Overenie platnosti a kvalifikácie certifikátu pri jeho výbere

docs/docs/en/card-and-pin.md

@@ -41,7 +41,7 @@ Some cards store certificates in several parts called slots. Such a card appears
 
 On a Gemalto IDPrime 940 card, the qualified certificate is often in a different slot than the other certificates. If you do not see your qualified certificate after choosing a slot, or signing fails, click **Sign with another certificate** and choose the other slot.
 
-Besides the qualified certificate, the Slovak ID card also holds a second one that is not used for qualified signing. Autogram does not offer it by default. If you turn on **Show EP certificate of the ID card** in [Settings](settings.md#other), the ID card appears in the list twice. For ordinary signing, choose **qualified**.
+Besides the qualified certificate, the Slovak ID card also holds a second one that is not used for qualified signing. Autogram does not offer it by default. If you turn on **Show EP certificate of the ID card** in [Settings](settings.md#other), the ID card appears in the list twice. For ordinary signing, choose **qualified**. The second certificate is not qualified, so signing with it also needs **Allow signing with non-qualified certificates**.
 
 ![Slovak ID card with a qualified and a non-qualified certificate](/assets/images/screenshots/en/token-picker-eid.png)
 
@@ -74,6 +74,31 @@ Autogram shows the certificates on the chosen card. Choose the one you want to s
 
 ![Choosing a certificate](/assets/images/screenshots/en/certificate-picker.png)
 
+While Autogram checks the certificates, the **Sign** button is inactive and reads **Checking certificate validity…**.
+
+![Checking the certificates](/assets/images/screenshots/en/certificate-picker-checking.png)
+
+Autogram checks:
+
+- **whether the certificate was revoked**, for example after the card was lost. It asks the certification authority that issued the certificate, so it needs an internet connection.
+- **whether the certificate is qualified** according to the trusted lists of the countries turned on in [Settings](settings.md#signature-validation). Only a qualified certificate makes a qualified electronic signature.
+
+The check usually takes a fraction of a second. Shortly after Autogram starts, it also waits until the trusted lists are loaded, and the button then reads **Loading trusted lists…**. A valid qualified certificate shows nothing. Otherwise the certificate has a label:
+
+![Certificates with labels after the check](/assets/images/screenshots/en/certificate-picker-checks.png)
+
+| Label | What it means | Can you sign with it? |
+| --- | --- | --- |
+| **Revoked certificate** | The certification authority revoked the certificate. | No |
+| **Non-qualified certificate** | The certificate is not qualified according to the trusted lists. | Only if **Allow signing with non-qualified certificates** is turned on in [Settings](settings.md#security) |
+| **Validity could not be verified** | Autogram could not find out whether the certificate was revoked, for example without an internet connection. | Yes |
+| **Qualification could not be verified** | The trusted lists could not be loaded, for example when Autogram first starts without an internet connection. | Yes |
+| **Expired certificate** | The certificate has expired. Such certificates are shown only if **Allow signing with expired certificates** is turned on in Settings. | Yes |
+
+If none of the certificates is qualified, Autogram shows a hint below them with an **Open settings** link. The most common reason is that the certificate was issued by a certification authority from a country whose trusted list is turned off. Autogram then names that country in the hint. When you close the settings, the certificate selection appears again.
+
+![Hint when none of the certificates is qualified](/assets/images/screenshots/en/certificate-picker-hint.png)
+
 ## Signing PIN {#signing-pin}
 
 Finally, you enter the signing PIN, which some cards call QPIN. With all cards except the Slovak ID card, you enter it in Autogram's window.

docs/docs/en/settings.md

@@ -31,6 +31,8 @@ For a timestamp to be recognised during validation, its provider must be qualifi
 
 The list of EU countries whose trusted lists Autogram uses to validate signatures. By default, Slovakia, Czechia, Austria, Poland, Hungary, Belgium, the Netherlands and Spain are on. If you receive documents signed with a certificate from another country, turn it on. More countries slow down validation.
 
