eIDAS-handtekening in Odoo met e-Signature.eu: itsme, Evrotrust en betalen per handtekening

e-Signature.eu is een Europees platform voor eIDAS-handtekeningen: het verkoopt geen jaarlijkse abonnementen maar tegoed, en elke handtekening verbruikt dat. De connector die het aan Odoo koppelt, bouwen en onderhouden wij zelf, met een versie voor elke reeks (17, 18 en 19) (modulepagina). Dit artikel gaat over wat bijna niemand je vóór de aankoop vertelt: welk niveau je echt nodig hebt, wat de andere partij moet doen om te ondertekenen en hoe de rekensom verandert als je per handtekening betaalt in plaats van per jaar.

De drie eIDAS-niveaus, uitgelegd aan de hand van wat ze in je proces veranderen

Verordening (EU) nr. 910/2014 definieert drie niveaus en het juridische verschil staat in de tekst zelf (artikelen 3, 25 en 26). Wat niet in de verordening staat, is het operationele verschil: elk niveau vraagt iets anders van de ondertekenaar, en hoe meer je vraagt, hoe meer mensen onderweg afhaken.

Die vier methoden vormen de volledige catalogus van de connector, en die is niet aanpasbaar: niemand kan een handtekening als "gekwalificeerd" bestempelen als hij dat niet is.

Wanneer heb je echt QES nodig?

De meeste bedrijven die naar een gekwalificeerde handtekening vragen, willen die voor documenten die haar niet nodig hebben. Het bruikbare criterium is niet "hoeveel is het contract waard", maar "gaat iemand het schriftelijk van me eisen":

• Procedures bij een overheidsinstantie die het eist. In Frankrijk documenteert e-Signature.eu dat het INPI sinds januari 2023 een gekwalificeerde handtekening eist voor de formaliteiten rond wijziging en stopzetting van een onderneming via het Guichet unique. Daar valt niets te bespreken: of het is QES, of het dossier wordt niet aanvaard.
• Wederpartijen die het in hun inkoopbeleid opnemen. Grote klanten, verzekeraars en sommige banken vragen er standaard om.
• Documenten waarvan je verwacht dat iemand ze zal betwisten. Als een geschil een realistisch scenario is, legt QES de bewijslast in jouw voordeel.

Al het andere (bevestigingen, ontvangstbewijzen, interne bijlagen) werkt met SES; standaard B2B-contracten met AES. En een eerlijke kanttekening: QES vervangt niet de akten die de wet bij een notaris laat verlijden. De duurste fout is niet te laag mikken: het is QES als standaard instellen en je dan afvragen waarom mensen vier dagen nodig hebben om een afleverbon te ondertekenen.

itsme, Evrotrust, Veriff en OTP: wat elk van hen van de ondertekenaar vraagt

itsme® is de Belgische digitale identiteit. In België vraagt de klassieke registratie de eID met kaartlezer of de kaart van een Belgische bank; buiten België volstaat volgens e-Signature.eu een paspoort, identiteitskaart of verblijfsvergunning, maar de dekking hangt af van de landenlijst van itsme®: controleer die voordat je iemand een QES belooft. Evrotrust is een Bulgaarse gekwalificeerde verlener van vertrouwensdiensten (QTSP) die op de EU-vertrouwenslijst staat; het is ook een mobiele app, de dekking is breder en het is de methode die het Franse INPI volgens e-Signature.eu sinds 2026 aanvaardt.

Veriff is geen QTSP: het is identiteitsverificatie, document plus selfie, en daaruit komt een AES. OTP is een code per e-mail of sms, en daaruit komt een SES. Hier zit een detail dat ons een volledige reviewronde met e-Signature.eu kostte: het platform negeert stilzwijgend elk telefoonnummer dat niet "+" gevolgd door kale cijfers is. Een mens typt "+32 483 22 90 07", het platform slaat het leeg op en de OTP via sms valt zonder melding terug op e-mail. De connector normaliseert het nummer vóór het verzenden; het kwam aan het licht in de zevende reviewronde, op 14 juli 2026.

Wat er in de Odoo-flow verandert naargelang het niveau

De connector voegt een knop Send for Signature toe aan offertes, facturen, inkooporders, arbeidscontracten (hr.version in Odoo 19, hr.contract in 18 en 17), kandidaturen, contacten en elke bijgevoegde pdf. Hij hangt niet af van de app Sign, die niet eens in het manifest staat, en dat is belangrijk, want de documentatie van Odoo zelf zegt dat Sign eenvoudige elektronische handtekeningen genereert, het eerste van de drie niveaus: voor AES of QES moet je naar een externe verlener.

De wizard laat je het minimale juridische niveau en de methoden apart kiezen en laat niet toe dat je ze verkeerd combineert: met het minimum op "Gekwalificeerd" wordt een verzending met OTP of Veriff geweigerd, en dezelfde controle geldt voor de standaardmethoden van het account. Het lijkt triviaal en het voorkomt de meest voorkomende fout: een proces dat als QES is gelabeld maar met een sms-code wordt bediend.

Bij SES gaat de verzending meteen weg: de ondertekenaar tikt de code in en de ondertekende pdf komt vanzelf terug. Bij QES is er een identificatiestap die je zelf moet ontwerpen: de ondertekenaar heeft de app geïnstalleerd en de identiteit al geverifieerd nodig, en als het de eerste keer is, kan die registratie langer duren dan het contract. Het praktische gevolg is saai en het werkt: verwittig de wederpartij vóór je verstuurt.

