CAdES, PAdES ve XAdES Nedir? Aralarındaki Farklar ve Kullanım Alanları

Elektronik imza, sözleşmelerden resmî yazışmalara, kurumsal onay süreçlerinden sistemler arası veri alışverişine kadar dijital iş süreçlerinin önemli bir parçası haline geldi. Ancak elektronik imzadan söz ederken tek bir dosya biçiminden bahsetmiyoruz. CAdES, PAdES ve XAdES; farklı belge ve veri türlerinde elektronik imza oluşturmak, saklamak ve doğrulamak için kullanılan standartlaştırılmış imza biçimleridir.

Elektronik imza formatının doğru seçilmesi kadar, bu formatların kurumun belge akışları ve onay süreçleriyle uyumlu biçimde kullanılması da önemlidir.

Peki bu üç format arasındaki fark nedir? Hangi belge için hangisini tercih etmek gerekir? Uzun dönemli doğrulama ve zaman damgası bu tercihi nasıl etkiler?

Elektronik imza formatları ve ETSI standartları

CAdES, PAdES ve XAdES adlarındaki “AdES”, Advanced Electronic Signatures (gelişmiş elektronik imzalar) ifadesine karşılık gelir. Bu biçimler, Avrupa Telekomünikasyon Standartları Enstitüsü (ETSI) tarafından tanımlanan teknik özelliklerle ilişkilidir. CAdES, CMS; PAdES, PDF; XAdES ise XML tabanlı imzalama yapılarından yararlanır.

İmza biçimi, tek başına imzanın hukuki niteliğini belirlemez. Türkiye’de 5070 sayılı Elektronik İmza Kanunu kapsamında güvenli elektronik imzanın hukuki sonuçları; nitelikli elektronik sertifika ve ilgili mevzuatta öngörülen teknik koşullar gibi unsurlara bağlıdır. Avrupa Birliği’ndeki eIDAS düzenlemesi de elektronik imzaların hukuki ve güven hizmetleri çerçevesini düzenler. Dolayısıyla “PAdES kullanıldı” ya da “XAdES kullanıldı” demek, tek başına güvenli veya nitelikli elektronik imza oluşturulduğu anlamına gelmez.

1. CAdES (CMS Advanced Electronic Signatures) nedir?

CAdES, CMS (Cryptographic Message Syntax) temelli elektronik imza formatıdır. İmzalanacak verinin belirli bir belge görünümüne sahip olması gerekmez. Word dosyası, arşiv, ses kaydı veya başka bir ikili veri CAdES ile imzalanabilir.

• Nasıl çalışır? İmzalanacak veriden kriptografik bir özet üretilir; imza işlemi bu özet ve ilgili imza yapısı üzerinden gerçekleştirilir.
• Gömülü (attached/encapsulated) yapı: İmzalanan içerik ve imza aynı CMS kapsayıcısı içinde bulunabilir.
• Ayrık (detached) yapı: İmza verisi ayrı tutulur; doğrulama sırasında özgün içeriğe de erişilmesi gerekir. .p7s gibi uzantılar kullanılabilir.
• Kullanım alanları: Farklı dosya türlerinin imzalanması, belge paketleri, arka plan servisleri ve sistemler arası entegrasyonlar.

Örnek: Bir uygulama, PDF dışındaki bir arşiv dosyasını içeriğini dönüştürmeden imzalamak istediğinde CAdES uygun bir seçenek olabilir.

2. PAdES (PDF Advanced Electronic Signatures) nedir?

PAdES, PDF belgelerine yönelik elektronik imza standardıdır. İmza bilgisi PDF dosyasının iç yapısında saklanır; bu nedenle ayrı bir imza dosyasına gerek kalmadan uygun bir PDF doğrulama yazılımıyla imza kontrol edilebilir.

