XAdES
ETSI EN 319 132。XML 签名，支持包裹式、分离式和内嵌式模式。电子发票和欧盟劳动合同背后的格式。
sgcSign 签署文档。 签署代码。 证明它。
XAdES 用于 XML，PAdES 用于 PDF，CAdES 用于 CMS，ASiC 容器打包整份材料。Authenticode、ClickOnce、NuGet 和 VSIX 用于您交付的产物。可以来自原生的 Delphi、C++Builder 或 .NET 组件，也可以通过 REST 来自 sgcSign Server，两者背后是同一个签名引擎。
通过 sgcSign Server 为您的构建集群提供集中式签名 →- XAdES
- PAdES
- CAdES
- ASiC
- Authenticode
- RFC 3161 时间戳
- Delphi
- C++ Builder
- .NET
- 4ETSI 签名族：XAdES、PAdES、CAdES 和 ASiC
- 4基线级别，从 B-B 到 B-LTA 归档
- 10密钥提供商，从 PFX 文件到云端 KMS
- 21预配置的国家配置文件
- 0构建代理上的私钥
观看签名过程
真实签名，屏幕录制。
配有旁白和字幕的 sgcSign 实际操作录像。从列表中选择一个。按下播放之前不会下载任何内容。
sgcSign 快速入门
从 Delphi 为 XML、PDF 和文件添加数字签名：XAdES、PAdES、CAdES、ASiC、Authenticode 和 RFC 3161 时间戳。
-
sgcSign 快速入门从 Delphi 为 XML、PDF 和文件添加数字签名：XAdES、PAdES、CAdES、ASiC、Authenticode 和 RFC 3161 时间戳。
-
从 Linux 签署 Windows EXELinux 上的 Delphi 程序可应用带有 RFC 3161 时间戳的 Authenticode 签名。构建过程中无需 Windows 机器。
-
签署 MSI 或 MSIX 安装程序Windows Installer 文件以及 MSIX 或 APPX 包可直接从 Delphi 签名并加盖时间戳，让安装程序成为您发布时最先过关的一环。
-
无需上传即可签署大型安装程序仅哈希模式：构建代理把摘要发送给 sgcSign Server，并写入返回的签名。文件始终留在原处。
两个部分，一个引擎
一边是文档，一边是代码。
同样的密钥提供商、同样的时间戳客户端、同样的验证流程，既能签署一张西班牙发票，也能签署一个 Windows 安装程序。学习一次 API，即可到处使用。
PAdES
ETSI EN 319 142。签名嵌入 PDF 本身，并带有可见外观，显示签名者姓名、原因、地点和联系方式。兼容 Adobe Acrobat。
CAdES
ETSI EN 319 122。针对任意文件或数据流的 CMS / PKCS#7 二进制签名，可分离或附加。
ASiC-S / ASiC-E
ETSI EN 319 162。一个 ZIP 容器，把文档与其 XAdES 或 CAdES 签名打包在一起。Simple 适用于单个文档，Extended 适用于清单加多个文档。
Authenticode
Windows PE 文件：.exe、.dll、.sys、.ocx、.cpl 和 .scr。默认 SHA-256，另支持 SHA-1、SHA-384 和 SHA-512。嵌套双签名可兼容旧版验证程序。
ClickOnce
签署 .application 和 .manifest 文件，让 Windows 客户端安装您的应用时不会弹出信任提示。
NuGet
签署 .nupkg 软件包，让 NuGet 客户端可以验证发布者身份。作者签名和仓库签名均受支持。
VSIX
签署 Visual Studio 扩展包，让 Marketplace 和 IDE 将其视为受信任。
- 适用于每种文档格式：
- B-B 基础
- B-T 时间戳
- B-LT 长期
- B-LTA 归档
- 适用于每个代码产物：
- 默认 SHA-256
- RFC 3161 时间戳
- 双重签名
- 仅哈希模式
从 B-B 起步，在归档规则要求时升级到 B-LTA。代码签名通过 sgcSign Server 运行，因此私钥只存放在一个地方。
10 种密钥提供商
本地文件、硬件令牌、云端 KMS。
每个提供商都实现同一个 IsgcKeyProvider 接口，因此签名器无需修改即可配合任何密钥来源工作。从 PFX 文件切换到 AWS KMS，只需更换一个组件。
PFX / PKCS#12
- TsgcPFXKeyProvider
本地密码保护的密钥文件。原生 Windows CNG，无需 OpenSSL DLL。
PEM 文件
- TsgcPEMKeyProvider
PEM 证书和加密的 PKCS#8 密钥，具备原生 PBES2 / PBKDF2 / AES-CBC 解密能力。
Windows 证书存储
- TsgcWindowsCertStoreProvider
本地计算机和当前用户存储，直接对接您的 Windows PKI 和 Active Directory 环境。
PKCS#11 硬件令牌
- TsgcPKCS11Provider
通过标准 PKCS#11 接口访问智能卡和 HSM，包括 SafeNet、YubiKey 和 Nitrokey。
Azure Trusted Signing
- TsgcAzureTrustedSigningProvider
微软的合格签名服务，使用 OAuth2 客户端凭据。私钥永不离开 Azure。
AWS KMS
- TsgcAWSKMSKeyProvider
密钥保留在 AWS Key Management Service 中。文档哈希发送出去，原始签名返回回来。
Google Cloud KMS
- TsgcGCloudKMSKeyProvider
使用服务账号认证，访问托管在 Google Cloud Key Management 中的密钥。
HashiCorp Vault
- TsgcHashiCorpVaultKeyProvider
Vault transit 签名引擎。哈希通过经过认证的 REST API 传输，密钥始终留在 Vault 内部。
Certum SimplySign
- TsgcCertumSimplySignProvider
波兰的合格电子签名提供商。面向 KSeF、ZUS 和其他公共门户的云端远程签名。
CSC v2
- TsgcCSCKeyProvider
