Headless Signature Seed Constraints
SignToFile a SignPFXToFile rozřeší slovník SV pole podpisu přes jeho rodičovský řetězec a validují vyžadované seed hodnoty, dřív než publikují podepsaný výstup
Podepisovací profil respektuje vyžadované zpracování Adobe.PPKLite, kódování adbe.pkcs7.detached či ETSI.CAdES.detached, verze schopností seedu 1 až 3, výběr SHA256/SHA384/SHA512, důvody podepsání, hodnoty MDP schválení oproti certifikaci i autentizované RFC 3161 timestampy
Nastavte THPDFHeadlessCMSOptions.DigestMethod a Reason pro výběr odpovídajícího skutečného CMS digestu i položky Reason podpisu; vyžadovaný seznam důvodů jediného období položku Reason potlačí
Vyžadovaná hodnota LockDocument true zapíše účinnou transformaci FieldMDP All; vyžadovaná false odmítne rozporný zámek všech polí
Omezení seedu LegalAttestation platí pro certifikační podpisy; LegalAttestation vybere povolené Unicode upřesnění pro standardní katalogový slovník Legal/Attestation, se zachováním detailů stávajícího právního obsahu
Schvalovací podpisy omezení seedu LegalAttestation vyhrazená certifikaci ignorují; dodání právního upřesnění se schvalovací žádostí se odmítne
Omezení certifikátů
HPDFReadHeadlessCertificatePolicy čte model SVCert a HPDFValidateHeadlessCertificatePolicy ho vyhodnotí vůči skutečnému listovému certifikátu i mezilehlým PEM certifikátům
| Omezení | Vyžadované chování |
|---|---|
| Subject | Leaf se shoduje s jedním kompletním DER certifikátem |
| Issuer | Kryptograficky platný, aktuálně platný přímý či nepřímý řetězec dosáhne povoleného vystavitele; povolený mezilehlý certifikát může řetězec ukončit |
| OID | Každý nakonfigurovaný policy OID se vyskytne v rozšíření politik listového certifikátu; tohle omezení platí, když je dodán Issuer |
| SubjectDN | Jedna alternativa obsahuje atributy shodné se subjektem leaf; dodatečné listové atributy jsou povolené, s kanonickým porovnáním X.509 a podporou Unicode |
| KeyUsage | Existující rozšíření se shoduje s jedním přijatelným devítipozicovým patternem; 0 vyžaduje vymazaný bit, 1 nastavený bit a ostatní či chybějící znaky jsou wildcards |
| URL | CredentialSourceURL se rovná nakonfigurované enrollment URL, když je vyžadovaná |
Párování omezení certifikátů používá seed issuers jako explicitní enrollment omezení; běžná CMS podniková důvěra se dál řídí odděleně přes TrustedCAFile
CredentialSourceURL je provenience dodaná aplikací, která získala podepisující identitu; knihovna neprovádí žádné enrollment síťové žádosti a nemůže tu provenience odvodit z bajtů X.509
TimestampServerURL identifikuje endpoint routovaný Timestamp.Transport; vyžadované timestampy navíc procházejí skutečnou validací imprintu, nonce, TSA certifikátu i důvěry
Hranice
Vyžadované AddRevInfo true vyžaduje UseAdobeRevocationInfo s autentizovanými důkazy i explicitním souborem důvěryhodné CA; vyžadované false ten profil odmítne a volitelné hodnoty vybraný profil nepřebijí
Adobe atribut obsahuje hodnoty CRLs a BasicOCSPResponse jako podepsané atributy; všechny řetězce podepsávajících i zahrnutých TSA musí mít aktuálně platné autentizované revokační pokrytí, dřív než se publikuje výstup
Vyžadovaný neprázdný AppearanceFilter se musí shodovat s vestavěným profilem skutečně vybraným SetSignatureFieldAppearance v aktuální instanci dokumentu; neznámá, vyměněná či jen znovu načtená metadata profilu to omezení nesplní
Poškozené slovníky, duplicitní sémantické klíče, poškozené DER či PEM, rezervované certifikátové příznaky, nadměrná omezení i zrušení vytvoří selhání, aniž by nahradila existující výstup
Samostatné volby certifikátových politik ohraničují celkové bajty certifikátů, agregátní bajty omezení, položky i certifikáty řetězců; výsledek odděluje dodané a párované příznaky od Accepted