruje. Obsah zprávy zůstává čitelný stejně jako u běžného e-mailu, jen je opatřen elektronickým podpisem.

72.11 Ověření podepsaného PDF

Po stažení můžeš PDF ověřit v běžné PDF čtečce nebo na serveru například přes pdfsig:

pdfsig Faktura-2606009.pdf

U platného podpisu uvidíš stav podpisu jako validní. Pokud výstup hlásí, že vydavatel certifikátu je neznámý, znamená to obvykle chybějící důvěryhodný certifikační řetězec v prostředí ověřovatele. Samotný kryptografický podpis může být přesto validní.

72.12 Audit a řešení problémů

Správa i použití podpisů se zapisuje do activity logu. Typické události:

Časté problémy:

72.13 Poznámka k REST API

Podpisové endpointy jsou interní administrační endpointy používané SPA aplikací (/api/settings/... a /api/documents/.../signature-selection). Nejsou součástí veřejného /api/v1 subsetu a nejsou popsané v api/openapi.yaml.

Veřejné endpointy pro stažení nebo odeslání PDF vrací dokument podle aktuální konfigurace podpisů, ale samotná správa podpisových profilů zatím není veřejné API pro externí integrace.