E-imzalı belgeniz 10 yıl sonra da doğrulanabilecek mi?

Evet, ama yalnızca imza iki şeyi birlikte taşıyorsa: imzanın atıldığı anı kanıtlayan nitelikli bir zaman damgası ve imzayı doğrulamak için gereken sertifika zinciri ile iptal bilgisinin belgenin içine gömülmüş hâli (uzun süreli doğrulama, kısaca LTV). Zaman damgası olmayan bir imzada imza zamanı kesin olarak ispatlanamaz; sertifika sonradan iptal edilirse imzanın iptalden önce mi sonra mı atıldığı da belirlenemez. Yıllarca saklayacağınız sözleşmeleri zaman damgalı ve uzun ömürlü imzayla imzalayın.

Neden "10 yıl" sorusu önemli?

Tacirler; alınan ticari mektupları, gönderilen ticari mektupların suretlerini ve kayıtlarının dayandığı belgeleri on yıl saklamakla yükümlüdür. Ticari mektup, bir ticari işe ilişkin tüm yazışmalar olarak tanımlanır. Bu belgeler veri taşıyıcılarda saklanabilir; şartlardan biri, saklama süresi boyunca kayıtlara her an ulaşılabilmesi ve okunabilir hâle getirilebilmesidir (TTK md. 82).

E-imzalı bir sözleşmede "okunabilir" olmak yetmez; bir uyuşmazlıkta imzanın hâlâ doğrulanabilmesi gerekir. Hâkim, mahkemeye sunulan elektronik imzalı belgenin güvenli elektronik imzayla oluşturulup oluşturulmadığını kendiliğinden inceler (HMK md. 205/3). Bu incelemenin yıllar sonra sorunsuz yapılabilmesi, imzanın baştan nasıl atıldığına bağlıdır.

Sorun: sertifikaların da bir ömrü var

İmzanızın dayandığı nitelikli elektronik sertifikada, geçerlilik süresinin başlangıç ve bitiş tarihleri yazmak zorundadır (5070 md. 9). Sertifikayı veren elektronik sertifika hizmet sağlayıcısının (ESHS) kendi imza anahtarlarının geçerlilik süresi de on yılı aşamaz (Elektronik İmza Kanununun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik md. 18). Yani bugün attığınız imzanın arkasındaki her halka bir gün sona erer.

Sertifika süresinden önce de iptal edilebilir: sahibinin talebi, bilgilerin yanlış çıkması ya da değişmesi, sahibinin ölümü gibi durumlarda ESHS sertifikayı derhâl iptal eder, ama geçmişe yönelik iptal edemez (5070 md. 11). İptal edilen sertifika, geçerlilik süresi sonuna kadar iptal durum kayıtlarında yer alır (Yönetmelik md. 13). Süre dolduktan sonra bu kayıtlardan düşer.

BTK'nın Elektronik İmza Kullanım Profilleri Rehberi sonucu açıkça söyler: imza, imzalayan sertifikanın ömründen daha uzun süre kullanılacaksa, ileride erişilemez olacak doğrulama verisinin mutlaka toplanması gerekir.

Zaman damgası nedir, bilgisayar saatinden farkı ne?

Kanundaki tanım şöyledir: zaman damgası, bir elektronik verinin üretildiği, değiştirildiği, gönderildiği, alındığı ve/veya kaydedildiği zamanın tespit edilmesi amacıyla elektronik sertifika hizmet sağlayıcısı tarafından elektronik imzayla doğrulanan kayıttır (5070 md. 3/h). ESHS zaman damgası hizmetini sağlamakla yükümlüdür; nitelikli sertifika sahibi bu hizmeti talep ederse alır (Yönetmelik md. 31). Yani zaman damgası kendiliğinden gelmez, ayrıca edinilen bir hizmettir.

Zaman damgası olmayan basit bir imzada da bir tarih görürsünüz; bu tarih genellikle imzayı atan bilgisayarın saatinden gelir ve o saat değiştirilebilir. BTK rehberi bu tür imzayı (BES) şöyle tarif eder: içinde imza zamanına ait bilgi bulundurabilir, ancak imza zamanını ispatlama özelliğinden yoksundur. Zaman damgasında ise tarihi bağımsız bir üçüncü taraf, yani ESHS, kendi imzasıyla onaylar.

Ticaret Kanunu da bu farkı tanır: zaman unsurunun belirlenmesi gereken ve yönetmelikte düzenlenen hâllerde, güvenli elektronik imzaya eklenen zaman damgasının tarihi esas alınır (TTK md. 1526/3).

