Complete functiecatalogus voor de sgcSign digitale-handtekeningensuite — handtekening-standaarden, sleutelproviders, landprofielen, validatie, EU-trustlijst-integratie en ETSI-validatierapporten voor Delphi 7 tot en met Delphi 13 Florence, C++Builder en .NET.
sgcSign scheidt sleutelbeheer, ondertekenbewerkingen en uitvoerformaten. Combineer elke sleutelprovider met elke signer; schakel tussen lokale PFX en cloud-KMS door één component te wijzigen.
Abstraheer toegang tot certificaten en private keys achter één interface. Lokale bestanden, Windows-certificaatopslag, PKCS#11-hardware-tokens, Azure-/AWS-/Google Cloud-KMS, HashiCorp Vault, Certum SimplySign en CSC v2 remote QTSP's.
Gespecialiseerde signers voor elk ETSI-formaat: TsgcXAdESSigner, TsgcPAdESSigner, TsgcCAdESSigner, TsgcAuthenticodeSigner. Plus TsgcDocumentSigner — een uniforme high-level API die de juiste signer selecteert en configureert vanuit een landprofiel. TsgcSAFTPTSigner produceert de Portaria 363/2010-factuurhandtekening van Portugal.
TsgcTSAClient (RFC 3161-timestamps), TsgcOCSPClient (intrekking), TsgcSignatureVerifier (validatie), TsgcX509Certificate (certificaatdecoder + uitgeververificatie), TsgcEUTrustList (LOTL/EUTL), TsgcASiCContainer (ASiC-S-/ASiC-E ZIP-packaging).
Volledige dekking van ETSI-handtekeningformaten op alle vier AdES-niveaus (B-B, B-T, B-LT, B-LTA), plus Microsoft Authenticode voor code-ondertekening.
XML Advanced Electronic Signatures. Enveloped-, detached- en enveloping-modi. Niveaus B-B / B-T / B-LT / B-LTA. SignatureParentElement voor envelopformaten die de plaats van de handtekening vastleggen (KSeF /v2/auth/xades-signature). Poolse, Spaanse en Duitse diakritische tekens via WideString-overloads op Delphi 7+.
PDF Advanced Electronic Signatures. Ingebedde handtekeningen in PDF, met een zichtbare handtekeningweergave met naam van de ondertekenaar, reden, locatie, contactgegevens en een instelbare rechthoek. Compatibel met Adobe Acrobat. PAdES-T- en -LT-niveaus via TSA + OCSP.
Binaire CMS-/PKCS#7-handtekeningen over elk bestand of elke datastroom. Losstaande (detached) en ingebedde (attached) vormen. CAdES-BES, CAdES-T (met tijdstempel), CAdES-XL (langetermijn, met intrekkingswaarden).
Associated Signature Containers. Archief in ZIP-formaat dat een of meer documenten bundelt met een XAdES- of CAdES-handtekening. Simple (apASiCS, één document) of Extended (apASiCE, manifest + meerdere documenten). Het eerste ZIP-item is een ongecomprimeerde mimetype-marker, zodat verificatieprogramma's de container in de eerste ~50 bytes herkennen.
Microsoft Authenticode voor Windows PE-bestanden (.exe, .dll, .sys, .ocx, .cpl, .scr). Hashalgoritmen SHA-1, SHA-256 (standaard), SHA-384 en SHA-512. RFC 3161-timestamptokens. Geneste (dubbele) handtekeningen voor compatibiliteit met zowel oudere als moderne verificatieprogramma's. Beschikbaar in sgcSign Server.
Alle vier de ETSI-conformiteitsniveaus worden per formaat ondersteund: B-B (basis), B-T (timestamp), B-LT (langetermijn, met intrekkingswaarden) en B-LTA (archivering, met archieftimestamp). Upgrade een handtekening van B-B naar B-LT door een TSA-client en OCSP-responder toe te voegen.
