İmza dosyası var ama belge görünmüyor: Ayrık ve bütünleşik imzada ne teslim alınmalı?

İmza dosyasını almak, belgenin tamamını almak olmayabilir

Elinizde bir imza dosyası bulunduğu hâlde belge görünmüyorsa önce imzanın ayrık mı bütünleşik mi olduğunu kontrol edin. Ayrık imzada imzalanan özgün içerik ayrıca gerekir. Bütünleşik yapıda içerik paketin içinde bulunur; kullandığınız aracın bu biçimi okuyabilmesi gerekir. Dosyanın açılmaması tek başına imzanın geçersiz olduğunu göstermez.

Alıcı olarak üç soruya yanıt arayın: Hangi içerik teslim edildi, bu içeriği kim imzalamış görünüyor ve uygun doğrulama aracı hangi sonucu veriyor? Dosya adını görmek veya imzalayanın sertifikasını açmak bu üç kontrolün yerini tutmaz. Gönderene eksikliği anlatırken yalnız “belge açılmıyor” demek yerine hangi aşamada kaldığınızı belirtin.

Uzantıyı değil, dosyanın yapısını kontrol edin

.p7s veya .sig gibi bir uzantıdan hareketle dosyayı otomatik olarak ayrık saymayın. Benzer şekilde bütünleşik bir imza paketi mutlaka Acrobat’ta açılan PDF değildir. Uygulamanın desteklediği imza biçimini ve içerik yapısını inceleyin; dosya adının sonunu .pdf yapmak yapıyı dönüştürmez.

Avrupa Komisyonunun DSS belgelerinde CAdES, XAdES ve PAdES için farklı paketleme seçenekleri açıklanır. İçerik imza yapısının içinde, imza belgenin içinde veya içerik ayrı bir kaynakta bulunabilir. Buradaki ayrık/bütünleşik ayrımı, teslimde içeriğin nerede olduğunu anlamak içindir; bütün teknik biçimlere tek bir ekran akışı uygulamak için değildir.

Gönderenden kullanılan uygulamanın adını, sürümünü ve çıktının biçimini isteyin. Kendi uygulamanızın resmî yardımında o biçimin desteklendiğini kontrol edin. “Desteklenmeyen biçim” uyarısını “imza geçersiz” diye yeniden adlandırmayın; önce doğru dosya ve araç eşleşmesini sağlayın.

• DSS: İmza biçimleri ve paketleme seçenekleri

Ayrık imzada imzalanan özgün içeriği isteyin

Kamu SM’nin EBYS rehberi, ayrık imza tespit edildiğinde imzalanan içeriğin ayrıca istenmesini açıkça ayırır. Buradan alıcı için çıkan pratik adım, yalnız imza dosyasını değil onunla birlikte doğrulanacak özgün belgeyi de teslim almaktır. Bu, EBYS değerlendirme ölçütlerinden uyarlanan bir kontroldür; her programda aynı menünün bulunacağı anlamına gelmez.

CMS yapısını tanımlayan RFC 5652, imzalanan içeriğin imza paketinin dışında bırakılabilmesini açıklar. İçeriğe ait özetin doğrulamada yeniden hesaplanması gerekir. Dolayısıyla “aynı metin görünüyor” demek dosyanın imzalanan içerikle eşleştiğini kanıtlamaz. Yeniden oluşturulmuş, taranmış veya başka biçime çevrilmiş bir belgeyi özgün içeriğin yerine koymayın.

Temsilî örnek: Size teklif-imza.p7s ulaştı ve doğrulayıcı yapıyı ayrık olarak tanıdı. Ardından gönderilen teklif.pdf dosyasının yalnız adını kontrol etmekle yetinmeyin. İmza ve bu içerikle doğrulama yapın. Gönderen daha sonra düzeltilmiş bir teklif ilettiyse eski imzayla yeni belgenin eşleştiğini varsaymayın; hangi sürümün imzalandığını netleştirin.

