sgcSign: Digitale Signaturen für Delphi, C++ Builder & .NET

Sieh zu, wie es signiert

Echte Signaturen, am Bildschirm aufgezeichnet.

Vertonte Aufnahmen mit Untertiteln, in denen sgcSign bei der Arbeit zu sehen ist. Wähle eine aus der Liste. Nichts wird geladen, bevor du auf Play drückst.

sgcSign-Schnellstart

Digitale Signaturen für XML, PDF und Dateien aus Delphi: XAdES, PAdES, CAdES, ASiC, Authenticode und RFC-3161-Zeitstempel.

sgcSign-SchnellstartDigitale Signaturen für XML, PDF und Dateien aus Delphi: XAdES, PAdES, CAdES, ASiC, Authenticode und RFC-3161-Zeitstempel.
Eine Windows-EXE unter Linux signierenEin Delphi-Programm unter Linux bringt eine Authenticode-Signatur mit RFC-3161-Zeitstempel an. Kein Windows-Rechner im Build.
Einen MSI- oder MSIX-Installer signierenWindows-Installer-Dateien und MSIX- oder APPX-Pakete werden aus Delphi signiert und mit Zeitstempel versehen, damit der Installer das Erste ist, was klappt.
Einen großen Installer signieren, ohne ihn hochzuladenHash-only-Modus: Der Build-Agent sendet den Digest an den sgcSign Server und schreibt die zurückgegebene Signatur ein. Die Datei bleibt, wo sie ist.

Zwei Hälften, eine Engine

Dokumente auf der einen Seite, Code auf der anderen.

Dieselben Schlüsselanbieter, derselbe Zeitstempel-Client und dieselbe Validierungs-Pipeline signieren eine spanische Rechnung und einen Windows-Installer. Lerne die API einmal und wende sie überall an.

Dokument

XAdES

ETSI EN 319 132. XML-Signaturen im Enveloped-, Detached- und Enveloping-Modus. Das Format hinter der E-Rechnung und EU-Arbeitsverträgen.

Dokument

PAdES

ETSI EN 319 142. Signaturen direkt im PDF eingebettet, mit sichtbarer Darstellung von Unterzeichner, Grund, Ort und Kontakt. Kompatibel mit Adobe Acrobat.

Dokument

CAdES

ETSI EN 319 122. Binäre CMS-/PKCS#7-Signaturen für jede Datei oder jeden Stream, detached oder attached.

Dokument

ASiC-S / ASiC-E

ETSI EN 319 162. Ein ZIP-Container, der die Dokumente mit ihrer XAdES- oder CAdES-Signatur bündelt. Simple für ein Dokument, Extended für ein Manifest plus viele.

Code

Authenticode

Windows-PE-Dateien: .exe, .dll, .sys, .ocx, .cpl und .scr. Standardmäßig SHA-256, dazu SHA-1, SHA-384 und SHA-512. Verschachtelte Doppelsignaturen halten ältere Prüfer zufrieden.

Code

ClickOnce

Signiere .application- und .manifest-Dateien, damit Windows-Clients deine App ohne Vertrauensabfrage installieren.

Code

NuGet

Signiere .nupkg-Pakete, damit der NuGet-Client die Identität des Herausgebers prüfen kann. Autor- und Repository-Signaturen werden beide unterstützt.

Code

VSIX

Signiere Visual-Studio-Erweiterungspakete, damit der Marketplace und die IDE sie als vertrauenswürdig akzeptieren.

Jedes Dokumentformat:
B-B Basis
B-T Zeitstempel
B-LT Langzeit
B-LTA Archivierung

Jedes Code-Artefakt:
SHA-256 als Standard
RFC-3161-Zeitstempel
Doppelsignatur
Hash-only-Modus

Beginne bei B-B und steige auf B-LTA auf, wenn die Archivierungsregeln es verlangen. Die Codesignierung läuft über den sgcSign Server, sodass der private Schlüssel an einem einzigen Ort liegt.