• Nasıl çalışır? PDF’nin imza alanları ve ilgili yapıları kullanılarak imza verisi belgeye eklenir.
• Görsel temsil: İmzalayanın adı, tarih veya görsel kaşe PDF üzerinde gösterilebilir; ancak böyle bir görselin bulunması tek başına kriptografik geçerlilik kanıtı değildir.
• Doğrulama: Uygun PDF yazılımları imza bütünlüğünü, sertifika zincirini ve erişilebilir doğrulama verilerini inceleyebilir. Sonuç, yazılımın güven ayarlarına ve doğrulama koşullarına bağlıdır.
• Kullanım alanları: Sözleşmeler, onay formları, teklif belgeleri, insan kaynakları evrakları ve PDF ağırlıklı kurumsal süreçler.

Örnek: Kullanıcıların doğrudan okuyup imzaladığı bir PDF sözleşme için PAdES çoğunlukla pratik bir seçimdir.

3. XAdES (XML Advanced Electronic Signatures) nedir?

XAdES, XML Signature (XML-DSig) temeli üzerinde geliştirilmiş elektronik imza formatıdır. Özellikle XML yapısındaki bilgilerin sistemler arasında iletilmesi ve otomatik işlenmesi gereken senaryolarda öne çıkar.

• Enveloped: İmza elemanı imzalanan XML belgesinin içinde yer alır.
• Enveloping: İmzalanan veri, imza yapısının içinde taşınır.
• Detached: İmza, imzalanan XML verisinden ayrı konumlandırılır.
• Kullanım alanları: XML tabanlı kurumsal entegrasyonlar ve ilgili uygulama şartnamelerinin XAdES/XML imzası öngördüğü elektronik belge süreçleri.

Örnek: XML verisini doğrulayarak otomatik işleyen bir sistemde XAdES kullanılabilir. e-Fatura, e-Defter ve benzeri uygulamalarda ise geçerli format, ilgili platformun teknik kılavuzları ve mevzuatına göre belirlenmelidir.

CAdES, PAdES ve XAdES karşılaştırma tablosu

Elektronik imza seviyeleri: B-B, B-T, B-LT ve B-LTA

ETSI’nin güncel Baseline yaklaşımı, CAdES, PAdES ve XAdES için dört temel seviyeyi tanımlar. Bu seviyeler, imzayı hangi dosya biçiminde oluşturduğumuzdan ayrı olarak, imzaya hangi doğrulama ve zaman kanıtlarının eşlik ettiğini açıklar.

• B-B (Basic): Temel imza oluşturma için gerekli imza özelliklerini içeren seviyedir.
• B-T (Timestamp): İmzanın belirli bir tarihte mevcut olduğuna ilişkin güvenilir zaman kanıtı içerir.
• B-LT (Long-Term Validation): Uzun dönemli doğrulamayı desteklemek için gerekli sertifika ve iptal durumu gibi doğrulama verilerini imza yapısına dâhil eder.
• B-LTA (Long-Term Availability): İmza ve doğrulama verilerinin daha uzun süre korunmasını desteklemek üzere ek arşiv zaman damgası mekanizmaları kullanır.

Eski dokümanlarda BES, EPES, T, C, X, XL ve A gibi tarihsel profil adlarıyla da karşılaşılabilir. Bu adlar güncel Baseline seviyeleriyle bire bir eşanlamlı kabul edilmemeli; uygulanan ETSI standardının sürümü dikkate alınmalıdır.

Uzun dönemli elektronik imza doğrulaması neden önemlidir?

Elektronik sertifikalar zamanla sona erebilir; sertifika iptal bilgilerine erişim koşulları değişebilir ve kullanılan kriptografik algoritmaların güvenilirliği yıllar içinde yeniden değerlendirilmek zorunda kalabilir. Bu nedenle bir imzanın bugün doğrulanabiliyor olması, hiçbir ek önlem gerekmeksizin onlarca yıl boyunca aynı şekilde doğrulanabileceğini garanti etmez.

