证书全生命周期管理
签发、续期、吊销、查询、验签一站式管理，支持证书到期预警与自动提醒。
- 根证书与用户证书闭环签发
- 吊销列表（CRL）实时判定
- 有效期校验与到期预警
+
核心安全场景覆盖
+
认证与签名算法支持
+
用友版本兼容
+
验签错误码体系对齐
核心能力
一套平台，覆盖企业数字信任全场景
从证书签发到验签闭环，从单点登录到银企直联，智创CA 提供完整、可控、可审计的国密数字信任基础设施。
国密算法体系
原生支持 SM2/SM3 国密算法，兼容 RSA 体系，满足自主可控与合规要求。
- SM2 非对称签名与验签
- SM3 哈希摘要
- 兼容 PKCS#7 / PKCS#12 格式
双向证书鉴权
SM2 接入证书 + 请求签名 + 时间戳 + nonce 防重放，实现报文层双向校验与不可抵赖。
- 接入证书闭环签发（私钥仅下发一次）
- 请求签名与验签
- IP 白名单与防重放
电子签章
支持盖章、验章、二维码签章，印章图片与证书绑定，防篡改、可验真。
- 印章签发与验章
- 二维码签名与验证
- 印章图多格式支持
银企直联（OBM）
为银企直联提供字符串级签名、验签与数字信封加解密，保障资金数据安全。
- 签名 / 验签 / 加解密闭环
- 多套证书可配置
- 兼容银企直联既有协议
可信时间戳
由根证书签发可信时间戳，为业务操作提供可信的时间证明，满足审计与司法存证需求。
- 根证书签名时间戳
- 结构化验签（业务 + 时间戳）
- 时间戳验签闭环
深度适配
与用友 BIP / NCC 深度集成，开箱即用
已按用友 CA 集成标准完成 SPI 插件级适配，覆盖登录认证、业务签名、电子签章、银企直联、电子招投标等完整闭环。
用友 BIP 深度适配
面向用友商业创新平台 BIP，实现 CA 注册中心登记与反射工厂实例化的原生级对接，业务无侵入。
- 登录认证（USBKey / 软证书）
- 业务签名与验签
- Web 签名（浏览器端 JS）
- 电子签章与验章
用友 NCC 深度适配
针对用友 NC Cloud 系列，覆盖新版注册中心与新老两套服务端接口，兼容 NC65 / U8 / U8C / NCC 多版本。
- 新版 CA 注册中心（caEntry）
- 老版 ICAServer / IUsbKey 接口
- 银企直联（ICAForObm）
- 电子招投标（IBidClient/IBidServer）
更多系统接入进行中：除用友 BIP / NCC 外，我们正持续开发并推进其它 ERP 与业务系统的对接适配，让智创CA 成为统一的企业数字信任底座。如需了解具体系统对接进度，欢迎联系我们。
四层协同的产品架构
CA 服务端、用友适配补丁、前端 JS 与客户端插件协同工作，构建安全、可控、可扩展的证书认证体系。
CA 服务端
证书签发 / 吊销 / 验签 / 管理后台 / 审计备份
ca-server · Java 17
适配补丁
实现用友 CA SPI 接口，登记注册中心
yonyou-ca-adapter
前端 JS
浏览器端调用，证书枚举 / 匹配 / 签名
nccsign.js · ca_zc.js
客户端插件
本地监听，调用硬件加密狗签名
CaPlugin · 127.0.0.1
应用场景
覆盖典型企业数字化安全场景
从身份登录到资金结算，从合同盖章到标书投标，智创CA 为关键业务提供可信支撑。
统一身份认证
基于数字证书 + USBKey 的强身份认证，替代弱口令，防账号盗用与越权访问。
电子合同与签章
合同、单据、凭证的电子盖章与验真，确保内容完整、签署人身份可信、时间可溯。
银企直联资金安全
为支付、对账、电子回单等场景提供签名与数字信封加密，守护资金数据安全。
电子招投标
标书文件签名、加解密与时间戳，保障投标文件的机密性、完整性与不可抵赖。
可信时间戳存证
为关键操作签发可信时间戳，提供权威时间证明，支撑审计与司法存证。
接入应用安全鉴权