10 Schlüsselanbieter

Lokale Dateien, Hardware-Token, Cloud-KMS.

Jeder Anbieter implementiert dieselbe IsgcKeyProvider Schnittstelle, sodass ein Signierer mit jeder Schlüsselquelle ohne Änderung funktioniert. Der Wechsel von einer PFX-Datei zu AWS KMS bedeutet, eine Komponente auszutauschen.

PFX / PKCS#12

TsgcPFXKeyProvider

Lokale, passwortgeschützte Schlüsseldateien. Natives Windows CNG, keine OpenSSL-DLL nötig.

PEM-Dateien

TsgcPEMKeyProvider

PEM-Zertifikate und verschlüsselte PKCS#8-Schlüssel, mit nativer PBES2-/PBKDF2-/AES-CBC-Entschlüsselung.

Windows-Zertifikatspeicher

TsgcWindowsCertStoreProvider

Speicher des lokalen Rechners und des aktuellen Benutzers, direkt in deiner Windows-PKI und Active-Directory-Umgebung.

PKCS#11-Hardware-Token

TsgcPKCS11Provider

Smartcards und HSMs über die Standardschnittstelle PKCS#11, darunter SafeNet, YubiKey und Nitrokey.

Azure Trusted Signing

TsgcAzureTrustedSigningProvider

Der qualifizierte Signaturdienst von Microsoft mit OAuth2-Client-Credentials. Private Schlüssel verlassen Azure nie.

AWS KMS

TsgcAWSKMSKeyProvider

Die Schlüssel bleiben im AWS Key Management Service. Der Dokument-Hash geht raus, die rohe Signatur kommt zurück.

Google Cloud KMS

TsgcGCloudKMSKeyProvider

Dienstkonto-Authentifizierung für Schlüssel, die in Google Cloud Key Management liegen.

HashiCorp Vault

TsgcHashiCorpVaultKeyProvider

Die Transit-Signing-Engine von Vault. Hashes laufen über eine authentifizierte REST-API, die Schlüssel bleiben in Vault.

Certum SimplySign

TsgcCertumSimplySignProvider

Qualifizierter polnischer Anbieter für elektronische Signaturen. Cloud-Fernsignatur für KSeF, ZUS und andere öffentliche Portale.

CSC v2

TsgcCSCKeyProvider

Generischer Cloud-Signature-Consortium-v2-Client für Remote-QTSPs, darunter Universign, D-Trust sign-me, A-Trust, FNMT Cl@ve Firma, Evrotrust und Intesi Group.

Tausche den Anbieter, behalte den Signierer. Alle zehn Anbieter im Detail →

EU-Konformität

21 vorkonfigurierte Länderprofile.

Jedes Profil stimmt Hash-Algorithmus, Kanonisierung, Signaturstufe, Zeitstempel und OCSP-Sperrrichtlinie vorab auf die Zielrechtsordnung ab. Das Land zu wechseln ist eine Änderung in einer Zeile.

E-Rechnungs-Profile (12)

Ansehen →

Spanien VeriFactu (AEAT)
Spanien, Baskenland TicketBAI
Spanien Facturae 3.x / FACe
Italien FatturaPA (SDI)
Portugal SAF-T PT
Polen KSeF
Frankreich / Deutschland Factur-X / ZUGFeRD
Rumänien e-Factura (ANAF)
Ungarn NAV Online
Kroatien Fiskalizacija
Belgien & Bulgarien Peppol UBL
Griechenland myDATA (AADE)

EU-Arbeitsvertragsprofile (9)

Ansehen →

Deutschland B-LT
Italien B-LT
Spanien B-T
Frankreich B-T
Österreich B-LT
Belgien B-LT
Portugal B-LT
Niederlande B-T
Polen B-T

Die tschechische Umsatzregistrierung EET 2.0 wird als eigene Komponente ausgeliefert, TsgcEETClientgetaktet. EET 2.0 im Detail →

An eIDAS ausgerichtete Formate

Die Profile zielen auf die AdES- oder QES-Stufe, die jeder Mitgliedstaat erwartet, mit bereits gesetzter Hash-, Kanonisierungs-, Zeitstempel- und Sperrrichtlinie. Deutschland verlangt eine qualifizierte Signatur nach § 126a BGB, Spanien akzeptiert AdES für SEPE und TGSS, Polen läuft über Profil Zaufany oder ein qualifiziertes Zertifikat für ZUS. Das Profil bildet diese Unterschiede ab, dein Code nicht.

