電子簽章憑證機構名單：數位發展部許可的 6 家 CA 有哪些，自然人憑證、工商憑證跟它們的關係

電子簽章憑證機構名單由數位發展部公告。查證日 2026-10-25 時，官方最新一版是 2026 年 9 月 18 日更新的名單，上面共有 6 個憑證機構、15 份經許可的憑證實務作業基準（CPS）：內政部、經濟部、數位發展部、衛生福利部四個政府機關，加上中華電信股份有限公司、臺灣網路認證股份有限公司兩家民間公司。用這些機構簽發、還在有效期內的憑證做數位簽章，依電子簽章法第 6 條會被推定為本人親自簽名或蓋章。名單會隨許可與變更調整，一切以數位產業署公告為準。

我們在做自家電子簽署產品的自然人憑證簽署功能時，第一個要回答的問題就是「系統要信任哪幾把根憑證」。答案就在這份名單裡：名單上的 CA 簽的憑證，簽出來的東西才有法律上的推定效力；名單外的憑證，技術上一樣能驗簽，法律上就少了那一層保護。這篇把名單完整整理出來，順便講清楚它跟自然人憑證、工商憑證的關係，以及一般公司簽合約到底需不需要用到這些機構。

先講結論給趕時間的人：名單是「數位簽章」才需要查的東西。公司跟客戶、廠商之間簽報價確認、服務合約、切結書，大多數走一般電子簽章就有效，重點是留下對方同意與簽署過程的證據。需要推定本人簽署、或是對方（多半是政府機關）指定要用憑證時，才輪到這份名單出場。

電子簽章憑證機構名單：數位發展部 2026-09-18 公告的完整版

下表照抄數位產業署電子公布欄的名單 PDF（更新日期民國 115 年 9 月 18 日），查證日 2026-10-25。同一個機構可以有好幾份 CPS，每一份對應一個憑證管理中心，各自發不同用途的憑證，所以「6 個機構」底下有 15 份文件。

名單上的機構各發什麼憑證

看 CPS 名稱就能大致分出用途。政府機關這四家是「政府 PKI」，發給民眾、公司、機關、醫事人員；兩家民間公司主要做金融交易與企業用戶憑證。下表的用途描述是一般常見情況，實際範圍以各管理中心網站與 CPS 內容為準。

自然人憑證和工商憑證能拿來做什麼，我們分別寫過完整整理：自然人憑證用途有哪些、工商憑證用途有哪些。網站上看到的 SSL 憑證跟這份名單是兩條線，SSL 管的是「這個網站是不是本人」，詳見 SSL 憑證是什麼。

憑證機構怎麼上名單：CPS 許可制與電子簽章法 2024 修法

先講結論：憑證機構要把「憑證實務作業基準」送數位發展部許可，拿到許可才能對外發憑證，改版也要重新送。這是電子簽章法第 12 條的規定，沒經許可就提供簽發憑證服務，依第 16 條可以處 100 萬到 500 萬元罰鍰，情節重大還能停業。

CPS 是什麼？可以把它想成 CA 對外公開的「營業守則」：怎麼確認申請人身分、憑證多久到期、什麼情況會主動廢止、資料留多久、個資怎麼保護。主管機關審的就是這份守則寫得夠不夠嚴、做不做得到。許可後，CA 要把 CPS 放上自己的網站，主管機關則要公告名單、版次與許可文號，也就是上一段那張表的來源。

2024 年 5 月 15 日修正公布的電子簽章法，是 2001 年立法以來最大的一次翻修。跟憑證機構有關的改動整理如下：

身分保證強度那一列值得多看一眼。施行細則第 9 條要求，能產生「推定本人」效力的憑證，申請人註冊時的身分驗證至少要達到國際標準的中高等級。白話講：臨櫃核對證件、或同等強度的線上驗證才算數，光靠 Email 或手機簡訊開的帳號，達不到這個門檻。非政府機關的 CA 還要另外附法人登記、股權結構、財報（施行細則第 12 條），主管機關也可以進場查核。

那第 6 條的「推定」到底多值錢？推定的意思是：發生爭議時，主張「那不是我簽的」的一方要負舉證責任。一般電子簽章一樣有效（第 4、5 條），只是對方否認時，要由你拿出證據證明是他簽的。差別在官司打起來誰比較累，日常簽約本身的有效性沒有差別。修法重點的完整白話版可以看電子簽名有法律效力嗎，三個名詞的差異則在數位簽章、電子簽章、電子簽名差在哪。

講到這裡，這件事我們其實已經在做。秒簽 SpeedSign（看它長什麼樣）的第三級「自然人憑證簽署」，信任清單只放了政府憑證總管理中心 GRCA 的根憑證與內政部 MOICA 的中介憑證，也就是名單第一列跟數位發展部那幾列；簽署時會驗整條憑證鏈、比對憑證姓名與身分證末 4 碼，再用 OCSP 查這張卡有沒有被撤銷。一般合約用第一級（Email 驗證碼加手寫或上傳簽名）就夠，需要更強的身分證據再往上選。免費註冊就能用，簽一份試試看；有問題也可以直接跟我們聊。

