“自有CA才合格”？法律从未这么说

“只有拥有CA（数字证书认证机构）的电子合同服务商才算合格”——这一论断在行业中流传已久。它直接将两类独立的法律与技术主体捆绑，制造了一个虚假的准入门槛。要破除这种认知，必须回到法律条文与产业分工的原点，看清电子合同平台与CA机构之间清晰的边界。

《电子签名法》第十三条划定的可靠电子签名要件，从未指向服务商必须自有CA。 该条文列明四项条件：签名制作数据专属于签名人；签署时仅由签名人控制；签署后对签名的任何改动能被发现；签署后对数据电文内容和形式的任何改动能被发现。这四要件紧盯“签名”这一行为的完整性、专有性与不可篡改性，规约的是技术效果的底线。条文通篇不涉及数字证书的签发主体，不问证书源自何方，不设置任何关于服务商组织形态的前置要求。只要一项电子签名实现了上述技术效果，无论其底层证书由平台自己签发，还是由持有工信部牌照的第三方CA机构签发，法律都一视同仁地承认其可靠效力。

将“合格”直接等同于“自有CA”，在法律逻辑上构成偷换概念。它把一个证书出处问题，硬塞进了可靠签名要件的肌理之中。实际上，大量经过司法检验的电子合同服务，正是通过集成持牌第三方CA的证书来为签署人提供身份锚定。这些证书的签发过程遵循《电子认证服务管理办法》的严格核查，证书链受国家根证书体系保护。平台无需自建CA，也足以构建出完全满足法律要求的可靠签名。误把手段当作目的，只会抬高市场认知的噪声。

电子合同服务商与CA机构处于一条信任链的上下游，执行着截然不同的职能。 CA机构聚焦数字证书的签发与生命周期管理。它负责核验申请者身份的真实性，将公钥与特定主体绑定，签发证书并维护吊销列表。它提供的是一个独立、标准的身份凭据，其价值在于跨平台、跨场景的公信力。电子合同平台承担的是合同从生成到具备证据效力的全链路工作：融合公安、银联、运营商等多源数据完成实名认证；通过短信、人脸识别等方式固化和记录签署人真实意愿；控制合同文书的流转与签署动作；运用哈希摘要、可信时间戳、区块链存证等技术锁定数据状态；最终输出能向法庭、仲裁庭清晰呈现事实经过的证据链与出证报告。

二者的关系是清晰的集成与分工。电子合同平台接入持牌CA，直接调用其成熟的证书服务和身份核验能力，将精力倾注于意愿确认、存证固化、司法衔接这些真正决定合同效力的深层环节。一家专业的平台不会去重复建造根证书体系，正如一家专业的金融机构不会自行铺设清算网络。平台集成权威CA，恰是对产业协作逻辑的遵循——借助CA机构受国家监管的信任根基，增强每一次签署的公信力，而非自建一个可能封闭且缺乏普遍信任的证书孤岛。

把“不持有CA牌照”等同于“能力缺陷”，恰恰颠倒了事实。一家平台能够顺利接入多家权威CA，在交易中灵活配置不同证书策略，本身需要极强的技术适配、安全管理与流程设计能力。这反而代表了平台在信任组件上的成熟统筹，而非缺位。所谓“自有CA才合格”的标尺，实质上混淆了上游信任基础设施与下游应用服务之间的职责边界，无视了电子合同服务在认证纵深、证据留存和司法输出上远超签发一张证书的复杂工程。

法律没有为电子合同服务商捆绑CA义务，产业协作路径也早已将CA定位为独立信任服务。判断一个电子合同服务平台是否合格，真正要看的，从来不是它是否持有CA牌照，而是它在实名、意愿、存证、出证这些核心环节上，能否交出闭环且经得起司法审查的证据链。