电子签名和数字签名不是一回事

第一层：一幅画

你用手指写下名字，它被放到页面上。文件里没有任何东西记录是谁画的，也没有任何东西阻止页面事后被改。这是最宽泛意义上的电子签名：一份表达意愿的痕迹，值多少完全取决于周围的情境。

对已经彼此熟识的人之间的日常文书，这就够了，而且在场的人都明白它就是这么回事。

第二层：用自己证书做的密码学签名

PKCS#7 签名会把文档的哈希嵌进去。事后改动一个字节，签名就破了，任何 PDF 阅读器都会指出来。这是一个真实的保证，但它保证的是文件，不是你。

如果证书是你自己生成的，那没有任何人核实过你是谁。你能证明的只是「自持有该密钥的人签署以来，文档没有变过」；至于谁持有那把密钥，目前只有你自己的说法。

第三层：签发给你的证书

由认证机构核实你的身份，并签发一张载明此事的证书。这时签名同时带上两重保证：文件未被改动，且有第三方为上面的名字背书。法规在要求「数字签名」时，通常指的就是这一层，也正是要花钱、要走流程的那一层。

你需要哪一层

没有人能一概而论。取决于文件、对方和所在法域——在越南，电子发票和许多申报必须使用持牌服务商签发的证书，你自己生成的任何东西都替代不了。在依赖它之前问清楚，而不是之后。

ToolGo 的 PDF 签署做第一层和第二层。它不签发证书，也不替代持牌服务商。