Chứng thư số hết hạn thì file đã ký còn giá trị không? Cách kiểm tra và lưu trữ để chứng minh được sau nhiều năm

Chứng thư số công cộng có thời hạn tối đa 03 năm (khoản 3 Điều 7 Nghị định 23/2025/NĐ-CP), còn nhiều hợp đồng, biên bản, chứng từ phải lưu 5 đến 10 năm. Nên sớm hay muộn, mọi doanh nghiệp đều gặp cảnh mở một file ký từ vài năm trước và thấy phần mềm báo "chứng thư đã hết hạn" hoặc "chưa xác định được hiệu lực". Bài này giải thích vì sao có cảnh báo đó, khi nào nên lo, và cần lưu gì ngay từ bây giờ để vài năm nữa vẫn chứng minh được.

Ba trường hợp: hết hạn sau khi ký, trước khi ký, và bị thu hồi

Trường hợp thứ ba khó hơn trường hợp thứ nhất. Hết hạn là sự kiện biết trước: ngày hết hạn ghi sẵn trên chứng thư, ai cũng so được với ngày ký. Thu hồi xảy ra bất ngờ, ví dụ khi mất token hay nghi lộ khoá. Nếu thời điểm ký chỉ là giờ trên máy người ký, người nhận khó phân biệt file được ký trước khi thu hồi hay được ký lùi ngày sau khi thu hồi.

Vì sao phần mềm vẫn báo cảnh báo?

Phần mềm đọc PDF kiểm tra chữ ký theo nhiều bước: file có bị sửa sau khi ký không, chứng thư có nối tới chứng thư gốc tin cậy không, chứng thư có còn hạn và chưa bị thu hồi không. Bước cuối cần dữ liệu thu hồi (danh sách CRL hoặc trả lời OCSP) của nhà cung cấp chứng thư. Với chứng thư đã hết hạn nhiều năm, phần mềm có thể không tải được dữ liệu này nữa, hoặc tính hiệu lực theo ngày hôm nay thay vì ngày ký, tuỳ cài đặt. Kết quả thường là cảnh báo "chứng thư đã hết hạn" hoặc "không xác định được hiệu lực", dù nội dung file vẫn nguyên vẹn.

Cảnh báo kiểu này khác hẳn lỗi "tài liệu đã bị sửa sau khi ký". Lỗi toàn vẹn nghĩa là nội dung không còn đúng như lúc ký. Cảnh báo hết hạn chỉ nghĩa là phần mềm không tự xác nhận được trạng thái chứng thư ở thời điểm ký, và người kiểm tra cần thêm bằng chứng.

Dấu thời gian và LTV giúp gì?

Dấu thời gian (timestamp) là xác nhận của một tổ chức cung cấp dịch vụ cấp dấu thời gian rằng dữ liệu đã tồn tại tại một thời điểm, không phụ thuộc đồng hồ máy người ký. Chữ ký kèm dấu thời gian trả lời được câu "ký lúc nào" bằng bằng chứng của bên thứ ba. Điều 24 Nghị định 23/2025/NĐ-CP yêu cầu tổ chức cấp dấu thời gian duy trì trực tuyến dữ liệu về dấu thời gian đã cấp.

LTV (Long-Term Validation, kiểm tra dài hạn) là cách nhúng sẵn vào file PDF những dữ liệu cần để kiểm tra chữ ký sau này: chuỗi chứng thư và dữ liệu thu hồi (CRL hoặc OCSP) lấy tại thời điểm ký hoặc ngay sau đó. Trong bộ tiêu chuẩn PAdES của châu Âu, mức chữ ký có dữ liệu này gọi là B-LT, và mức có thêm dấu thời gian lưu trữ để gia hạn bằng chứng gọi là B-LTA. Thông tư 15/2025/TT-BKHCN khuyến nghị PAdES cho chữ ký số trên file PDF.

Cách kiểm tra một file cũ đã ký

1. 1

   Mở bảng chữ ký và xem thời điểm ký

   Trong Adobe Acrobat Reader hoặc Foxit, mở bảng Signatures, chọn chữ ký và xem thời điểm ký lấy theo dấu thời gian hay theo máy người ký.

2. 2

   So thời điểm ký với thời hạn chứng thư

   Xem chi tiết chứng thư: ngày bắt đầu và ngày hết hạn. Thời điểm ký nằm trong khoảng này thì chứng thư còn hiệu lực khi ký.

3. 3

   Kiểm tra tính toàn vẹn

   Phần mềm phải xác nhận tài liệu không bị sửa sau khi ký. Đây là điều kiện không phụ thuộc chứng thư còn hạn hay đã hết hạn.

4. 4

   Dùng công cụ tách riêng hai câu hỏi

   Công cụ kiểm tra chữ ký số của GoSign tách riêng "Chứng thư còn hiệu lực khi ký" và "Chứng thư nay đã hết hạn", và ghi rõ chữ ký có kèm dấu thời gian hay thời điểm ký lấy từ máy người ký.

5. 5

   Đối chiếu hồ sơ đi kèm

   Với file không có dấu thời gian, đối chiếu thêm email gửi nhận, lịch sử xử lý trên hệ thống trình ký, nhật ký phần mềm hoá đơn hoặc thông báo tiếp nhận của cơ quan nhà nước.

Nên lưu gì ngay từ bây giờ?

• File gốc đã ký, đúng bản nhận được hoặc tải về. Không in ra rồi scan lại, không "Print to PDF", không chuyển đổi định dạng, vì các thao tác này làm mất chữ ký số.
• Bản sao ở ít nhất hai nơi lưu trữ, có quy định ai được xoá.
• Hồ sơ đi kèm chứng minh thời điểm và bối cảnh: email gửi nhận, lịch sử xử lý trên nền tảng trình ký, thông báo tiếp nhận của cổng thuế hoặc cổng dịch vụ công.
• Với giao dịch quan trọng, dài hạn, nên dùng chữ ký kèm dấu thời gian của tổ chức được cấp phép, hoặc dịch vụ chứng thực thông điệp dữ liệu (lưu trữ và xác nhận tính toàn vẹn) theo Điều 25 Nghị định 23/2025/NĐ-CP.

File ký trên GoSign thì sao?

Chữ ký số tạo trên GoSign hiện không kèm dấu thời gian của tổ chức cấp dấu thời gian và không nhúng dữ liệu LTV. Thời điểm ký trong chữ ký do hệ thống GoSign ghi lúc ký. GoSign ghi mỗi bước trình, duyệt, ký, từ chối vào lịch sử xử lý của hồ sơ, là nhật ký của hệ thống, hữu ích khi đối chiếu nhưng không thay dấu thời gian của tổ chức được cấp phép. Doanh nghiệp cần dấu thời gian cho một loại giao dịch nên dùng thêm dịch vụ của nhà cung cấp dịch vụ tin cậy phù hợp. Chúng tôi sẽ cập nhật bài này nếu GoSign bổ sung dấu thời gian.