一家做建材贸易的企业，通过电子合同平台签署了一份300多万的采购合同。签订过程一切顺利，直到交货期到了，供应商说"没收到过这份合同"。企业翻出平台的记录，上面确实有供应商的电子签名。但供应商的法人代表说，他根本没用过那个平台，签名不是他签的。

查下来发现，供应商公司的一名离职员工，用自己以前注册的账号签了这份合同。离职时公司没有收回账号权限，平台也没有二次验证签署人的身份。

这件事的本质是：电子合同的安全，不是签完就结束了，而是从注册账号到存证保全，每一个环节都不能掉链子。

这是电子合同安全的第一道防线，也是最容易被突破的一道。

市面上很多电子合同平台，为了降低用户使用门槛，身份认证做得比较宽松。手机号验证、邮箱验证就算认证通过了。但这类认证方式验证的是"谁在用这个手机号"，而不是"这个人是不是他声称的那个人"。

《中华人民共和国电子签名法》第十三条明确规定，可靠的电子签名需要满足"电子签名制作数据用于电子签名时，属于电子签名人专有"。手机号和邮箱显然做不到"专有"——手机号可以换人用，邮箱可以多人共享。

从行业实践来看，涉及合同金额较大、权益较为重要的场景，身份认证至少需要达到"实名认证+意愿认证"两层。实名认证常用的是"姓名+身份证号+人脸识别"三要素核验，直接对接公安数据库。意愿认证是在签署时进行二次确认，比如短信验证码、人脸识别或U盾验证。

还有一个容易被忽略的细节：认证必须由持牌CA机构直验，不能外包。新规明确要求，身份查验不得委托给外部机构，必须由CA机构直接完成。如果平台把认证环节外包了一道甚至两道，整个认证链条就断了，纠纷时很难被采信。企业在选择平台时，可以问对方一个问题：你们的实名认证是直连CA还是走代理？如果回答含糊，就要打个问号。

身份认证解决了"你是谁"，但还有一个问题——"你有没有权限签"。

企业签署场景下，签署人通常不是法人本人，而是授权代表。授权是否有效、授权范围是否明确，这些都需要在签署前界定清楚。如果签署人没有获得合法授权，即使签了字，合同也可能被认定为无效。

某房产公司曾因为一份电子合同惹上官司。合同上的签署人是公司的一名部门经理，但公司章程规定，超过100万元的合同必须由总经理签字。这份合同金额280万，部门经理签了，对方以为合同有效，结果公司以"签署人越权"为由主张合同无效。法院最终认定，对方作为交易相对方，应当知道公司内部的授权限制，合同不成立，双方各自承担部分损失。

这个案例的教训是：在签署电子合同之前，确认对方的签署人是否有合法授权。可以要求对方提供授权委托书，或者在平台上设置签署权限——限制不同金额、不同类型的合同，必须由不同级别的人员签署。

电子合同和纸质合同一样，内容必须完整、明确，不能有空白条款。

有些企业为了方便，在合同模板里留了"签约日期""签约金额"等空白项，想着签署时再填。但电子合同的签署流程和纸质合同不同——纸质合同可以先签再填，电子合同一旦签署，内容就被哈希算法锁定，事后补填等于篡改。

更危险的是，如果合同在流转过程中被第三方恶意填写了空白项，企业很难证明"这个内容不是我填的、是对方后来加的"。因为电子合同一旦签署，默认就是对合同全文的确认，空白条款就变成了"你同意由对方来填"。

一个实用的做法是：在合同模板中，把所有需要填写的字段都设为必填项，不允许留白。如果确实需要在签署前临时确定某些内容，通过平台的消息沟通功能确认，并保留沟通记录作为补充证据。

电子合同签署完成后，很多人只关心结果——合同有没有签好。但一旦发生纠纷，真正决定胜负的，往往是过程——签署过程有没有被完整记录。

一份合规的电子合同签署，每一步都应该有日志：谁在什么时间创建了合同、合同内容经历了哪些修改、每次修改的操作人和时间、审批流程中每个人的意见和操作、签署环节每个人的签署时间/方式/IP地址/设备信息、用印记录、归档记录。

某销售型公司曾与一名离职员工发生劳动仲裁。员工主张公司从未与其签订劳动合同，要求支付双倍工资差额。公司拿出了电子劳动合同——系统里有记录，员工确实签了。但员工在庭上辩称："这份合同是HR用我的账号密码登录之后代签的，我根本不知道有这回事。"

