引言：本文就“场景证书”的含义、使用场景、功能，以及大家最关心的场景证书用于电子签名的法律有效性等进行讲解，力求让大家深入了解场景证书。
场景证书的含义——场景证书并非是合规的数字证书类型
根据国家市场监督管理总局、中国国家标准化管理委员会发布的GB/T 25056-2018 信息安全技术 证书认证系统密码及其相关安全技术规范3.9的定义，数字证书类型按用途可分为“签名证书”和“加密证书”两种，按类别可分为“个人证书”、“机构证书”和“设备证书”三种，当中并无“场景证书”;
按照国家密码行业标准化指导性技术文件“GM/Z 0001-2013”《密码术语》第2.115条对数字证书的定义，“数字证书也称公钥证书，由证书认证机构（CA）签名的包含公开密钥持有者信息、公开密钥、签发者信息、有效期以及扩展信息的一种数据结构。按类别可分为个人证书、机构证书和设备证书，按用途可分为签名证书和加密证书”，其中也没有“场景证书”一说，由此可见，所谓场景证书，并非是具有正式法律渊源和合规依据的证书类型。
参考CFCA（中国金融认证中心）的CPS，在CFCA的业务规则第1.4.1.2中提出了“CFCA场景证书”，指出“CFCA 场景证书是一种适用于对即时业务或者特定场景业务进行签名认证的数字证书。在业务结束时自动申请，将业务场景中所有信息整合形成数字证书的扩展域信息。使用场景证书对即时业务或者场景业务证据签名后可证明证据在取证结束后无篡改，并保证多个证据之间的关联性和一致性。场景证书使用时不限制签名次数，也不限定特定文档，可用于对即时业务或者场景业务中的所有证据分别签名。脱离该场景后，证书即不能使用”，第6.1.1“密钥对的生成”章节进一步明确“场景证书的密钥生成由负责场景业务的业务提供方生产，并负责保护场景证书私钥的安全”。
再参考北京CA的CPS，在北京CA的业务规则中没有规定“场景证书”，但在第1.4.1条d项的定义，“事件型数字证书是北京CA面向签名行为业务场景签发出的数字证书，在业务过程中，根据订户提交的业务场景中相关信息（电子文档、签名行为特征信息、手写笔迹或其他签名行为证据信息等）自动固化至数字证书的扩展域，签发出事件型数字证书。事件型数字证书所对应的私钥为一次性使用，对业务场景的信息数据进行电子签名，在使用后即被销毁”；该CPS第6.1.1和6.1.2进一步明确“事件型证书的签名密钥对由签名设备生成并保管”。
在上海CA的电子认证业务规则（CPS）中并无场景证书的相关内容，但其专门发布了《事件证书证书策略电子认证业务规则》，其中第1.6.13条给出定义，“事件数字证书是面向即时业务或者特定业务场景，上海CA所设计的一类基于事件证书专利技术的特殊数字证书。在业务过程中，自动将业务场景中相关信息（电子文档、签名行为特征信息、手写笔迹或其他签名行为证据信息等）关联至数字证书的扩展域，签发出事件数字证书，实现业务过程中的可靠电子签名。事件数字证书所对应的私钥一般一次性使用，其在使用一次后即被销毁”；
场景证书的特点从以上几个典型CA机构的电子认证业务规则中可以看出，“场景证书”本身并非正式的证书类型，而更多的是各CA机构为市场拓展所衍生的营销定义，综合分析这些定义，无论是“场景证书”或是“事件证书”，可以发现具有如下共同点：
- 场景证书的生命周期都极短，在场景发生时颁发证书，场景结束证书即被终止；
- 场景证书的私钥并非由用户（证书上记载的签名人）掌握，而是由签名场景的业务提供方实际掌控。
- 场景证书是通过电子签名的技术，保证发生场景中相关电子数据的完整性，防止数据产生后被篡改，但对于数据产生的过程以及数据本身是否真实在所不问
——不具有预期的法律效果
场景证书虽然不是具有合规依据的证书类型，但由于获得的方式非常容易，让其事实上成为了目前市面上最广泛存在的一种数字证书形式，大量的电子合同SaaS平台都在使用场景证书提供电子签名服务，那么基于场景证书的电子签名，是否具有相关当事人所预期“等同于纸质签名”的法律效果呢？
签名的法律含义是“签名人对被签名内容的认可”，因而一份符合预期法律效果的电子签名需要具备3个条件：1、文件包含电子签名的事实，2、签名人的身份可以确定，3、签名行为人（即实际在文件上完成签名操作的人）与“文件上表明的电子签名人”身份一致。
按照数字证书签名的基本原理，签名是通过“私钥”运算完成的，掌握“私钥”是执行电子签名行为的前提，换言之，谁掌握“私钥”谁才可能成为实际的签名人；
在场景证书电子签名的场景中，根据前文北京CA、CFCA以及上海CA的CPS规则，场景证书的“私钥”并非由用户掌控，故而用户不可能成为实际的电子签名人，签名行为实际上是由提供签名系统的业务方所完成的；虽然场景证书的有效期很短，但短暂的有效期只是降低了其他第三方盗用私钥伪造签名的风险，却不能阻止提供签名系统的业务方滥用用户签名的能力，对此，CFCA在其CPS中更是特别强调“场景证书的密钥生成由负责场景业务的业务提供方生产，并负责保护场景证书私钥的安全”；由此可见，由于签名系统的业务方，可以随时以用户的名义向CA机构取得场景证书，也就使得业务方具有了随时以用户名义在任何文件上伪造签名的能力。
因此，从法律意义上说，基于这种场景证书电子签名，由于无法将签名行为与签名人身份建立不可否认的唯一绑定，因而不符合“电子认证”的基本原理，不能表明“签名人对被签名内容的认可”，不具有当事人等同纸质签名的预期法律效果。
,
