En korrekt signerad PDF (PAdES-format) bär sitt eget bevis: ett kryptografiskt sigill inbäddat i filen, kontrollerbart mot publika betrodda listor utan att plattformen som skapade det behöver kontaktas. Saknar filen ett inbäddat sigill vilar äktheten helt på plattformens egna register.
När ett signerat avtal bestrids — eller när du helt enkelt ska lämna över ett äkthetsbevis till någon annan — går det inte alltid att logga in hos den ursprungliga signeringstjänsten. Motparten kan ha använt en plattform du inte har konto hos. Tvisten kan vara skarp, och då vill du knappast förlita dig på motpartens leverantör för att få bekräftat att motpartens egen signatur är äkta. Eller så finns plattformen helt enkelt inte kvar.
I samtliga fall är det filen du behöver kunna kontrollera, inte leverantören.
Öppna PDF:en i en läsare som visar signaturpaneler — Adobe Acrobat gör det direkt. En korrekt byggd elektronisk signatur enligt eIDAS använder PAdES-formatet och bäddar in signaturen i PDF:ens egen signaturstruktur. Visar läsaren ingen signaturpanel alls ligger dokumentets äkthetspåstående, vad det än är, utanför filen — typiskt i signeringstjänstens egen databas.
Att en signaturpanel finns säger att det finns en signatur, inte att den är att lita på. Certifikatet bakom den behöver leda upp till ett erkänt tillitsankare: EU:s lista över betrodda listor (LOTL) för EU-kvalificerade signaturer och sigill, eller Adobes AATL för signaturer byggda för Acrobat-förtroende utan EU-kvalifikation bakom sig. Se Adobe AATL eller EU LOTL för vad respektive lista faktiskt bevisar.
Det kryptografiska sigillet täcker filens exakta byte i signeringsögonblicket. Varje ändring efteråt — även en enda omsparad sida — bryter sigillets överensstämmelse och ska visas som ogiltig i en riktig validerare. Det är den egenskapen som gör en inbäddad signatur till meningsfullt bevis: påståendet är inte "någon signerade det här någon gång", utan "exakt den här filen, oförändrad, signerades med det här certifikatet".
Att läsa en signaturpanel är en sak. Att för hand tolka certifikatkedjan, kontrollera spärrstatus och bekräfta medlemskap på en betrodd lista är inte realistiskt för de flesta — och Acrobats egen signaturpanel gör ingen oberoende omkontroll mot EU:s lista.
Det är den luckan en oberoende validerare fyller: kontrollen körs på serversidan mot samtliga betrodda listor tjänsten bär, och svaret kommer i klartext i stället för att du ska tyda ett certifikat själv.
Många signerade dokument — särskilt från tjänster byggda kring ett enkelt klicka-för-att-signera-flöde — bär inget oberoende verifierbart sigill i själva filen. Det är inte nödvändigtvis ett juridiskt problem, men det innebär att dokumentets äkthet inte går att kontrollera oberoende av plattformens eget ord. Värt att veta före en tvist, inte under en.