Validierung und Langzeitnachweis

TsgcEUTrustList liest die ETSI-TS-119-612-Liste der vertrauenswürdigen Listen und die Trusted Lists der einzelnen Mitgliedstaaten, sodass jedes X.509-Zertifikat gegen das aktuelle EU-Register eingeordnet werden kann. TsgcTSAClient fügt RFC-3161-Zeitstempel hinzu, die eine Signatur auf B-T, B-LT und B-LTA heben, und jede Prüfung erzeugt einen standardisierten XML-Validierungsbericht nach ETSI TS 119 102-2.

Alle 21 Profile ansehen →

sgcSign Server

Zentrales Signieren für deine Build-Farm.

Ein selbst gehosteter Signatur-Daemon mit REST-API, Bootstrap-Webadmin und Installer für den Windows-Dienst. Build-Agents fordern eine Signatur an, der Schlüsselanbieter signiert, und das Schlüsselmaterial landet nie auf einem Runner.

BuildDeine Pipeline kompiliert das Artefakt auf einem beliebigen Agent, unter Windows oder Linux.
Signatur anfordernDer Agent ruft POST /api/v1/sign über TLS mit einem Bearer-API-Schlüssel und einem X-Project Header auf.
HSM oder KMS signiertDer Server erreicht den konfigurierten Schlüsselanbieter. Private Schlüssel bleiben im HSM, in Azure, AWS, Google Cloud oder Vault.
Signiertes Artefakt kommt zurückDie signierte Binärdatei wird direkt an den Agent zurückgestreamt, mit Signatur-Subject und Dauer in den Antwort-Headern.
Mit Zeitstempel und AuditEin RFC-3161-Zeitstempel wird angebracht und der Vorgang landet in einem SHA-256-verketteten Audit-Log, mit Prometheus-Metriken und HMAC-signierten Webhooks.

Einen großen Installer über den sgcSign Server allein anhand seines Digests signieren — Authenticode, ClickOnce, NuGet, VSIX, XAdES, PAdES und CAdES teilen sich dieselbe Endpunkt-Form.

Windows-Dienst
Mandantenfähige Projekte
Zweistufige Freigabe

sgcSign Server im Überblick →

Code

Ein PDF signieren, im Prozess oder über REST.

Dieselbe PAdES-Signatur, auf zwei Wegen erzeugt. Nimm die Komponente, wenn die App signiert, und den Server, wenn die Pipeline signiert.

// PAdES with a visible signature and an RFC 3161 timestamp
var
  vKeyProvider: TsgcPFXKeyProvider;
  vSigner: TsgcPAdESSigner;
  vTSA: TsgcTSAClient;
begin
  vKeyProvider := TsgcPFXKeyProvider.Create(nil);
  vSigner := TsgcPAdESSigner.Create(nil);
  vTSA := TsgcTSAClient.Create(nil);
  try
    vKeyProvider.FileName := 'certificate.pfx';
    vKeyProvider.Password := 'secret';
    vKeyProvider.LoadFromFile;
    vTSA.URL := 'https://freetsa.org/tsr';
    vSigner.KeyProvider := vKeyProvider;
    vSigner.TSAClient := vTSA;
    vSigner.Reason := 'Approved';
    vSigner.Location := 'Madrid, Spain';
    vSigner.VisibleSignature.Enabled := True;
    vSigner.SignPDF('contract.pdf', 'contract-signed.pdf');
  finally
    vTSA.Free;
    vSigner.Free;
    vKeyProvider.Free;
  end;
end;