+Autogram also uses these lists to find out whether the certificate you sign with is qualified. If your certificate is from another country, turn that country on too, otherwise Autogram marks the certificate as non-qualified in the [certificate selection](card-and-pin.md#choosing-the-certificate).
+
 ## Security {#security}
 
 ![Settings – Security](/assets/images/screenshots/en/settings-security.png)
@@ -40,6 +42,7 @@ The list of EU countries whose trusted lists Autogram uses to validate signature
 | **Signature validity check** | Before signing, warns about invalid signatures the document already has. See [Warnings before signing](warnings.md#untrusted-signatures). | Yes |
 | **PDF/A compliance check** | Before signing, warns if the PDF is not in PDF/A format. See [Warnings before signing](warnings.md#pdfa). | Yes |
 | **Allow signing with expired certificates** | Expired certificates are also shown in the certificate list. Authorities may not accept a signature made with one. | No |
+| **Allow signing with non-qualified certificates** | A certificate that is not qualified according to the trusted lists can also be chosen in the certificate selection. A signature made with it is not a qualified electronic signature and authorities may not accept it. See [Choosing the certificate](card-and-pin.md#choosing-the-certificate). | No |
 | **Display detailed errors** | If a file cannot be opened, shows a detailed description of the error. | Yes |
 
 ## Other {#other}
@@ -51,7 +54,7 @@ The list of EU countries whose trusted lists Autogram uses to validate signature
 | **Language** | Autogram's language: Slovak, English or the system language. | system language |
 | **Enable Autogram API** | Lets websites and other applications send documents to Autogram for signing. Without it, [signing on websites](websites.md) does not work. The change takes effect after restarting Autogram. | Yes |
 | **PDF preview resolution** | Sharpness of the PDF preview. A higher resolution is sharper, but large documents are displayed more slowly. | 100 dpi |
-| **Show EP certificate of the ID card** | Also offers the second, non-qualified certificate of the Slovak ID card. See [Several certificates on one card](card-and-pin.md#several-certificates-on-one-card). | No |
+| **Show EP certificate of the ID card** | Also offers the second, non-qualified certificate of the Slovak ID card. Signing with it also needs **Allow signing with non-qualified certificates**. See [Several certificates on one card](card-and-pin.md#several-certificates-on-one-card). | No |
 | **Path to custom keystore** | A file with a certificate and key (JKS) for the **From file** option. | empty |
 | **Path to custom driver for PKCS11 token** | The driver of a card Autogram does not know. | empty |
 | **HTTP proxy** | A proxy server in the form `http://host:port` that Autogram uses for all internet communication: downloading trusted lists, checking certificate revocation (CRL, OCSP), timestamps, form resources and update checks. Autogram also trusts certificates trusted by the operating system, so it works with proxies that inspect HTTPS traffic too. Proxy authentication is not supported. The change takes effect after restarting Autogram. | empty (no proxy) |

docs/docs/sk/card-and-pin.md

@@ -41,7 +41,7 @@ Niektoré karty majú certifikáty uložené vo viacerých častiach, ktoré sa
 
 Na karte Gemalto IDPrime 940 býva kvalifikovaný certifikát v inom slote ako ostatné certifikáty. Ak po výbere slotu neuvidíte svoj kvalifikovaný certifikát alebo podpis zlyhá, kliknite na **Podpísať iným certifikátom** a vyberte druhý slot.
 
-Občiansky preukaz má okrem kvalifikovaného certifikátu aj druhý, ktorý sa na kvalifikované podpisovanie nepoužíva. Autogram ho predvolene neponúka. Ak v [Nastaveniach](settings.md#ine) zapnete **Zobraziť EP certifikát občianskeho preukazu**, preukaz bude v zozname dvakrát. Na bežné podpisovanie vyberte **kvalifikovaný**.
+Občiansky preukaz má okrem kvalifikovaného certifikátu aj druhý, ktorý sa na kvalifikované podpisovanie nepoužíva. Autogram ho predvolene neponúka. Ak v [Nastaveniach](settings.md#ine) zapnete **Zobraziť EP certifikát občianskeho preukazu**, preukaz bude v zozname dvakrát. Na bežné podpisovanie vyberte **kvalifikovaný**. Druhý certifikát je nekvalifikovaný, takže na podpis ním treba zapnúť aj **Povoliť podpisovanie nekvalifikovanými certifikátmi**.
 