Elke provider implementeert IsgcKeyProvider. Wissel tussen al deze sleutelbronnen zonder je ondertekeningscode aan te passen.
| Component | Type | Use Case |
|---|---|---|
TsgcPFXKeyProvider |
Local file (PKCS#12) | Met een wachtwoord beveiligde PFX/.p12-bestanden. Native Windows CNG-ondersteuning op Windows, pure Pascal-parsing op de andere platformen. |
TsgcPEMKeyProvider |
Local file (PEM) | PEM-certificaten met versleutelde PKCS#8-sleutels. Native PBES2- / PBKDF2- / AES-CBC-ontsleuteling, geen OpenSSL-DLL nodig. |
TsgcWindowsCertStoreProvider |
Windows store | Opslag voor de lokale computer en de huidige gebruiker. Integratie met Active Directory en Groepsbeleid. |
TsgcPKCS11Provider |
Hardware token | Smartcards en HSM's via een PKCS#11-driver: SafeNet, YubiKey, Nitrokey, Thales, Utimaco, etc. |
TsgcAzureTrustedSigningProvider |
Cloud (Microsoft) | Azure Trusted Signing, de gekwalificeerde ondertekeningsdienst van Microsoft. OAuth2-clientreferenties. Los van Azure Key Vault. |
TsgcAWSKMSKeyProvider |
Cloud (AWS) | AWS Key Management Service. Sleutels blijven in AWS; alleen documenthashes verlaten het netwerk. |
TsgcGCloudKMSKeyProvider |
Cloud (Google) | Google Cloud Key Management. Authenticatie met een service-account. |
TsgcHashiCorpVaultKeyProvider |
Cloud (zelf gehost) | De Transit-ondertekeningsengine van HashiCorp Vault. Sleutels verlaten het Vault-cluster nooit. |
TsgcCertumSimplySignProvider |
Remote QTSP | Certum SimplySign, een Poolse aanbieder van gekwalificeerde e-handtekeningen. Compatibel met KSeF, ZUS en PUE. |
TsgcCSCKeyProvider |
Remote QTSP (CSC v2) | Generieke Cloud Signature Consortium v2-client: Universign, D-Trust sign-me, A-Trust, FNMT Cl@ve Firma, Evrotrust, Intesi Group en elke QTSP die de CSC v2-API aanbiedt. |
Elk profiel stelt hashalgoritme, canonicalisatie, handtekeningniveau, RFC 3161-timestampbeleid en OCSP-intrekkingsverwachtingen vooraf af, zodat ze voldoen aan de toezichthouder van het doelland. Wissel van rechtsgebied met één regel.
| Profile | Country | System | Format | Level |
|---|---|---|---|---|
spVeriFactu | Spain | VeriFactu (AEAT) | XAdES-EPES | B-B |
spTicketBAI | Spain (Basque) | TicketBAI | XAdES-EPES | B-B |
spFacturaeB2B | Spain | Facturae 3.x / FACe | XAdES-EPES | B-T |
spFatturaPA | Italy | FatturaPA (SDI) | XAdES-BES | B-B |
spSAFTPT | Portugal | SAF-T PT | RSA-SHA256 | B-B |
spKSeF | Poland | KSeF (Krajowy System e-Faktur) | XAdES | B-T |
spFacturX | France / Germany | Factur-X / ZUGFeRD | XAdES | B-B |
spEFactura | Romania | e-Factura (ANAF) | XAdES | B-T |
spNAVOnline | Hungary | NAV Online | XML-DSig | B-B |
spFiskalizacija | Croatia | Fiskalizacija | XML-DSig | B-B |
spPeppolBE | Belgium | Peppol UBL 2.0 | XAdES | B-T |
spPeppolBG | Bulgaria | Peppol UBL 2.1 | XAdES | B-T |
spMyDATA | Greece | myDATA (AADE) | XAdES | B-B |
Portugal: naast het ondertekenen van het SAF-T (PT)-bestand zelf produceert het speciale TsgcSAFTPTSigner-component de handtekening per factuur volgens Portaria 363/2010, de RSA-SHA1-handtekening waarvan de vier tekens op posities 1, 11, 21 and 31 op de factuur worden afgedrukt en in QR-code field Q worden meegedragen.
TicketBAI: de per-provincie-varianten spTicketBAIAraba, spTicketBAIBizkaia en spTicketBAIGipuzkoa dragen elk de officiële identifier van het handtekeningbeleid en de SHA-256-digest van de Hacienda van hun provincie. spTicketBAI is gekoppeld aan het Bizkaia-paar voor achterwaartse compatibiliteit.