通用的 Cloud Signature Consortium v2 客户端，适用于远程 QTSP，包括 Universign、D-Trust sign-me、A-Trust、FNMT Cl@ve Firma、Evrotrust 和 Intesi Group。
更换提供商，保留签名器。 十种提供商详解 →
欧盟合规
21 个预配置国家配置文件。
每个配置文件都会预先调整哈希算法、规范化方式、签名级别、时间戳和 OCSP 吊销策略，以匹配目标司法辖区。切换国家只需改动一行。
电子发票配置文件（12 个）
浏览 →- 西班牙 VeriFactu (AEAT)
- 西班牙（巴斯克）TicketBAI
- 西班牙 Facturae 3.x / FACe
- 意大利 FatturaPA (SDI)
- 葡萄牙 SAF-T PT
- 波兰 KSeF
- 法国 / 德国 Factur-X / ZUGFeRD
- 罗马尼亚 e-Factura (ANAF)
- 匈牙利 NAV Online
- 克罗地亚 Fiskalizacija
- 比利时和保加利亚 Peppol UBL
- 希腊 myDATA (AADE)
欧盟劳动合同配置文件（9 个）
浏览 →- 德国 B-LT
- 意大利 B-LT
- 西班牙 B-T
- 法国 B-T
- 奥地利 B-LT
- 比利时 B-LT
- 葡萄牙 B-LT
- 荷兰 B-T
- 波兰 B-T
捷克 EET 2.0 销售登记作为独立组件提供， TsgcEETClient. EET 2.0 详解 →
与 eIDAS 对齐的格式
这些配置文件针对各成员国期望的 AdES 或 QES 级别，哈希、规范化、时间戳和吊销策略均已设置好。德国依据 § 126a BGB 要求合格签名，西班牙在 SEPE 和 TGSS 场景接受 AdES，波兰则通过 Profil Zaufany 或用于 ZUS 的合格证书。这些差异由配置文件编码，您的代码无需操心。
验证与长期证明
TsgcEUTrustList 解析 ETSI TS 119 612 的可信列表清单以及各成员国的可信列表，因此任何 X.509 证书都可以对照实时的欧盟注册库进行分类。 TsgcTSAClient 添加 RFC 3161 时间戳，把签名提升到 B-T、B-LT 和 B-LTA，每次验证都会生成一份标准化的 ETSI TS 119 102-2 XML 验证报告。
sgcSign Server
为您的构建集群提供集中式签名。
一个自托管的签名守护进程，带有 REST API、Bootstrap 网页管理后台和 Windows 服务安装程序。构建代理请求签名，密钥提供商完成签名，密钥材料永远不会落到运行器上。
- 构建您的流水线在任意代理上编译产物，Windows 或 Linux 均可。
- 请求签名代理通过 TLS 调用
POST /api/v1/sign，携带 bearer API 密钥和一个X-Project头部。 - HSM 或 KMS 签名服务器访问已配置的密钥提供商。私钥留在 HSM、Azure、AWS、Google Cloud 或 Vault 中。
- 返回已签名产物已签名的二进制文件直接流式返回给代理，响应头中带有签名者主体和耗时。
- 加盖时间戳并审计系统会加上 RFC 3161 时间戳，并把该操作写入 SHA-256 哈希链审计日志，同时提供 Prometheus 指标和 HMAC 签名的 webhook。
- Windows 服务
- 多租户项目
- 两步审批
代码
签署 PDF，进程内或通过 REST。
同一份 PAdES 签名，两种产生方式。应用签名时选组件，流水线签名时选服务器。
// PAdES with a visible signature and an RFC 3161 timestamp
var
vKeyProvider: TsgcPFXKeyProvider;
vSigner: TsgcPAdESSigner;
vTSA: TsgcTSAClient;
begin
vKeyProvider := TsgcPFXKeyProvider.Create(nil);
vSigner := TsgcPAdESSigner.Create(nil);
vTSA := TsgcTSAClient.Create(nil);
try
vKeyProvider.FileName := 'certificate.pfx';
vKeyProvider.Password := 'secret';
vKeyProvider.LoadFromFile;
vTSA.URL := 'https://freetsa.org/tsr';
vSigner.KeyProvider := vKeyProvider;
vSigner.TSAClient := vTSA;
vSigner.Reason := 'Approved';
vSigner.Location := 'Madrid, Spain';
vSigner.VisibleSignature.Enabled := True;
vSigner.SignPDF('contract.pdf', 'contract-signed.pdf');
finally
vTSA.Free;
vSigner.Free;
vKeyProvider.Free;
end;
end;# PAdES-sign contract.pdf through sgcSign Server
curl -X POST https://sign.example.com/api/v1/sign/pades \
-H "Authorization: Bearer $TOKEN" \
-H "X-Project: production" \
-F "file=@./contract.pdf" \
-o contract-signed.pdf
# Headers returned by the server
# X-Sgcsign-Signer-Subject: CN=ACME Corp, O=ACME, C=US
# X-Sgcsign-Duration-Ms: 312
许可证
Single、Team 和 Site。
sgcSign 单独许可，适用于 Delphi 7 到 RAD Studio 13 和 C++ Builder。每个许可证都包含完整源代码、1 年更新、免版税部署，以及 70% 的续订折扣。
Single
1 位开发者许可证。同一时间用于一台机器。
€299
Team
2 位开发者许可证。同一时间用于两台机器。
€449
Site
开发者人数不限。公司所有机器。
€749
sgcSign for .NET 提供相同的签名格式和相同的价格，以 esegece.sgcSign NuGet 包交付，起价 €299.