 ![Občiansky preukaz s kvalifikovaným a nekvalifikovaným certifikátom](/assets/images/screenshots/sk/token-picker-eid.png)
 
@@ -74,6 +74,31 @@ Autogram zobrazí certifikáty z vybranej karty. Vyberte ten, ktorým chcete pod
 
 ![Výber certifikátu](/assets/images/screenshots/sk/certificate-picker.png)
 
+Kým Autogram overuje certifikáty, tlačidlo **Podpísať** je neaktívne a píše **Overuje sa platnosť certifikátov…**.
+
+![Overovanie certifikátov](/assets/images/screenshots/sk/certificate-picker-checking.png)
+
+Autogram zisťuje:
+
+- **či certifikát nebol zrušený**, napríklad po strate karty. Pýta sa na to certifikačnej autority, ktorá ho vydala, preto potrebuje pripojenie na internet.
+- **či je certifikát kvalifikovaný** podľa dôveryhodných zoznamov krajín zapnutých v [Nastaveniach](settings.md#overovanie-podpisov). Kvalifikovaný elektronický podpis vytvoríte iba kvalifikovaným certifikátom.
+
+Overovanie zvyčajne trvá zlomok sekundy. Krátko po spustení Autogramu ešte počká, kým sa načítajú dôveryhodné zoznamy, a tlačidlo vtedy píše **Načítavajú sa dôveryhodné zoznamy…**. Pri platnom kvalifikovanom certifikáte sa nič nezobrazí. Inak je pri certifikáte štítok:
+
+![Certifikáty so štítkami po overení](/assets/images/screenshots/sk/certificate-picker-checks.png)
+
+| Štítok | Čo znamená | Dá sa ním podpísať? |
+| --- | --- | --- |
+| **Zrušený certifikát** | Certifikačná autorita certifikát zrušila. | Nie |
+| **Nekvalifikovaný certifikát** | Certifikát nie je kvalifikovaný podľa dôveryhodných zoznamov. | Iba ak je v [Nastaveniach](settings.md#bezpecnost) zapnuté **Povoliť podpisovanie nekvalifikovanými certifikátmi** |
+| **Platnosť sa nepodarilo overiť** | Autogram nezistil, či certifikát nebol zrušený, napríklad bez pripojenia na internet. | Áno |
+| **Kvalifikáciu sa nepodarilo overiť** | Dôveryhodné zoznamy sa nepodarilo načítať, napríklad pri prvom spustení Autogramu bez pripojenia na internet. | Áno |
+| **Exspirovaný certifikát** | Platnosť certifikátu uplynula. Takéto certifikáty sa zobrazia, iba ak je v Nastaveniach zapnuté **Povoliť podpisovanie exspirovanými certifikátmi**. | Áno |
+
+Ak nie je kvalifikovaný žiadny certifikát, Autogram pod nimi zobrazí radu s odkazom **Otvoriť nastavenia**. Najčastejšie je príčinou to, že certifikát vydala certifikačná autorita z krajiny, ktorej dôveryhodný zoznam nemáte zapnutý. Autogram vtedy túto krajinu v rade uvedie. Keď nastavenia zatvoríte, výber certifikátu sa zobrazí znova.
+
+![Rada, keď nie je kvalifikovaný žiadny certifikát](/assets/images/screenshots/sk/certificate-picker-hint.png)
+
 ## Podpisový PIN {#podpisovy-pin}
 
 Nakoniec zadáte podpisový PIN, pri niektorých kartách sa volá QPIN. Pri všetkých kartách okrem občianskeho preukazu ho zadávate v okne Autogramu.

docs/docs/sk/settings.md

@@ -31,6 +31,8 @@ Aby bola časová pečiatka pri overovaní uznaná, jej poskytovateľ musí byť
 
 Zoznam krajín EÚ, podľa ktorých dôveryhodných zoznamov Autogram overuje podpisy. Predvolene sú zapnuté Slovensko, Česko, Rakúsko, Poľsko, Maďarsko, Belgicko, Holandsko a Španielsko. Ak dostávate dokumenty podpísané certifikátom z inej krajiny, zapnite ju. Viac krajín overovanie spomalí.
 
