---
title: "Ondertekenaars & certificaten"
space: "Digital Signing"
url: "https://www.prilk.com/nl/docs/digital-signing/ondertekenaars-certificaten"
updated: "2026-05-15"
---

## Ondertekenaars & certificaten

Onboarden van een nieuwe ondertekenaar en het beheren van hun certificaat-lifecycle.

### Een nieuwe ondertekenaar onboarden

#### Stap 1 — Gebruikersaccount aanmaken
1. **User → New**
2. E-mail + volledige naam
3. Rollen: **Customer** + **Signer**
4. Opslaan — gebruiker krijgt welkomstmail met inloggegevens

#### Stap 2 — Koppel aan een Klant (portaaltoegang)
Als de ondertekenaar via het portaal werkt:
1. Open het **Customer**-record
2. **Portal Users**-sectie → voeg de e-mail toe
3. Opslaan

De gebruiker kan inloggen op `/orders` en de Verkooporders van deze Klant zien.

#### Stap 3 — Signing Certificate aanmaken
1. **Signing Certificate → New**
2. **User**: de ondertekenaar
3. **Identifier**: licentie-/registratienummer (in het certificaat verankerd)
4. **Validity**: default 730 dagen (2 jaar)
5. Opslaan

Bij opslaan:
- Genereert EC-P256 sleutelpaar
- Geeft X.509-certificaat uit, getekend door uw CA
- Slaat keystore (encrypted) op in de database
- Status → **Active**

#### Stap 4 — Ondertekenaar stelt 2FA in
Bij eerste login:
1. Voert e-mail + wachtwoord in
2. Frappe toont een QR-code
3. Scant met authenticator-app
4. Voert 6-cijferige code in ter bevestiging

Login + ondertekenen vereisen vanaf nu de authenticator-app.

### Self-service: certificaat aanvragen

Als de ondertekenaar inlogt en geen actief certificaat heeft, toont de **Signing Certificates**-portaalpagina (`/signing-certificates`) een knop **Request Certificate**. Een klik genereert automatisch een nieuw certificaat.

### Certificaat-lifecycle

| Gebeurtenis | Wat gebeurt |
|---|---|
| Onboarded | Beheerder maakt Signing Certificate → sleutelpaar + cert gegenereerd |
| 30 dagen voor verloop | Dagelijkse scheduled job mailt de ondertekenaar |
| Verlopen | Status auto-naar Expired; ondertekenen geblokkeerd; beheerder maakt nieuw cert |
| Ondertekenaar vertrekt | Beheerder klikt **Revoke** — cert ingetrokken, keystore gewist, CRL bijgewerkt |

### Een certificaat intrekken

1. Open het **Signing Certificate** van de ondertekenaar
2. Klik **Revoke**
3. Bevestig

Na intrekken:
- Status → **Revoked**
- Versleutelde keystore-data wordt **verwijderd** — cert kan nooit meer gebruikt worden
- CRL wordt opnieuw gepubliceerd
- **Eerder ondertekende documenten blijven geldig** — handtekening was geldig op het moment van ondertekenen

### Certificate Revocation List (CRL)

De CRL staat op de URL in Signing Settings. Verifiërende partijen controleren of een cert is ingetrokken.

| Eigenschap | Detail |
|---|---|
| Refresh | Dagelijks + direct bij intrekking |
| Geldigheid | 30 dagen |
| Ingebed in B-LT / B-LTA handtekeningen | Ja — voor offline verificatie |

### Meerdere certificaten per ondertekenaar

Een ondertekenaar kan meerdere Signing Certificates hebben — meestal één Active en eventueel oudere Expired/Revoked. Het systeem kiest het meest recente Active cert bij ondertekenen.

### Velden zichtbaar voor de ondertekenaar

Op het portaal ziet de ondertekenaar van zijn eigen certificaten:
- Status (Active / Expired / Revoked)
- Identifier (licentienummer)
- Valid From / Valid Until
- Serienummer
- Downloadlink voor het publieke cert

### Volgende

- Ondertekenen: [Document tekenen](/nl/docs/digital-signing/document-tekenen)
- Verificatie: [Een handtekening verifiëren](/nl/docs/digital-signing/handtekening-verifieren)
- Security: [Beveiliging & audit](/nl/docs/digital-signing/beveiliging-audit)