外國憑證機構簽的憑證，在台灣算不算數

先講結論：要經數位發展部許可，才跟本國憑證機構簽發的憑證有相同效力。我們在查證日（2026-10-25）翻遍數位產業署網站與電子簽章法規專區，沒有找到經許可的外國憑證機構名單公告，所以這裡不列任何外國機構名稱。如果之後有公告，外國憑證機構許可辦法第 2 條要求主管機關放在網站上，請以官方頁面為準。

外國 CA 要進來有兩條路：

這對企業的實際影響：用 DocuSign、Adobe Acrobat Sign 這類國際平台簽的合約，在台灣多半屬於一般電子簽章，只要雙方同意用電子方式、過程有留證據，合約本身照樣有效；它們預設的平台憑證沒有出現在我國許可名單上，所以拿不到第 6 條的推定效力。國際平台跟本土工具怎麼選，可以看台灣電子簽署工具比較與電子簽章 SaaS 採購完整指南。

自然人憑證、工商憑證跟憑證機構名單是什麼關係

一句話：自然人憑證是名單上「內政部」發的，工商憑證是「經濟部」發的，它們都掛在數位發展部管理的政府憑證總管理中心 GRCA 底下。這一整套叫政府公開金鑰基礎建設（政府 PKI），根憑證只有一把，底下分給不同對象的管理中心各自發卡。

系統驗證一張自然人憑證時，就是沿著這張圖往上爬：使用者的卡由 MOICA 簽發，MOICA 的憑證由 GRCA 簽發，GRCA 是自簽的根。只要每一段的簽章都驗得過、都在有效期內，再確認卡片沒被撤銷，這張憑證就可信。我們自己串的時候踩過一個坑：GRCA 歷年換過金鑰，同一個名稱底下有好幾張不同金鑰的根憑證，只比對名稱會挑錯，一定要用密碼學簽章逐把確認。

自然人憑證最常被問的三件事，站內各有一篇：自然人憑證給別人有風險嗎（答案是有，交出去的等於你的身分）、行動自然人憑證是什麼、自然人憑證申請要多久。

什麼情境一定要用名單上的憑證，什麼情境電子簽名就夠

先講結論：私人之間的合約、切結、同意書，多數用一般電子簽章就有效；對方是政府機關、或法律有特別規定、或你需要「推定本人」的保護時，才要用名單上的憑證。判斷的順序可以照下面這張表走一遍。

相對人同意這件事常被忽略。電子簽章法第 5 條第 4 項規定，對方還沒明確同意用電子形式時，要先用合理期間與方式給他反對的機會，告知「沒反對就推定同意」。施行細則第 8 條把合理期間定成自告知日起不少於三日（當事人另有約定或交易習慣除外）。所以比起「用哪家 CA」，實務上更該先顧的是：同意條款有沒有存全文、對方什麼時候看過、在哪裡簽的。

哪些文件可以線上簽、哪些受理端還是不收，電子合約是什麼整理了常見清單；要請對方線上簽、又想留下有證據力的紀錄，可以看線上簽名怎麼請對方簽。

秒簽的三個信任等級，各自對到哪一層

秒簽讓發起人每份文件選一次信任等級，預設第一級。三級跟這份憑證機構名單的關係如下：

L3 有三個限制要先講清楚：只能用電腦簽（手機會被請去改用電腦）；目前不支援行動自然人憑證，這是下一步會加的功能；簽章不是嵌在 PDF 裡的 PAdES 格式，憑證資訊印在簽署證明書上。OCSP 查不到撤銷狀態時系統會放行，並在證明書註明「未確認撤銷狀態」，不會假裝查過。目前也只收內政部 MOICA 發的自然人憑證，工商憑證還不能用來在秒簽上簽。

不管選哪一級，全部簽完都會產生完成版 PDF，最後一頁是簽署證明書（信任等級、完成時間、8 碼驗證碼、文件 SHA-256），任何人都能到公開驗證頁上傳 PDF 或輸入驗證碼，確認文件有沒有被改過。想看實際長怎樣，秒簽產品頁有完整介紹，免費註冊就能用。

企業評估電子簽章服務時，拿憑證機構名單該問廠商的事

先講結論：問廠商「你的數位簽章用哪家 CA 的憑證、那份 CPS 在不在名單上」，答不出來就當它只提供一般電子簽章。這沒有不好，多數合約一般電子簽章就夠，只是你要知道自己買到的是哪一種。下面是我們建議法務、行政窗口拿去問的清單：

我們的看法比較直接：中小企業花在「選哪家 CA」的力氣，多半應該挪去「同意證據有沒有留好」。實際上會吵起來的合約，爭點幾乎都是「我沒看到這條」「那不是最後版本」，很少是「那張憑證是誰的」。數位簽章該用在真正需要推定效力的少數文件；其餘的，一套稽核紀錄完整、簽完會鎖的流程，比堆憑證更實用。

如果你們的需求比較像公司內部的多層簽核（請款、請假、採購核准），那是簽核系統的範圍，跟對外簽合約的電子簽章不同，可以看電子簽核系統怎麼選。公司大小章在電子文件上怎麼處理，則在公司大小章怎麼蓋。