Uzun dönemli doğrulama; güvenilir zaman kanıtlarının, sertifika zincirinin, sertifika iptal bilgilerinin ve gerektiğinde yenilenen arşiv zaman damgalarının doğru yönetilmesini gerektirir. B-LT ve B-LTA seviyeleri bu ihtiyaca yönelik teknik çerçeve sağlar; fakat tek başına koşulsuz bir geçerlilik garantisi sunmaz.

Hangi elektronik imza formatı tercih edilmeli?

• Kullanıcının okuyacağı ve imzalayacağı PDF belgelerinde: PAdES çoğu zaman kullanıcı deneyimi açısından uygun tercihtir.
• XML veri alışverişi ve otomatik sistem doğrulaması gereken süreçlerde: İlgili teknik şartnameye uygunsa XAdES öne çıkar.
• Farklı türde dosyaların veya ham verilerin imzalanmasında: CAdES esnek bir seçenek sunar.
• Kurumsal arşivlerde ve uzun saklama sürelerinde: Dosya formatına ek olarak imza seviyesi, zaman damgası, doğrulama politikası ve arşivleme planı değerlendirilmelidir.

En doğru format; belge türü, uygulama mimarisi, karşı tarafın desteklediği doğrulama yöntemleri, yasal gereklilikler ve saklama süresi birlikte değerlendirilerek seçilir.

Sık sorulan sorular

PAdES ile CAdES arasındaki temel fark nedir?

PAdES, PDF dosyasının kendi imza yapısını kullanır. CAdES ise CMS tabanlı olup farklı içerik türleriyle çalışabilir. Her ikisi de uygun teknik ve hukuki koşullar altında elektronik imza süreçlerinde kullanılabilir.

PDF dosyası yalnızca PAdES ile mi imzalanır?

Hayır. PDF içeriği CAdES gibi farklı bir kapsayıcı formatla da imzalanabilir. Ancak belgenin standart PDF okuyucularında imzalı PDF olarak açılması ve doğrulanması hedefleniyorsa PAdES genellikle daha kullanışlıdır.

Görsel imza veya kaşe elektronik imzanın geçerli olduğunu kanıtlar mı?

Hayır. PDF üzerinde görünen bir imza görüntüsü, imzanın kriptografik olarak doğrulandığı anlamına gelmez. Geçerlilik, belge bütünlüğü, sertifika ve gerekli doğrulama kontrolleriyle değerlendirilir.

Zaman damgası neden kullanılır?

Güvenilir zaman damgası, imzanın veya ilgili verinin belirli bir zamanda mevcut olduğuna ilişkin kanıt sağlar. Özellikle uzun dönemli doğrulama ve arşiv süreçlerinde önem taşır.

Elektronik imza standartları kurumsal süreçlerde nasıl kullanılır?

Örneğin bir tedarikçi sözleşmesi, hukuk biriminin incelemesinden sonra satın alma yöneticisinin onayını ve yetkili imzacıların elektronik imzasını gerektirebilir. Bu noktada yalnızca imza dosyasının teknik formatı değil; belgeyi kimin, hangi sırada, hangi yöntemle imzalayacağı ve sürecin nasıl izleneceği de önem kazanır.

ONAYLARIM: Elektronik imzadan uçtan uca dijital onay yönetimine

CAdES, PAdES ve XAdES gibi teknik standartlar elektronik imzanın nasıl oluşturulduğunu ve doğrulandığını belirler. Kurumlar açısından ise bir diğer önemli konu, belgelerin doğru kişilere yönlendirilmesi, imza adımlarının izlenmesi ve tamamlanan işlemlerin güvenli biçimde saklanmasıdır. Seneka Yazılım tarafından geliştirilen ONAYLARIM, bu gereksinimleri bir araya getiren kurumsal elektronik imza ve onay platformudur.

