电子签名与数字签名：你到底需要哪一种？

「电子签个名发回来就行。」听起来够简单了，直到你意识到「电子签名」和「数字签名」被当作同一个意思在用——而它们并不是。一个是关于意图的宽泛概念。另一个是一项具体的密码学技术。搞清楚你需要哪一个，能让你既不会为一张简单的表格过度设计，也不会让一份真正重要的东西保护不足。

电子签名：那个宽泛的术语

电子签名是任何带着签署意图所做出的电子标记。这是刻意地宽泛。在一封邮件末尾敲上你的名字，可以算。用鼠标或手指在 PDF 上画出你的签名，算。点一下「我同意」的方框，也可以算。

让它成为一个签名的，不是技术，而是意图与情境：你有意去签，并且有一份合理的记录能证明你签了。对于绝大多数日常协议而言，这恰恰就是对方所要求的。一份知情同意书、一次内部审批、一张签收单、两个彼此信任的人之间的一份自由职业合同。你不需要比一个清晰、有意的电子签名更重的东西。

数字签名：密码学的那一种

数字签名是一个具体得多、范围窄得多的东西。它运用密码学——一份数字证书和一对密钥——来完成两件普通电子签名做不到的事：

• 证明是谁签的。 签名与一份能标识签署人身份的证书绑定，最好由一个受信任的权威机构签发。
• 证明文件自签署后未被改动。 如果文件在签署之后哪怕被改动了一个字节，签名就会失效，任何阅读者都能看出来。这是内建于数学之中的防篡改证据。

所以，每一个数字签名都是电子签名，但并非每一个电子签名都是数字签名。数字的那一种在此之上额外加上了可验证的身份与完整性。在风险更高、信任落差更大的场合你才会需要它：一份与你不认识的对象签的合同、一份法律文书、任何日后可能有人争议「是谁签的」或「文件是否被改过」的东西。

关于法律效力的一点说明

不同国家有各自的签名法律（比如欧盟的 eIDAS），它们界定了若干等级，从基础的电子签名一直到由认证服务商背书、并经过正式身份核验的「合格」签名。最高的那些等级通常要求一份来自获认可机构的合格证书，那本身是一道独立的流程。务实的结论是：让签名与场景相匹配。大多数事情只需要一个普通的电子签名。少数高风险文件需要密码学的、有证书背书的那一种，有时还需要一个正式合格的版本。别想当然地认为总是要用最重的那个选项，也别想当然地认为最轻的那个总是够用。

在浏览器里给 PDF 加上签名

对于日常情形——直接在文件上做一个有意的电子签名——reader.me 有一个在你设备上运行的签名工具：

1. 打开签名工具，把你的 PDF 拖进去。
2. 创建你的签名。 把它画出来，或放上一张签名图片。
3. 把它定位到页面上它该在的地方。
4. 下载签好名的 PDF。 它会直接保存到你的机器上。

整件事都发生在你的浏览器里。文件并不会为了签名而被上传——这一点很重要，因为你要签的东西，合同、协议、表格，恰恰是你最不希望搁在别人服务器上的那些文件。

为什么在本地签名才是正确的默认做法

许多在线签署服务的讽刺之处就在这里：为了加上一个本意是保护协议的签名，你得先把整份协议上传到他们的服务器。一份文件生命中最敏感的时刻——它变得具有约束力的那一刻——被交到了一个第三方手里。

reader.me 在浏览器里签名。PDF 被读进你机器的内存，你的签名就地添上，签好的文件再保存回你这里。没有任何东西上传。你可以亲自检查：打开开发者工具（F12），在你签名时盯着「网络」（Network）选项卡，你会看不到任何流量。或者断开连接、离线签一份文件，看着它照样能用。

所以「你需要哪一种？」的简短回答是：对大多数事情来说，一个清晰的、在本地添加的电子签名，恰到好处。对那些高风险、身份至关重要的情形，去了解一下基于证书的数字签名。无论哪种，都没有什么好理由要让文件仅仅为了签个名就离开你的机器。在浏览器里加上你的签名，让它留在它该在的地方。