为第三方系统接入提供 SM2 接入证书，双向校验、不可抵赖，构建开放安全生态。
安全与合规
可信、可控、可审计的安全底座
从根密钥保护到审计留痕，智创CA 在每一个环节都遵循安全最佳实践与合规要求。
根密钥加密存储
根 CA 私钥采用 AES-GCM 加密落库，服务端不接触硬件，密钥安全可控。
双向证书校验
接入证书私钥仅下发一次、服务端只存公钥，配合时间戳与 nonce 防重放。
审计可追溯
全量操作审计日志，登录失败告警、异常告警，满足等保二级留存要求。
加密备份与恢复
支持自动定时备份、加密存储、过期清理，保障数据安全与业务连续性。
HTTPS 与访问控制
生产环境强制 HTTPS，支持 IP 白名单收敛，可选 mTLS 传输层双向证书增强。
本机回环隔离
客户端插件仅监听 127.0.0.1 本机回环，局域网与外网无法访问，杜绝远程攻击面。
信创适配
信创环境全栈适配，自主可控
全面兼容国产 CPU、操作系统与密码硬件生态，满足党政机关、央国企等信创环境下的自主可控与国产化替代要求。
国产 CPU 全架构
覆盖主流国产芯片指令集，适配 ARM64、LoongArch、x86 等架构。
- 鲲鹏（ARM64）
- 飞腾（ARM64）
- 龙芯（LoongArch）
- 兆芯 / 海光（x86）
国产操作系统
支持主流国产 Linux 发行版，服务端与客户端全链路可运行于信创 OS。
- 统信 UOS
- 麒麟 Kylin
- 中科方德
国密算法体系
原生支持 SM2 / SM3 国密算法，符合商用密码标准，自主可控。
- SM2 签名 / 验签
- SM3 哈希摘要
- 商用密码合规
国产密码硬件
适配国产密码 USBKey，用户私钥硬件级存储，杜绝软件泄漏风险。
- 飞天 ePass 3000GM
- SKF 标准中间件
- 私钥存于硬件内
跨平台客户端插件
Go 版插件免运行时、单文件部署，可针对信创架构原生编译。
- 多架构原生编译
- 免运行时部署
- 本机回环安全隔离
自主可控交付
源代码级交付、无商业技术绑定，支持按信创名录深度定制。
- 源码级交付
- 无技术绑定
- 深度定制支持
信创适配验证：可依据信创名录与现场环境提供适配验证，覆盖 ARM64（鲲鹏 / 飞腾）、LoongArch（龙芯）、x86（兆芯 / 海光）等架构的完整适配测试报告，确保在国产化环境稳定运行。
接入流程
四步完成用友环境接入
标准化部署流程，快速落地，降低集成成本。
部署 CA 服务端
启动 ca-server 并完成初始化，生成根证书、签发管理员证书。
签发接入证书
后台创建接入应用并闭环签发 SM2 接入证书与软证书。
部署适配补丁
将补丁 jar、配置与软证书放入用友类库，登记 CA 注册中心。
联调上线
部署前端 JS 与客户端插件，完成端到端验签联调后上线。
常见问题
你可能关心的问题
智创CA 原生支持国密 SM2（非对称签名/加密）与 SM3（哈希摘要）算法，同时兼容 RSA 体系，可满足不同业务系统与合规场景的需求。
不需要。根 CA 私钥为软件生成，采用 AES-GCM 加密后存储在数据库中。硬件加密狗（飞天 ePass 3000GM）是给管理员和最终用户使用的，插在他们自己的电脑上配合本地插件完成登录与签名。
支持。智创CA 同时覆盖用友新版 CA 注册中心（NCC / YonBIP）与老版服务端接口（ICAServer / IUsbKey，对应 NC65 / U8 / U8C），可按现场版本灵活适配。
接入请求统一走 SM2 接入证书双向校验：调用方用接入证书私钥签名，服务端用其公钥验签，并校验时间戳（±5 分钟）与 nonce（防重放）。接入证书私钥仅在下发时返回一次，服务端只存公钥，做到闭环、可控、不可抵赖。
目前已完成与用友 BIP、NCC 的深度适配，其它 ERP 与业务系统的接入适配正在持续开发和对接中。智创CA 提供开放的接入证书与验签接口，欢迎联系我们沟通具体系统对接需求。