PDF belgelerinde zaman damgalı imza ve uzun dönemli doğrulama

ONAYLARIM’ın kamuya açık ürün açıklamalarında zaman damgalı PDF imza (LTV), imza doğrulama ve uzun dönemli arşivleme özellikleri yer alır. Böylece PDF biçimindeki sözleşmeler, talimatlar ve onay belgeleri elektronik ortamda imzalanabilir; belge bütünlüğü ve imza bilgileri uygun doğrulama araçlarıyla kontrol edilebilir. Uzun dönemli doğrulamanın sürdürülebilmesi, kullanılan profil ve saklama süreci boyunca doğrulama verilerinin ve gerektiğinde arşiv zaman damgalarının yönetilmesine bağlıdır.

Çoklu imzacı, sıralı ve paralel onay süreçleri

Bir sözleşmenin önce hukuk birimi tarafından incelenmesi, ardından mali işler ve yetkili yöneticiler tarafından imzalanması gerektiğini düşünelim. ONAYLARIM ile sıralı veya paralel onay zincirleri tasarlanabilir; birden fazla imzacı sürece dâhil edilebilir ve belgenin hangi aşamada olduğu takip edilebilir. Toplu imza ve merkezi yönetim kabiliyetleri, özellikle yüksek belge hacmine sahip kurumsal operasyonlarda manuel takibi azaltmaya yardımcı olur.

E-imza, mobil imza ve kurum dışı imzacılar

Platform, nitelikli elektronik sertifika ile e-imza ve operatör tabanlı mobil imza seçeneklerini destekler. Belgeler kurum içindeki yetkililerin yanı sıra süreç kapsamında dış kullanıcılara da imzaya gönderilebilir. Bu sayede tarafların aynı fiziksel ortamda bulunması gerekmeyen belge akışları dijital olarak yürütülebilir. Kullanılacak yöntem ve hukuki sonuç, imzalama senaryosuna ve ilgili mevzuat koşullarına göre değerlendirilmelidir.

CAdES, PAdES ve XAdES seçimi ile ONAYLARIM–PrimeAPI ilişkisi

Kurumların günlük işlerinde PDF üzerinde okunabilir bir imza deneyimi için PAdES öne çıkarken, farklı dosya türleri ve XML tabanlı veri alışverişi için CAdES veya XAdES gerekebilir. Seneka’nın ürün açıklamalarına göre PrimeAPI, CAdES/PAdES/XAdES profilleri için REST API tabanlı entegrasyon sunar. ONAYLARIM ise kullanıcıların belge gönderme, onaylama, imzalama ve süreç izleme ihtiyaçlarını merkezileştirir. Bu iki çözüm, biri kullanıcı ve iş akışı deneyimini, diğeri uygulama entegrasyonunu odağına alacak şekilde değerlendirilebilir.

PrimeAPI ile CAdES, PAdES, XAdES ve uzun dönemli imza seviyeleri

Seneka’nın PrimeAPI çözümü, elektronik imza işlevlerini REST API üzerinden mevcut kurumsal yazılımlara kazandırmak üzere geliştirilmiştir. Seneka’nın yayımladığı PrimeAPI teknik anlatımında, PDF belgeleri için PAdES B-B, B-T, B-LT ve B-LTA seviyelerinin; CAdES ve XAdES formatlarında ise BES, EPES, T, C, XL ve A profillerinin desteklendiği belirtilmektedir.

PAdES B-LT seviyesi, imzanın ilerleyen dönemlerde doğrulanabilmesini kolaylaştırmak üzere sertifika ve iptal durumu gibi doğrulama verilerinin korunmasına odaklanır. B-LTA ise arşiv zaman damgası gibi ek koruma mekanizmalarıyla bu verilerin uzun süreli doğrulanabilirliğini sürdürmeyi hedefler. Bu seviyeler, herhangi bir belgenin hiçbir ek koşul olmaksızın süresiz geçerli kalacağı anlamına gelmez.

PrimeAPI – yayımlanan teknik dokümana göre imza formatları:

• PAdES: B-B, B-T, B-LT, B-LTA (PDF ve uzun dönemli doğrulama senaryoları).
• CAdES: BES, EPES, T, C, XL, A (çeşitli dosya türleri ve ayrık imza senaryoları).
• XAdES: BES, EPES, T, C, XL, A (XML tabanlı iş süreçleri).

