Slik signerer du en PDF på nett uten skriver

Ritualet er innøvd: skriv ut, finn en penn som virker, signer skjevt i margen, ta bilde i gangen, send som vedlegg. Motparten svarer at det er uskarpt. Du gjør det om igjen. Ingenting av dette gjør avtalen mer gyldig. Det gjør den treg, og det lager tre filer der du trengte én.

PDF-en er allerede dokumentet. Å ta den ut av maskinen og inn igjen er et teater vi arvet fra tiden da «signatur» betydde blekk fordi vi ikke hadde noe annet. Hvis begge kan lese innholdet, bekrefte at de godtar det, og du kan vise hvem som gjorde hva, har du det de fleste leieavtaler, frilansoppdrag og NDA-er faktisk trenger.

Skriveren i gangen er ikke et juridisk instrument. Den er en vane. Vaner er dyre når de koster en ettermiddag og en irritert motpart i Berlin som bare ville ha filen tilbake før lunch.

I EU og Norge (via EØS) skiller eIDAS mellom tre nivåer. SES er den enkle: du viser intensjon, typisk ved å tegne, skrive navn, eller klikke «jeg godtar» etter å ha sett dokumentet. AES er avansert: sterkere binding til identitet og til dataene. QES er kvalifisert: utstedt av en godkjent tilbyder, ofte med BankID eller tilsvarende i Norge, og sidestilt med håndskrift der loven krever det.

De fleste kommersielle avtaler mellom voksne folk krever ikke QES. Avtaleloven er formfri. Du blir bundet av det du har sagt ja til, også på e-post, også med et kryss i en rute. Poenget med et signeringsverktøy er ikke å trylle frem «mer juss». Det er å gjøre ja-et synlig, tidfestet og vanskelig å late som om det ikke skjedde.

Et PNG av krusedullen din er SES på sitt tynneste. Bedre: e-postlenke, et felt du faktisk må treffe, en logg med tid og IP, og — hvis du vil ha integritet i selve filen — et kryptografisk PAdES-stempel. Det er fortsatt ikke BankID. Det er ærlig SES pluss matematikk som merker tukling.

Tegne med finger eller mus ser ut som «ekte» underskrift. Det er teater. Juridisk er det samme type ja som å skrive navnet i et felt. Velg det motparten forventer å se, ikke det du tror en dommer vil beundre. En dommer ser på om du hadde grunn til å forstå hva du godtok.

Å laste opp et bilde av signaturen din fra 2011 er populært og dårlig. Bildet kan ligge i fem andre PDF-er. Det beviser ikke at du var der den dagen. Hvis du først skal gjøre dette digitalt, la verktøyet logge handlingen i stedet for å klistre inn et relikvie.

Skriv navnet tydelig hvis dokumentet skal leses av et menneske som ikke kjenner krusedullen din. Tegn hvis seremonien betyr noe for kunden. Klikk-for-å-godta er ærligst: ingen later som det er blekk. Alle variantene er SES med mindre du tar steget opp til kvalifisert eID.

Nei, nei, og som regel nei. Motparten trenger en lenke og en nettleser. Å tvinge dem gjennom en brukerregistrering er hvordan dokumenter dør i innboksen. Folk dropper av. Du ringer. De sier de «ikke fikk til logget inn».

BankID er et identitetsbevis på høyt nivå. Det er riktig når loven eller risikoviljen din krever at du vet, med høy grad av sikkerhet, at det er Kari og ikke noen med Karis e-post. For en avtale om å levere en nettside i april er e-post pluss synlig dokument pluss logg det folk faktisk bruker — også de som elsker BankID til alt annet.

Adobe Reader er ikke en part i avtalen. Hvis du sender en ferdig signert PDF, kan de åpne den i det de har. Hvis sertifikatet ikke står på Adobes liste, får de et varsel. Forklar det på forhånd, ellers tror de filen er ødelagt. Varslet betyr «ukjent utsteder», ikke «dette teller ikke».

En innskannet underskrift på side tre stopper ingen fra å bytte ut side to. Bildet sitter der det sitter. Det er derfor folk oppfant kryptografiske PDF-signaturer (PAdES): en hash av innholdet, signert med en nøkkel, slik at endring synes.

Mange verktøy gir deg SES uten å røre PDF-kryptografien. Da ligger beviset i leverandørens logg — fint så lenge du stoler på loggen og får lastet ned en evidenspakke. Sterkere: selve PDF-en bærer et PAdES-stempel. Åpner du den senere, kan du se om bytene stemmer. Merk: et stempel fra en ukjent CA blir ikke grønt i Acrobat. Integriteten kan likevel sjekkes mot utstederens fingeravtrykk.

Sign This, Dammit! gjør det siste ærlig: SES mot personen, PAdES mot filen, ikke QES, ikke BankID, gratis fordi veggen har ads. Hvis du trenger kvalifisert nivå, er det et annet produkt.

Når en særskilt lov krever skrift, vitner, notarialbekreftelse eller kvalifisert elektronisk signatur. Ekte eiendom, visse familierettslige dokumenter, noen offentlige innsendinger — der vinner du ikke ved å være kjapp i Chrome. Sjekk kilden, ikke bloggen til et verktøy.

Når motparten er en etat eller en bank som har låst seg til sitt eget løp, følger du deres løp. Du overtaler ikke Skatteetaten med en tegnet krusedull i en tilfeldig PDF.

Når du bevisst vil ha høy identitetssikkerhet — store beløp, ukjent motpart, tvist du allerede aner — da er BankID eller annen eID fornuftig. Ikke fordi SES er «ugyldig», men fordi du vil sove. Resten av uken: last opp, send lenke, slutt å mate skriveren.