比较许可证和价格
用户评价
开发者怎么说
受到全球各地 Delphi、C++ Builder、Lazarus 和 .NET 开发者的信赖。
非常感谢你们的帮助和支持，我很喜欢你们的组件。
sgcWebSockets 非常出色，你们的支持也是最棒的！
你们的 sgcWebSockets 库非常实用，而且易于设置。请继续保持！
更多来自 eSeGeCe
eSeGeCe 的其他产品
sgcSign 是 eSeGeCe 面向 Delphi、C++ Builder 和 .NET 的组件库之一。它们共享同样的约定，提供完整源代码，并可免版税部署。
sgcWebSockets
WebSocket、HTTP/2、MQTT、AMQP、WebRTC、AI 及 30+ API 集成。用同一个签名引擎为 WebSocket 和 MQTT 负载签名。
sgcPDF
使用纯 Object Pascal 创建、编辑、查看、签名、涂黑并验证 PDF 文件，无需部署任何 DLL。单独许可销售。
sgcHTML
基于 Bootstrap 5 和 htmx 构建的服务器端 HTML 和界面组件。为签名流程提供 Web 前端，无需维护 JavaScript 技术栈。
sgcQUIC
原始 QUIC 传输，以及 HTTP/3 客户端和服务器，并支持 WebTransport。通过 HTTP/3 提交签名和时间戳请求，实现更快的握手。
sgcAI
面向 Delphi 和 C++ Builder 的 AI、LLM 和 MCP 组件。一个组件即可对接七家 LLM 提供商，另有 MCP、嵌入和语音。独立产品，随附 sgcWebSockets Core 运行时。
sgcMQ
面向 Delphi 和 C++ Builder 的 MQTT、AMQP 0.9.1 和 1.0、Apache Kafka 与 STOMP 客户端组件。独立产品，随附 sgcWebSockets Core 运行时。
sgcAuth
面向 Delphi 和 C++ Builder 的 OAuth2 客户端、JWT 客户端和 WebAuthn 支持。可对接任意 OAuth2/OIDC 提供商登录、签发并验证 JWT，并为原生应用添加通行密钥身份验证。独立产品，随附 sgcWebSockets Core 运行时。
sgcHTTP
面向 Delphi 和 C++ Builder 的 HTTP 服务器、HTTP/2 客户端、gRPC 客户端以及 Google Cloud Pub/Sub、Calendar 和 FCM 客户端。独立产品，随附 sgcWebSockets Core 运行时。
sgcREST
面向 Delphi 和 C++ Builder 的 REST 服务器、OpenAPI 服务器和 OpenAPI 客户端组件。可从 OpenAPI 3.x 契约发布 REST API，或调用任何以 OpenAPI 描述的 API。独立产品，随附 sgcWebSockets Core 运行时。
sgcOpenAPI
OpenAPI 3.x 解析器、Pascal SDK 生成器和 OpenAPI 服务器，以及面向 AWS、Azure、Google Cloud 和 Microsoft Graph 的 1,195+ 预构建 SDK。
sgcBiometrics
Windows Hello、指纹传感器和 Windows 生物特征框架。在签名器运行前，用指纹解锁签名密钥。
sgcIndy
更新后的 Indy TCP/IP 组件，为 Delphi 7 到 13 提供现代 TLS、IPv6 和 HTTP/2。与 TSA、OCSP 响应者和欧盟验证方之间的可信传输。
sgcCrypto
面向 Delphi 和 C++ Builder 的通用密码学库：对称和非对称密码、哈希以及后量子算法。自 sgcWebSockets Standard 起免费随附。
sgcSocial
WhatsApp Business Cloud API 和 Telegram TDLib 客户端。独立产品，包含 sgcWebSockets Core 运行时。