ONAYLARIM, imzalama yeteneklerini sıralı/paralel onay, çoklu imzacı ve süreç takibiyle birleştiren kullanıcı odaklı platformdur. PrimeAPI ise CAdES, PAdES ve XAdES imza altyapısını başka uygulamalara açan entegrasyon çözümüdür. Bu nedenle yukarıdaki format ve seviye listesi doğrudan PrimeAPI için yayımlanan teknik açıklamaya dayanır; ONAYLARIM’ın her imza seviyesini her kullanım senaryosunda desteklediği anlamına gelmez.

PrimeAPI teknik kaynak: https://seneka.com.tr/blog/primeapi-quickstart

Kurumsal güvenlik, doğrulama ve dağıtım seçenekleri

Ürün sayfalarında rol tabanlı yetkilendirme, işlem kayıtları, imza doğrulama, KEP ve e-Yazışma entegrasyonları ile bulut veya kurum içi (on-premise) dağıtım seçenekleri açıklanmaktadır. Bu özelliklerin kapsamı, kurumun tercih ettiği paket, sürüm ve entegrasyon projesine göre netleştirilmelidir. Örneğin bir kurum, yalnızca sözleşme imzalama sürecini dijitalleştirirken başka bir kurum aynı platformu iç onay zincirleri ve mevcut belge yönetim sistemleriyle birlikte kullanmayı planlayabilir.

ONAYLARIM hangi belgelerde kullanılabilir?

Örnek kullanım alanları arasında satın alma ve tedarikçi sözleşmeleri, insan kaynakları belgeleri, banka talimatları, yönetim onayları, kurum içi resmî yazışmalar ve çok sayıda imzacı gerektiren iş akışları bulunur. Bu örneklerde doğru imza formatı; belge türü, alıcı sistemin teknik koşulları ve hukuki gereklilikler dikkate alınarak seçilmelidir.

Kurumsal elektronik imza ve dijital onay süreçlerinizi değerlendirmek için ONAYLARIM hakkında https://onaylarim.com ve https://seneka.com.tr/onaylarim adreslerinden bilgi alabilirsiniz.

Sonuç

CAdES, PAdES ve XAdES birbirinin mutlak alternatifi değil; farklı veri yapıları ve kullanım senaryoları için geliştirilmiş imza formatlarıdır. PDF odaklı imzalama için PAdES, XML odaklı işlemler için XAdES, dosya türünden bağımsız imzalama ihtiyacı için ise CAdES sıklıkla tercih edilir. Doğru seçimde format kadar sertifika niteliği, güvenilir zaman kanıtı ve uzun dönemli doğrulama gereksinimleri de dikkate alınmalıdır. Kurumunuz için doğru imza standardı seçilirken, onay iş akışları, kullanıcı deneyimi, entegrasyon gereksinimleri ve uzun süreli doğrulama ihtiyaçlarının birlikte ele alınması sürdürülebilir bir dijital imza altyapısının oluşturulmasına yardımcı olur.

Teknik kaynaklar

• ETSI EN 319 122-1 – CAdES digital signatures
• ETSI EN 319 132-1 – XAdES digital signatures
• ETSI EN 319 142-1 – PAdES digital signatures
• Avrupa Komisyonu – eSignature FAQ (Baseline seviyeleri)
• 5070 sayılı Elektronik İmza Kanunu
• Seneka Yazılım – ONAYLARIM kurumsal ürün sayfası: https://seneka.com.tr/onaylarim
• ONAYLARIM – Ürün özellikleri ve planlar: https://onaylarim.com
• ONAYLARIM Kullanım Kılavuzu – Belge İmzalama: https://guide.onaylarim.com/docs/tutorial-how-to/sign-by-self/
• Seneka Yazılım – PrimeAPI Quickstart: https://seneka.com.tr/blog/primeapi-quickstart