+Podľa týchto zoznamov Autogram zisťuje aj to, či je kvalifikovaný certifikát, ktorým podpisujete. Ak máte certifikát z inej krajiny, zapnite aj ju, inak ho Autogram vo [výbere certifikátu](card-and-pin.md#vyber-certifikatu) označí ako nekvalifikovaný.
+
 ## Bezpečnosť {#bezpecnost}
 
 ![Nastavenia – Bezpečnosť](/assets/images/screenshots/sk/settings-security.png)
@@ -40,6 +42,7 @@ Zoznam krajín EÚ, podľa ktorých dôveryhodných zoznamov Autogram overuje po
 | **Kontrola platnosti podpisov** | Pred podpisom upozorní na neplatné podpisy, ktoré už dokument obsahuje. Pozrite si [Upozornenia pred podpisom](warnings.md#nedoveryhodne-podpisy). | Áno |
 | **Kontrola súladu s PDF/A formátom** | Pred podpisom upozorní, ak PDF nie je vo formáte PDF/A. Pozrite si [Upozornenia pred podpisom](warnings.md#pdfa). | Áno |
 | **Povoliť podpisovanie exspirovanými certifikátmi** | Vo výbere certifikátu sa zobrazia aj certifikáty s uplynutou platnosťou. Podpis takým certifikátom úrady nemusia prijať. | Nie |
+| **Povoliť podpisovanie nekvalifikovanými certifikátmi** | Vo výbere certifikátu sa dá vybrať aj certifikát, ktorý podľa dôveryhodných zoznamov nie je kvalifikovaný. Podpis takým certifikátom nie je kvalifikovaný elektronický podpis a úrady ho nemusia prijať. Pozrite si [Výber certifikátu](card-and-pin.md#vyber-certifikatu). | Nie |
 | **Zobrazovať detailné chyby** | Ak sa súbor nepodarí otvoriť, zobrazí sa podrobný popis chyby. | Áno |
 
 ## Iné {#ine}
@@ -51,7 +54,7 @@ Zoznam krajín EÚ, podľa ktorých dôveryhodných zoznamov Autogram overuje po
 | **Jazyk** | Jazyk Autogramu: slovenčina, angličtina alebo jazyk systému. | jazyk systému |
 | **Zapnúť Autogram API** | Umožní webovým stránkam a iným aplikáciám posielať Autogramu dokumenty na podpis. Bez neho [podpisovanie na webových stránkach](websites.md) nefunguje. Zmena sa prejaví po reštarte Autogramu. | Áno |
 | **Rozlíšenie náhľadu PDF** | Ostrosť náhľadu PDF. Vyššie rozlíšenie je ostrejšie, no veľké dokumenty sa zobrazujú pomalšie. | 100 dpi |
-| **Zobraziť EP certifikát občianskeho preukazu** | Vo výbere karty ponúkne aj druhý, nekvalifikovaný certifikát občianskeho preukazu. Pozrite si [Viac certifikátov na jednej karte](card-and-pin.md#viac-certifikatov-na-jednej-karte). | Nie |
+| **Zobraziť EP certifikát občianskeho preukazu** | Vo výbere karty ponúkne aj druhý, nekvalifikovaný certifikát občianskeho preukazu. Na podpis ním treba zapnúť aj **Povoliť podpisovanie nekvalifikovanými certifikátmi**. Pozrite si [Viac certifikátov na jednej karte](card-and-pin.md#viac-certifikatov-na-jednej-karte). | Nie |
 | **Cesta k vlastnému úložisku kľúčov** | Súbor s certifikátom a kľúčom (JKS) pre voľbu **Zo súboru**. | prázdne |
 | **Cesta k vlastnému ovládaču pre PKCS11 token** | Ovládač karty, ktorú Autogram nepozná. | prázdne |
 | **HTTP proxy** | Proxy server vo formáte `http://host:port`, cez ktorý Autogram posiela všetku komunikáciu do internetu: sťahovanie dôveryhodných zoznamov, overovanie platnosti certifikátov (CRL, OCSP), časové pečiatky, formuláre a kontrolu aktualizácií. Autogram dôveruje aj certifikátom, ktorým dôveruje operačný systém, takže funguje aj s proxy, ktorá kontroluje HTTPS komunikáciu. Prihlasovanie do proxy nie je podporované. Zmena sa prejaví po reštarte Autogramu. | prázdne (bez proxy) |

src/main/java/digital/slovensko/autogram/core/Autogram.java

@@ -788,6 +788,7 @@ public void initializeSignatureValidator(ScheduledExecutorService scheduledExecu
     }
 
     public void updateSignatureValidatorLotl(List<String> tlCountries) {
+        SignatureValidator.getInstance().reloadStarting();
         ui.onWorkThreadDo(() -> SignatureValidator.getInstance().updateLotl(tlCountries));
     }