# PAdES-sign contract.pdf through sgcSign Server
curl -X POST https://sign.example.com/api/v1/sign/pades \
  -H "Authorization: Bearer $TOKEN" \
  -H "X-Project: production" \
  -F "file=@./contract.pdf" \
  -o contract-signed.pdf
# Headers returned by the server
# X-Sgcsign-Signer-Subject: CN=ACME Corp, O=ACME, C=US
# X-Sgcsign-Duration-Ms: 312

Zum Schnellstart

Lizenzen

Single, Team und Site.

sgcSign wird eigenständig lizenziert, für Delphi 7 bis RAD Studio 13 und C++ Builder. Jede Lizenz enthält den vollständigen Quellcode, 1 Jahr Updates, lizenzgebührenfreie Weitergabe und einen 70% Verlängerungsrabatt.

Single

Lizenz für 1 Entwickler. Nutzung auf einem Rechner gleichzeitig.

€299

Team

Lizenzen für 2 Entwickler. Nutzung auf zwei Rechnern gleichzeitig.

€449

Site

Unbegrenzte Entwicklerzahl. Alle Rechner im Unternehmen.

€749

sgcSign für .NET bietet dieselben Signaturformate zu denselben Preisen, geliefert als NuGet-Paket esegece.sgcSign, ab €299getaktet.

Lizenzen und Preise vergleichen

Referenzen

Was Entwickler sagen

Vertrauen von Delphi-, C++ Builder-, Lazarus- und .NET-Entwicklern weltweit.

Vielen Dank für eure Hilfe und Unterstützung, ich liebe eure Komponenten.

Mark Steinfeld CTO

sgcWebSockets ist großartig und euer Support ist der beste!

Christian Meyer Gründer & CTO

Eure sgcWebSockets-Bibliothek ist sehr nützlich und einfach einzurichten. Macht weiter so!

Simone Moretti Delphi-Entwickler

Mehr von eSeGeCe

Weitere Produkte von eSeGeCe

sgcSign ist eine der eSeGeCe-Komponentenbibliotheken für Delphi, C++ Builder und .NET. Sie teilen dieselben Konventionen, werden mit vollständigem Quellcode geliefert und lassen sich lizenzgebührenfrei weitergeben.

sgcSign Dokumente signieren. Code signieren. Beweisen.

Echte Signaturen, am Bildschirm aufgezeichnet.

sgcSign-Schnellstart

Dokumente auf der einen Seite, Code auf der anderen.

XAdES

PAdES

CAdES

ASiC-S / ASiC-E

Authenticode

ClickOnce

NuGet

VSIX

Lokale Dateien, Hardware-Token, Cloud-KMS.

PFX / PKCS#12

PEM-Dateien

Windows-Zertifikatspeicher

PKCS#11-Hardware-Token

Azure Trusted Signing

AWS KMS

Google Cloud KMS

HashiCorp Vault

Certum SimplySign

CSC v2

21 vorkonfigurierte Länderprofile.

E-Rechnungs-Profile (12)

EU-Arbeitsvertragsprofile (9)

An eIDAS ausgerichtete Formate

Validierung und Langzeitnachweis

Zentrales Signieren für deine Build-Farm.

Ein PDF signieren, im Prozess oder über REST.

Single, Team und Site.

Single

Team

Site

Was Entwickler sagen

Liefere noch heute eIDAS-konforme Signaturen aus.

Weitere Produkte von eSeGeCe

sgcWebSockets

sgcPDF

sgcHTML

sgcQUIC

sgcAI

sgcMQ

sgcAuth

sgcHTTP

sgcREST

sgcOpenAPI

sgcBiometrics

sgcIndy

sgcCrypto

sgcSocial

Neues aus dem Blog

Ein JWT mit ML-DSA in Delphi signieren

sgcUI 2026.10: 14 native UI-Produkte für Delphi, C++ Builder und .NET

OpenPGP in Delphi: verschlüsseln, signieren und prüfen ohne GnuPG