日前，一款名为“Let’s Seal”的开源项目在Hacker News上引发广泛关注。该项目被创作者称为“文档签名界的Let’s Encrypt”，旨在为电子文档提供免费、自动化、可自托管的数字签名服务，使个人和企业无需付费第三方CA（证书颁发机构）即可完成具有法律效力的文档签署。

从Let’s Encrypt到Let’s Seal：理念一脉相承

Let’s Encrypt是全球最大的免费SSL/TLS证书颁发机构，由互联网安全研究小组（ISRG）运营，已为超过3亿个网站提供自动化证书签发服务。其核心贡献在于：通过ACME协议，让任何人都能免费、自动地获取受信任的SSL证书，从而大幅降低HTTPS部署门槛。

“Let’s Seal”正是借鉴了这一思路。项目创始人（网名为seal-dev）在公告中表示：“数字签名与SSL证书面临相同困境——要么依赖昂贵的商业CA，要么流程复杂、难以集成。我们想让文档签名像申请Let’s Encrypt证书一样简单：免费、自动化、无需人工审核。”

项目核心特性

据GitHub仓库介绍，Let’s Seal具备以下关键功能：

  1. 完全免费且自托管：用户可在自己的服务器上部署Let’s Seal服务端，所有签名操作不产生任何费用。项目采用AGPLv3开源协议，代码完全透明，可审计。

  2. 自动化签名流程：类似ACME协议，Let’s Seal定义了开放的“文档签名自动化协议”（DSAP），支持通过API自动完成身份验证、私钥生成、文档哈希签署等步骤。

  3. 兼容X.509证书体系：签署者需先通过Let’s Seal生成一个受信任的签名证书（基于X.509标准），该证书可被Adobe Acrobat、LibreOffice等主流文档软件识别。生成的数字签名符合PDF标准（PAdES）及CAdES格式。

  4. 去中心化信任模型：不同于商业CA依赖中心化根证书，Let’s Seal允许用户建立自己的“信任锚”——比如企业可以自建CA，为内部员工签发签名证书；开源社区亦可联合建立公共信任列表。

  5. 轻量级部署：项目提供Docker镜像及RPM/DEB包，单机即可运行，资源消耗极低。

技术实现与工作流程

传统电子签名通常需要经历：选择CA→提交企业资料→付费→等待审核→下载私钥→集成API。而Let’s Seal将流程简化为：

  1. 部署服务端：用户在自有服务器上运行docker run lets-seal/lets-seal，启动服务。
  2. 注册账户：通过Web界面或CLI工具生成账户密钥对。
  3. 验证身份：支持DNS、HTTP、Email等多种验证方式（如控制域名TXT记录、接收验证邮件等），确认用户对签名主体的控制权。
  4. 签发证书：验证通过后，服务端自动生成签名证书及私钥，私钥仅保留在用户本地。
  5. 签署文档：使用生成的证书对PDF、XML或其他格式文档进行哈希签名，输出标准签名文件。

整个过程无需人工干预，认证周期从数天缩短至分钟级。

应用场景与意义

值得注意的是，Let’s Seal并非要取代商业电子签名服务（如DocuSign、Adobe Sign），而是提供一种更灵活、低成本的技术基础层。其适用场景包括：

  • 企业内部文档流转：公司自建签名服务器，为员工签发内部审批用的证书，节省每年数千元的第三方服务订阅费。
  • 开源项目契约：开源社区可自动签署代码提交、贡献者协议、版本发布声明，确保不可抵赖性。
  • 个人创作者：艺术家、作家用自己的证书给数字作品签名，防止盗版篡改。
  • 政务数字化：政府部门之间通过自建CA实现公文电子印章，符合《电子签名法》要求。

项目发布后，Hacker News上已有超过500条讨论。多位开发者表示：“这是数字签名民主化的重要一步。”“虽然早期需要对证书链进行分发配置，但相比商业封闭方案，这是更健康的方向。”

安全性与信任挑战

当然，自托管的签名系统也面临质疑。安全专家指出：如果用户自行管理私钥，一旦私钥泄露或丢失，将导致签名失效或被冒用。对此，项目团队强调了三层防护机制：私钥生成后仅保留在用户端，服务端从不触碰；支持硬件安全模块（HSM）集成；提供私钥备份恢复的加密方案。

此外，与Let’s Encrypt类似，Let’s Seal默认不向公共根证书库申请信任——这意味着签名的文档在Adobe Reader等软件中会显示“签名者身份未经验证”，除非用户手动导入自建CA的根证书。项目方表示，正在与开源信任列表组织（如CCADB）沟通，探索纳入公共信任的可能性。

未来路线图

根据项目路线图，下一阶段将重点支持： - 跨国界的互认联盟（例如多个自建CA组成联合信任链） - 时间戳服务集成（TSA） - 移动端SDK - PDF长期签名（LTV）支持

项目现已开放早期测试版，代码托管在GitHub（https://github.com/lets-seal/lets-seal），欢迎社区参与贡献。正如创始人所言：“让每个人都能像加密通信一样轻易地签名文档，这是数字时代的应有之义。”