Tsjechische EET 2.0: verkoopregistratie (Elektronická evidence tržeb) is geen handtekeningprofiel, maar heeft een eigen component, TsgcEETClient. Het ondertekent elke geregistreerde verkoop onder WS-Security, verstuurt die naar de belastingdienst en leest de bevestigingscode terug, de pok. De rapportage begint op 1 januari 2027. Meer over EET 2.0.
eIDAS-conforme handtekeningen voor de arbeidsrechtelijke vereisten van de lidstaten (bijv. § 126a BGB in Duitsland, FEQ in Italië). Per rechtsgebied vooraf afgestemd en geladen in TsgcXAdESSigner via Profile.LoadProfile(spEmploymentXX).
| Profile | Country | Level | Hash | Timestamp | OCSP | Notes |
|---|---|---|---|---|---|---|
spEmploymentDE | Germany | B-LT | SHA-256 | Yes | Yes | QES vereist door § 126a BGB voor contracten in schriftelijke vorm. |
spEmploymentIT | Italy | B-LT | SHA-256 | Yes | Yes | FEQ-gekwalificeerde handtekening; INPS-portalen accepteren zowel XAdES als CAdES. |
spEmploymentES | Spain | B-T | SHA-256 | Yes | No | AdES volstaat. SEPE- en TGSS-portalen vereisen FNMT of DNIe. |
spEmploymentFR | France | B-T | SHA-256 | Yes | No | AdES is prima; QES heeft de voorkeur voor ondertekening op afstand onder DSP2 / RGS. |
spEmploymentAT | Austria | B-LT | SHA-256 | Yes | Yes | QES via Handy-Signatur / ID Austria is gebruikelijk. |
spEmploymentBE | Belgium | B-LT | SHA-256 | Yes | Yes | QES via eID-kaart (BeID). |
spEmploymentPT | Portugal | B-LT | SHA-256 | Yes | Yes | QES via Cartão do Cidadão / Chave Móvel Digital. |
spEmploymentNL | Netherlands | B-T | SHA-256 | Yes | No | AdES wordt over het algemeen geaccepteerd; QES voor sommige HR-portalen (UWV). |
spEmploymentPL | Poland | B-T | SHA-256 | Yes | No | QES via Profil Zaufany of een gekwalificeerd certificaat wanneer het contract naar ZUS / PUE gaat. |
Volledige validatiepijplijn plus integratie met de EU Trust List en het gestandaardiseerde ETSI TS 119 102-2 XML Validation Report. Dit is een juridisch bewijs van de geldigheid van de handtekening dat wordt geaccepteerd door Europese arbeidsrechtbanken en verificatieinstanties van overheden.
TsgcSignatureVerifier dekt de volledige pijplijn: digestcontroles, RSA- / ECDSA-handtekeningverificatie, validatie van de certificaatketen, OCSP-intrekkingscontrole, ingebedde RevocationValues voor Long-Term Validation en op Id gebaseerde fragmentopzoeking voor SignedProperties.
TsgcEUTrustList verwerkt de ETSI TS 119 612 List of Trusted Lists en ~31 Trusted Lists per lidstaat. Classificeer elk X.509-certificaat als eIDAS-gekwalificeerd door het op te zoeken in het actuele EU-register. Caching in offline-modus voor air-gapped omgevingen.
Gestandaardiseerd XML Validation Report (v1.2.1) voor elke verificatie. Dit is het formaat dat Europese arbeidsrechtbanken en verificatieinstanties van overheden accepteren als juridisch bewijs van de geldigheid van de handtekening.
TsgcTSAClient maakt verbinding met elke RFC 3161-timestampautoriteit. Upgrade handtekeningen van B-B naar B-T, B-LT en B-LTA, en blijft verifieerbaar lang nadat het ondertekeningscertificaat is verlopen.
TsgcOCSPClient voert controles uit met het RFC 6960 Online Certificate Status Protocol. Intrekking in realtime, waarbij het OCSP-antwoord in B-LT-handtekeningen wordt ingebed, zodat het document verifieerbaar blijft als de responder later offline is.
TsgcX509Certificate stelt elk veld beschikbaar dat een online decoder toont: sleutelgrootte, algoritmenamen, serienummer (dubbele punt en decimaal), RFC 2253-/LDAP-distinguished names, certificaatbeleid, key identifiers, SHA-1-/SHA-256-/MD5-vingerafdrukken en de SubjectPublicKeyInfo SHA-256-pin. Het verifieert de handtekening van de uitgever cryptografisch (RSA en ECDSA), haalt de CA op via de AIA caIssuers-URL en voert een automatische OCSP-controle uit via CheckCertificateAuto.
Inclusive C14N (xml-c14n11) en Exclusive C14N (xml-exc-c14n) voor consistente verwerking van XML-handtekeningen. Elk landenprofiel kiest de canonicalisatie die zijn toezichthouder verwacht.