• Kamu SM: Ayrık ve bütünleşik imzada içerik kontrolü
• RFC 5652: CMS içerik ve doğrulama ilişkisi

Bütünleşik paketten içerik görmek ile imzayı doğrulamak ayrıdır

Bütünleşik yapı tespit edildiğinde içerik paketin içinden gösterilebilmelidir. Uygulama bunu yapamıyorsa gönderenin kullandığı biçimi destekleyen doğrulama aracını belirleyin. Sadece görüntülemek üzere dışarı çıkarılmış bir belgeyi, onu taşıyan özgün imza paketinin yerine saklamayın; ilk gelen dosyayı koruyun.

İmza taşıyan bir PDF’yi Acrobat’ta inceliyorsanız Adobe’nin yardımında Signatures panelinden Options ve Validate Signatures yolu gösterilir. Sonuç ayrıntıları ile Signature Properties içindeki imzalayan sertifikasını inceleyin. Etiketler dil ve sürüme göre değişebilir. Bu yol bütün imza paketleri için evrensel bir açma yöntemi değildir.

PDF’deki imza resmi ile sertifikaya dayanan imza kaydı aynı şey değildir. Dosyanın görüntülenmesi de sertifika güveni veya belge bütünlüğünün olumlu sonuçlandığını tek başına göstermez. Doğrulama uyarısı varsa uyarının tam metnini kaydedin; ayrıntılı inceleme için Acrobat’ta imza doğrulama rehberini kullanın.

Teslim dosyanız için doldurulabilir kontrol formu

Aşağıdaki formu her teslim paketi için ayrı doldurun. Bilinmeyen alana tahmin yazmayın; “teyit bekliyor” ifadesini ve kimin tamamlayacağını ekleyin. Form, resmî bir kabul belgesi değildir; dosya ve inceleme bilgilerini ekip içinde kaybetmeden aktarmaya yardımcı olur.

Teslimi kapatmadan önce kısa bir deneme yapın

Bu denemede eksik içerik varsa teslim kontrolü tamamlanmamıştır. Araç biçimi desteklemiyorsa doğrulama henüz yapılamamıştır. Araç bir hata bildiriyorsa sonucu aynen kaydedin. Bu üç durum farklı takip gerektirir; hiçbiri yalnız dosya uzantısından hukuki geçerlilik kararı vermenizi sağlamaz.

1. İlk gelen dosyaları ayrı tutun. Çalışma kopyasıyla ilerleyin; inceleme sırasında belgeyi düzenleyip ilk kopyanın üzerine kaydetmeyin.
2. Doğrulayıcıda doğru paketi seçin. Ayrık yapı bildirilirse ona ait özgün içeriği sağlayın; bütünleşik yapıdaysa içerik gösterimini kontrol edin.
3. Gösterilen belgenin beklediğiniz teslimle ilişkisini okuyun. Yanlış dosya veya sürüm şüphesi varsa bunu teknik doğrulama sonucundan ayrı bir açık iş olarak kaydedin.
4. İmzalayanları ve sonuçlarını inceleyin. Tek bir genel mesajla yetinmeden hangi imza için hangi uyarının bulunduğunu forma aktarın.
5. Özgün dosyalar, gerekiyorsa ayrı içerik ve sonuç kaydını birlikte muhafaza edin. Ekran görüntüsünü veya doğrulama raporunu asıl dosyaların yerine koymayın.

Gönderene iletilecek kısa eksik dosya talebi

Örnek talep: “Tarafımıza … adlı dosya ulaştı. … uygulamasının … sürümünde … uyarısını görüyoruz. Çıktının imza biçimini ve ayrık/bütünleşik yapısını teyit eder misiniz? Ayrık yapıysa bu imzayla eşleşen, imzalandığı andaki özgün içeriği; bütünleşik yapıysa içeriği gösterebilen doğrulama yöntemini paylaşmanızı rica ederiz.”

Yanıt geldikten sonra eski kaydı silmeden yeni kontrolü ekleyin. PDF’nin sonraki bir sürümü gönderilmişse imzalanan sürümle son hâli karşılaştırma adımlarına geçin. Önce özgün dosya teslimini tamamlayın; sorunu çözmek için dosya biçimini değiştirmeyin.