Er zijn twee modi: in e-mailmodus verstuurt e-Signature.eu de uitnodiging; in Odoo-workflowmodus gaat de offerte via het standaardcircuit uit en ondertekent de klant vanuit zijn portaal, waar "Ondertekenen" de plaats inneemt van "Accepteren en betalen". De tweede verborg een fout die we hebben verholpen: de sessie bij e-Signature.eu mag pas worden aangemaakt wanneer de e-mail echt verzonden is; voorheen liet het weggooien van het concept de aanvraag als verzonden staan.

Abonnement versus betalen per handtekening: de rekensom op een bierviltje

Een abonnement betaal je of je nu tekent of niet, en het bevat bijna altijd een quotum aan enveloppen. Het model van e-Signature.eu is het omgekeerde: je koopt tegoedpakketten, de prijs per tegoed daalt met het volume en elke handtekening verbruikt tegoed naargelang haar niveau. In hun catalogus (dezelfde die de connector weerspiegelt) verbruikt een QES met itsme® of Evrotrust één tegoed per ondertekenaar, een AES met Veriff 0,7 en een SES via OTP 0,4, of er nu één of vijf documenten in de aanvraag zitten.

De berekening is één regel: deel de jaarlijkse bijdrage door de prijs van een tegoed en je krijgt het aantal handtekeningen vanaf waar het abonnement loont. Doe dat met de bijdrage die je wordt aangeboden en met het tarief dat e-Signature.eu op zijn website publiceert: het resultaat is een getal, geen mening. En er is een tweede-ordeeffect: met een abonnement betaal je evenveel of je nu SES of QES tekent, dus niets prikkelt je om het niveau af te stemmen; met tegoed kost AES in plaats van QES 30 % minder voor die handtekening. Het niveau kiezen wordt van een abstracte juridische discussie een economische beslissing, bij elke verzending.

Het saldo zie je in Odoo, met de datum van de laatste update: de API heeft geen saldo-endpoint (het saldo zit in het antwoord op elke aanvraag), dus de connector haalt het uit de laatste aanvraag en ververst het met een dagelijkse geplande actie, in plaats van een live waarde voor te wenden die niet bestaat.

Wat er wordt bewaard en waar het bewijs zich bevindt

Een handtekening zonder terug te vinden bewijs heeft geen waarde op de dag dat je haar nodig hebt. Wanneer de aanvraag is voltooid, blijven er in Odoo drie dingen over:

• De ondertekende pdf, gekoppeld aan het brondocument en genoemd naar dat document (S00026-signed.pdf), niet naar de interne identificatie van de aanvraag. Dat klinkt cosmetisch tot iemand zijn contract zoekt en het niet vindt.
• Het officiële audit trail van e-Signature.eu, bewaard als <documento>-audit-trail.pdf. Let op: het platform genereert het kort nadat de aanvraag is voltooid, dus het is er misschien nog niet als je het meteen bij het ondertekenen opvraagt; de connector zegt dat in plaats van zonder uitleg te falen.
• Een eigen bewijsrapport van de module, met het werkelijk bereikte eIDAS-niveau, de methoden, het tijdstip van ondertekening, de SHA-256 van het ondertekende document en, per ondertekenaar, de geverifieerde identiteit, de gebruikte methode en het moment van ondertekenen.

En een knop die je bij weinig connectoren ziet: Verify eIDAS signature opent de DSS-validatietool van de Europese Commissie, zodat je de ondertekende pdf kunt valideren tegen iets wat niet wij zijn en ook niet e-Signature.eu. Onderliggend wordt de status gesynchroniseerd met een webhook die met HMAC-SHA256 is ondertekend, een idempotentielog en een uurlijkse herstel-cron; en een afgeronde aanvraag verwijderen wist haar ook uit de historiek van e-Signature.eu.

Tien reviewrondes met e-Signature.eu

Deze connector is niet op basis van de documentatie geschreven en klaar: hij is voor het team van e-Signature.eu gelegd, gebroken en herschreven. In de repository staat per ronde een testbestand, van test_round2.py tot test_round10.py. Twee voorbeelden, naast het telefoonnummer van ronde 7:

• Ronde 9. Een aanvraag die vanuit het dashboard van e-Signature.eu werd geannuleerd, bleef in Odoo voor altijd op "Verzonden" staan. En de voor de hand liggende oplossing (de status opnieuw opvragen) werkte ook niet: annuleren vanuit het dashboard verwijdert de aanvraag bij e-Signature.eu en de opvraging antwoordt met 401.
• Ronde 10. Een half ondertekende aanvraag stoppen liet de ondertekenaar eeuwig in behandeling: het platform weigert de bewerking als nog niemand heeft ondertekend, en de code slikte de fout in en markeerde de aanvraag toch als gestopt.

Er is zelfs een functie die de connector weigert voor te wenden: het handmatig plaatsen van de handtekening staat in de documentatie, maar de validator in productie weigert het (22 varianten getest tegen de echte API op 10 juli 2026, alle geweigerd). Het veld weglaten zou de verzending laten slagen met automatische plaatsing van de handtekening, waarbij je coördinaten stilzwijgend worden genegeerd; wij laten het liever mislukken met een uitleg. Vandaag zijn het 121 groene tests in Odoo 17, 18 en 19 met dezelfde broncode, en de suite is ook uitgevoerd op een echte Odoo.sh-build.

Nuttige links

Veelgestelde vragen