Windows CNG / BCrypt-cryptografie op Windows en een pure Pascal-engine op Linux64, macOS, iOS en Android. Geen OpenSSL-DLL nodig. Native PBES2 / PBKDF2 / AES-CBC voor versleutelde PKCS#8 PEM. WinHTTP voor netwerkbewerkingen op Windows, elders de HTTP-client van de Delphi RTL.
Ondersteunt elke Delphi-compiler van Delphi 7 tot RAD Studio 13, plus C++Builder. Moderne units zijn beveiligd voor achterwaartse compatibiliteit (bijv. TsgcASiCContainer vereist generics vanaf D2010+ en wordt op D7 netjes als lege unit gecompileerd).
Gespiegelde C#-port voor .NET Framework 2.0–4.8, .NET Core, .NET 5–9 en .NET Standard. Dezelfde Tsgc*-klassenamen en hetzelfde API-oppervlak als de Delphi-bibliotheek.
Volledige broncode inbegrepen bij elke licentie. Inspecteer, pas aan, audit en breid uit. Componentklassen zijn geregistreerd voor integratie in de IDE tijdens het ontwerpen.
Alle X.509- / CRL- / OCSP- / TSA-timestamps worden opgeslagen als UTC-TDateTime-waarden, conform RFC 5280, RFC 3161 en RFC 6960. Omzetting naar lokale tijd via *Local-eigenschappen op elke component.
Gratis herdistributie van binaries. Onderteken zoveel documenten als je wilt, zonder kosten per document en zonder licenties per implementatie.
spFatturaPA voor Italië en spKSeF voor Polen
// Sign Spanish VeriFactu invoice
var
vKeyProvider: TsgcPFXKeyProvider;
vSigner: TsgcDocumentSigner;
begin
vKeyProvider := TsgcPFXKeyProvider.Create(nil);
try
vKeyProvider.FileName := 'certificate.pfx';
vKeyProvider.Password := 'secret';
vKeyProvider.LoadFromFile;
vSigner := TsgcDocumentSigner.Create(nil);
try
vSigner.KeyProvider := vKeyProvider;
vSigner.Profile := spVeriFactu;
memoSigned.Text := vSigner.SignXML(memoXML.Text);
finally
vSigner.Free;
end;
finally
vKeyProvider.Free;
end;
end;// Authenticode-sign with Azure Trusted Signing
var
vKeyProvider: TsgcAzureTrustedSigningProvider;
vSigner: TsgcAuthenticodeSigner;
begin
vKeyProvider := TsgcAzureTrustedSigningProvider.Create(nil);
vSigner := TsgcAuthenticodeSigner.Create(nil);
try
vKeyProvider.TenantId := '00000000-0000-0000-0000-000000000000';
vKeyProvider.ClientId := '11111111-1111-1111-1111-111111111111';
vKeyProvider.ClientSecret := 'my-client-secret';
vKeyProvider.AccountName := 'my-trusted-signing-account';
vKeyProvider.CertificateProfileName := 'public-trust';
vKeyProvider.Endpoint := 'https://eus.codesigning.azure.net';
vKeyProvider.Connect;
vSigner.KeyProvider := vKeyProvider;
vSigner.Level := alBES; // alT additionally requires a TSAClient
vSigner.SignFile('myapp.exe', 'myapp-signed.exe');
finally
vSigner.Free;
vKeyProvider.Free;
end;
end;// PAdES-T with visible signature appearance
var
vKeyProvider: TsgcWindowsCertStoreProvider;
vSigner: TsgcPAdESSigner;
vTSA: TsgcTSAClient;
begin
vKeyProvider := TsgcWindowsCertStoreProvider.Create(nil);
vSigner := TsgcPAdESSigner.Create(nil);
vTSA := TsgcTSAClient.Create(nil);
try
vKeyProvider.StoreName := 'MY';
vKeyProvider.StoreLocation := cslCurrentUser;
vKeyProvider.SelectCertificateBySubject('Acme Corp');
vTSA.URL := 'https://freetsa.org/tsr';
vSigner.KeyProvider := vKeyProvider;
vSigner.TSAClient := vTSA;
vSigner.Reason := 'Approved';
vSigner.Location := 'Madrid, Spain';
vSigner.VisibleSignature.Enabled := True;
vSigner.SignPDFFile('contract.pdf', 'contract-signed.pdf');
finally
vTSA.Free;
vSigner.Free;
vKeyProvider.Free;
end;
end;