摘要：QWAC是用于网站身份认证的合格证书，企业应先确认是否存在适用的监管或接入要求，再选择相应产品。PSD2项目还需要核对支付服务主体、监管机构及角色信息。采购、组织核验、证书链兼容性和部署验收应分开处理，不能把购买QWAC等同于完成整个跨境业务合规。
跨境项目提出“需要 eIDAS 证书”，采购团队收到这句话后，最好先问一句：证书要放在哪里，供谁验证？
放在网站或接口上做身份认证，与用来签署合同、给数据加盖电子印章，属于不同用途。QWAC 是 Qualified Website Authentication Certificate，即合格网站认证证书。明确这一点，才能继续讨论申请主体、接入规范及部署位置。
把对方的接入要求拿到手
不能仅因为企业在欧洲有客户，就认定所有官网都必须改用 QWAC。是否需要采用，应结合具体监管适用范围、业务角色和合作方的技术要求判断。涉及法律适用的结论，应由负责合规的人员结合实际业务确认。
对方若要求 PSD2 相关证书，应进一步明确需要 QWAC、QSealC，还是相应组合。QWAC 用于网站认证及相关 TLS 连接；QSealC 关注数据来源和完整性。QES 则是另一类电子签名概念，不能用一张普通网站证书替代这些不同用途。
最值得提前取得的材料，是接入规范中的证书配置要求、主体识别方式、测试环境及验收标准。只给采购人员一个“合格证书”的名称，后续可能买对了大类，却没有满足合作方要求的属性或信任配置。
证书主体应对应真正承担业务的实体
集团在不同地区设有公司时，应先确认实际提供受监管服务或参与接口调用的是哪一个法律实体。不能因为总部负责付款，就默认把总部名称填入所有证书；也不能为了与网站品牌一致，自行替换成未经核实的商业称呼。
在 PSD2 场景下，申请材料还涉及主管监管机构、支付服务提供商标识及相应角色。这些信息要与监管记录和实际业务一致，不能通过证书申请来取得原本没有的支付服务资格。
项目中可以由合规人员确认主体和角色，法务或授权代表提供证明，技术人员负责域名及部署。每个人负责不同材料，但最终订单中的信息需要共同核对。若监管身份、名称或授权代表正在变更，应在提交前向签发机构说明，而不是先填旧资料抢时间。
GlobalSign 的 PSD2 QWAC 申请流程包含相应组织、授权和 PSD2 属性核验。实际材料以审核要求为准，不能用普通 DV 证书的域名验证通过记录，代替这些额外核验。
可信任链要到实际接入方那里验证
合格身份与技术连接能否建立，是相关但不能互相替代的问题。对方系统可能使用固定的信任库、指定的中间证书或特定证书策略。证书已经签发，不代表每一个API 网关和运行时都已经配置好信任。
企业应在预生产环境验证名称、有效期、完整证书链及接入规范要求的字段。若接口使用双向TLS，还需要区分作为服务器展示的证书与作为客户端提供的身份材料，并核实合作方对各自用途的要求。
这里不要只检查浏览器小锁。浏览器与服务器程序可能不使用同一套信任来源，正式接口也可能执行额外的监管身份检查。应保留实际连接的验证结果，让合作方确认收到并接受的是预期证书。
对于合格状态的核实，应关注签发者对应的具体信托服务及其适用状态，而不只是看到一家机构提供普通SSL 业务就认定所有服务都是合格服务。采购阶段确认清楚，可以减少验收时才发现产品或服务范围不匹配的返工。
上线安排里别遗漏下一次更新
QWAC 到期、更换密钥或信任链变更，都可能要求合作方同步调整。接入过程中就应问清更新通知方式、是否需要重新登记、允许怎样的新旧证书过渡，以及测试和生产是否分别维护。
如果对方系统固定了证书或公钥，单方面完成续期可能使连接中断。应在有效期内安排新证书的登记和验证，确认切换成功后再按政策处理旧证书。不能把能够回退理解为可以继续使用已过期或不再可信的材料。
企业内部记录应同时关联业务、申请实体、证书用途和维护人。只保存一个到期日，无法判断下次变更需要联系哪个监管或合作团队；只保存采购订单，也无法说明线上到底使用哪张证书。
上线验收可以据此确认四件事：主体信息已经核对，证书用途符合接入要求，真实连接验证通过，后续更新有人接手。这些都是具体项目工作，不意味着一张证书可以替代全部业务合规审查。
FAQ
Q1：面向欧洲客户的网站，都必须申请QWAC吗？
A：不能这样概括。应根据具体业务的监管适用范围与接入要求判断，不能把欧洲访问者的存在当成统一的采购条件。
Q2：集团付款主体与实际支付服务主体不同，证书应填谁？
A：应按实际业务身份和审核要求确定证书申请实体，付款方不必然等于证书主体。涉及集团内部不同公司的，需说明关系并核对相应资质与授权。
Q3：QWAC签发后，是否代表PSD2项目已经完全合规？
A：不代表。证书只承担相应用途，监管资格、接口行为、数据处理及其他义务仍需分别满足。正式上线还应完成技术连接和合作方验收。
GlobalSign的QWAC与PSD2证书支持
GlobalSign 提供 QWAC 及 PSD2 相关合格证书服务，并在申请过程中核验适用的身份和属性信息。企业可以先整理业务角色及合作方接入要求，再与产品和审核团队确认所需证书，随后安排组织核验、技术联调和更新交接，避免在不同用途的证书之间反复切换。
资料来源
GlobalSign PSD2合格证书产品说明
https://shop.globalsign.com/en/psd2-digital-certificates
GlobalSign PSD2 QWAC申请与验证指南
https://support.globalsign.com/qualified-certificates/onboarding/psd2-qualified-website-authentication-certificate-qwac-onboarding-guide