公司翻遍了系统记录，发现只有"签署完成"这一个时间点和状态，至于签署时是谁操作的、在什么设备上操作的、有没有经过二次确认——全部没有记录。仲裁委员会最终认为，公司无法证明签署行为是员工本人真实意愿的表达，采信了员工的说法，公司败诉。

这个案例说明：操作日志不是"有就行"，而是要能形成完整的证据链。选平台的时候，可以问一个问题：如果发生纠纷，你们能给我出什么样的证据？能证明到什么程度？如果对方的回答是"我们都有记录"，但没有具体说明记录了什么、怎么存证——那就要打个问号了。

数字证书是电子签名的核心技术基础。很多人不知道的是，数字证书是分等级的。

基础级数字证书，身份核验相对简单，适用于一般性的合同签署，比如日常采购、内部审批、普通协议。高等级数字证书，身份核验更严格，通常需要人脸识别、活体检测等强验证手段，适用于大额交易、不动产处置、重要人事合同等高风险场景。

一个差点翻车的案例：某房地产公司与购房者通过电子合同签署了购房协议，金额400多万。后来因为交房时间问题，购房者起诉到法院。庭审中，购房者的代理律师对电子合同的效力提出质疑，认为签署时使用的数字证书等级不够，不能用于房产交易这种高价值场景。法院审查后发现，该电子合同平台使用的是基础级数字证书，而根据《电子认证业务规则规范》，涉及财产权益的高风险场景，应使用高等级证书。法院最终认定电子签名使用的证书等级不符合规范要求，法律效力存疑。虽然案件最终以调解结案，但房地产公司从占理的一方变成了被动的一方。

一般来说，金额较大（50万以上）、涉及不动产、涉及重要权益处置的合同，建议使用高等级数字证书。选平台的时候，要确认平台是否同时支持两种证书，是否可以根据不同场景灵活配置。如果平台只支持基础级证书，就意味着所有合同都用同一种证书，高风险合同的合规性就存在隐患。

私钥是电子签名的核心机密。简单理解，私钥就是电子印章的"钥匙"，谁拿到这把钥匙，谁就能用你的印章。

某科技公司使用电子合同平台两年多，一直正常。直到有一天，财务发现一笔200万元的借款合同，上面盖着公司的电子印章，但公司管理层完全不知道这笔借款。调查发现，是公司一名离职的IT管理员，利用自己还能登录后台的权限，调用了公司的电子印章私钥，私自签署了这份合同。更麻烦的是，平台无法证明这份合同的签署不是公司授权的——因为私钥托管在平台，调用记录不够完整。

这个案例暴露了两个问题：第一，员工离职后，账号权限必须第一时间收回，包括电子合同平台的权限。第二，电子印章的每次调用都应有完整的审批和记录，不能让人"拿到钥匙就能开门"。

企业在管理电子印章时，建议做到三点：每次用印都需要审批，审批通过后才能调用印章；用印记录完整保存，包括谁申请的、谁审批的、什么时间、用于哪份合同；关键岗位人员变动时，第一时间更新权限。

电子合同签完之后，很多人以为万事大吉，什么证据都没保存。等到需要打官司时，才发现除了合同本身，拿不出任何能证明"这个合同是当时那个人签的"的证据。

合同签完，至少要做三件事：下载合同原件，保存到本地；下载存证报告，保存到本地；截取平台的签署记录页面，保存到本地。平台虽然会云端保存，但本地备份能应对极端情况。

有的平台支持一键出证——在需要的时候，可以在线申请司法鉴定报告或公证书。如果平台提供这个能力，建议提前了解出证流程和费用，不要等到火烧眉毛了才去研究。

某资产管理公司起诉吕某，提供了电子合同作为证据。但原告提供的电子合同均无吕某的签字确认，也未提供具有资质的第三方平台认证报告，无法证实合同系双方线上签订且内容自形成后未被更改。

晋江市人民法院经审理认为，电子合同文本的显著特征在于形式上没有当事人的亲笔签章，打印出来也均为普通文档，法院需要借助其他证据认定合同关系是否成立。由于原告未能提供有效的证据证明合同的真实性，法院依法驳回了原告的全部诉讼请求。

这个案例涵盖了前面提到的几乎所有问题：身份认证不到位、没有可靠电子签名、没有存证报告、没有完整证据链。任何一个环节做好了，结果可能都不一样。