Zaman damgası tek başına yetmez: LTV

Zaman damgası "bu imza şu anda vardı" der. Yıllar sonra doğrulama yapan kişinin ayrıca "o anda sertifika geçerli miydi?" sorusunu da cevaplayabilmesi gerekir. BTK rehberine göre uzun süre sonra doğrulama için gereken veri şunlardan oluşur:

• İmza sertifikası ve güven zincirindeki tüm sertifikalar (ESHS'nin ara ve kök sertifikaları),
• Bu sertifikalara ait iptal bilgisi: Sertifika İptal Listesi (SİL, uluslararası adıyla CRL) ya da anlık sorgu servisi ÇiSDuP (OCSP) cevabı,
• İmzadaki her zaman damgası için zaman damgası sertifikası, zinciri ve bunlara ait iptal bilgisi.

Bu verilerin imzanın içine eklendiği biçime rehber ES-XL der; PDF'teki karşılığı PAdES-LTV'dir. Belge, doğrulanması için gereken her şeyi kendi içinde taşır. Böylece ESHS'nin sunucularına yıllar sonra ulaşılamasa bile imza doğrulanabilir.

BTK'nın dört imza profili

BTK rehberi, imzaları ne kadar süre doğrulanabilir kalacaklarına göre dört profile ayırır:

Tablodaki "kesinleşme süresi", iptal bilgisinin SİL'de yayımlanması için beklenmesi gereken süredir; bir sertifika iptal edilse bile bu bilgi bir sonraki liste yayımlanana kadar görünmeyebilir. ÇiSDuP anlık cevap verdiği için P4'te bu bekleme uygulanmaz. Rehber P4'ü en güvenilir, uzun ömürlü ve sorunsuz imza profili olarak tanımlar.

Profillerin iş hayatındaki karşılığı kabaca şöyledir:

• P1 (anlık): İmzanın hemen doğrulanıp işlendiği ve sonra tekrar bakılmayacağı işler, örneğin bir sisteme e-imzayla giriş.
• P2 (kısa ömürlü): İmza zamanı kanıtlanır, ama doğrulama sertifikanın kalan ömrüyle sınırlıdır.
• P3 / P4 (uzun ömürlü): İmza ve ESHS sertifikalarının süresi dolduktan sonra da doğrulanabilir. Sözleşmeler ve saklanması gereken ticari belgeler için doğru tercih budur.

Çok uzun arşivler için: arşiv zaman damgası

Onlarca yıl saklanacak belgelerde bir risk daha vardır: imzayı koruyan şifreleme yöntemleri zamanla zayıflayabilir. Nitekim kabul edilen algoritma ve parametreler Tebliğ'de belirli bir tarihe kadar geçerli sayılır ve bu tarih 2022 ile 2025'teki değişikliklerle güncellenmiştir (Elektronik İmza ile İlgili Süreçlere ve Teknik Kriterlere İlişkin Tebliğ md. 6). BTK rehberi bu durum için ES-A (arşiv imza) biçimini anlatır: belge, zaman damgası sertifikasının süresi bitmeden yeni bir arşiv zaman damgasıyla dönem dönem güncellenir. Çoğu KOBİ sözleşmesi için LTV yeterli bir başlangıçtır; çok uzun süreli arşiv yükümlülüğünüz varsa bu adımı da planlayın.

Belgenizde zaman damgası ve LTV var mı, nasıl anlarsınız?

PDF'i imza doğrulamayı destekleyen bir okuyucuda açıp imza özelliklerine bakın. İmza zamanının "yerel saat" yerine bir zaman damgası sunucusundan geldiği ve imzanın uzun süreli doğrulamaya uygun olduğu orada yazar. Adımların ayrıntısı için e-imzalı PDF nasıl doğrulanır yazımıza bakabilirsiniz.

1. Zaman damgası var mı ve bir ESHS'ye mi ait?
2. İmza uzun süreli doğrulamaya uygun mu (LTV)?
3. İmzadan sonra belgeye izinsiz bir değişiklik yapılmış mı?
4. Belgenin aslını (imzalı PDF dosyasını) değiştirmeden saklıyor musunuz?

Collobr'da nasıl işliyor?

Collobr E-İmza uygulaması, teklif ve sözleşme PDF'lerinizi akıllı kart ya da USB token'ınızla PAdES biçiminde imzalar. Zaman damgası için firmanız kendi zaman damgası aboneliğini Collobr'a tanımlar; Collobr zaman damgası hizmeti satmaz ya da vermez. Abonelik tanımlıysa imzaya zaman damgası eklenir ve sertifika zinciri ile OCSP/CRL verisi PDF'e gömülebilir. LTV verisinin gömülmesi için zaman damgası gerekir.

E-imzanın hangi belgelerde kullanılabileceğini merak ediyorsanız e-imzanın nerede geçerli olduğu yazımıza, konunun tamamı için e-imza rehberimize bakın.