Validatie

In het kort

NextPDF Enterprise voert in-process en alleen-lezen structurele controles uit voor specifieke beleidsregels: PDF/A-4, PAdES baseline, Long-Term Validation (LTV)-gezondheid, ZUGFeRD, de Amerikaanse Food and Drug Administration (FDA) 21 CFR Part 11 en de Amerikaanse Securities and Exchange Commission (SEC) 17a-4. De module retourneert een gestructureerd technisch rapport. Het rapport is geen juridisch advies, geen bevestiging van compliance en geen certificering.

Installatie

composer require nextpdf/enterprise:^3

Conceptueel overzicht

Compliance is het beginpunt. Roep Compliance::assess($pdfBytes, $policy) aan (of injecteer een instantie en roep run() aan) om één CompliancePolicy toe te passen op de PDF-bytes en een ComplianceReport te ontvangen. Het beleid bepaalt wat er wordt gecontroleerd; het rapport geeft het gestructureerde resultaat.

Policies biedt kant-en-klare beleidsfabrieken: pdfA4(), pdfA4e(), pdfA4f(), padesBaseline(), eidasQualified(), ltvHealth(), zugferd($profile), fdaPart11() en de SEC 17a-4-familie (sec17a4(), sec17a4Compatible(), sec17a4Structural(), sec17a4PreSign()). Elke fabriek retourneert een CompliancePolicy waarvan de methode validate() puur is: PDF-bytes erin, bevindingen eruit. De architectuur dwingt een strikte alleen-lezen grens af: een beleid wijzigt nooit PDF-bytes, zodat validatie gescheiden blijft van elk automatisch herstelgedrag.

ComplianceReport groepeert bevindingen op Severity (Error, Warning, Info). passes() retourneert true wanneer er geen fouten zijn; waarschuwingen zorgen er niet voor dat een rapport faalt. Het rapport bevat een ingebouwde juridische disclaimer (getDisclaimer()) die aangeeft dat het resultaat een technische structuurcontrole is, uitsluitend ter referentie, en dat gekwalificeerde juridische of compliance-professionals de uiteindelijke beoordeling maken. U moet die disclaimer tonen in de uitvoer die de gebruiker te zien krijgt.

Een tweede grens is van belang voor handtekeningen. LtvHealthCheck controleert de structurele aanwezigheid van de Document Security Store (DSS) volgens ISO 32000-2:2020 §12.8.4.3; het voert geen cryptografische verificatie uit van de ingebedde Online Certificate Status Protocol (OCSP)- of certificate revocation list (CRL)-gegevens. eidasQualified() valideert de PAdES-structuur uitsluitend op PDF-niveau; de werkelijke eIDAS-kwalificatie is afhankelijk van de trust service provider (TSP) en het gekwalificeerde certificaat, die buiten deze module vallen.

Wat “validatie” hier betekent

Deze module controleert structurele attributen en rapporteert bevindingen. De module certificeert geen document en garandeert niet dat het document aan regelgeving voldoet.

Conformiteit is een eigenschap van het uiteindelijke bestand plus een validator, niet van deze bibliotheek. ISO 19005-4:2020 §5.2 stelt conformiteit vast ten opzichte van de normatieve vereisten van de standaard via een controletool, niet via de producerende software.
Een geslaagd rapport is een gecontroleerd resultaat ten opzichte van de regels die elk beleid implementeert. Het is geen certificaat.
De beleidsregels voor FDA 21 CFR Part 11 en SEC 17a-4 controleren de structurele attributen die door de regelgeving worden geïmpliceerd (aanwezigheid van handtekening, ondertekeningsintentie, audittrail-markeringen, write once, read many (WORM)-beperkingen). Zij stellen geen juridische naleving van die regelgeving vast. Uw complianceteam bepaalt de juridische toereikendheid.

Ondersteuning van een standaard betekent geen conformiteit ermee, en conformiteit is geen certificering. NextPDF bezit geen certificering en verleent die ook niet.

Tiergrens

NextPDF Core Compliance levert byte-stream-validators en een grammaticakruiscontrole; een resultaat zonder bevindingen is een gecontroleerd resultaat, geen certificaat.
NextPDF Pro Compliance (EInvoiceValidator) valideert EN 16931 / Factur-X / ZUGFeRD in-process op de e-factuurlaag.
NextPDF Enterprise Validation (deze pagina) voegt kant-en-klare beleidsregels toe voor archivering, handtekening, LTV en structurele controles voor gereguleerde sectoren (FDA Part 11, SEC 17a-4) met één rapportformaat. De Enterprise Compliance-module is een afzonderlijk oppervlak dat delegeert naar externe sidecars; deze module draait in-process.

API-oppervlak

Klasse	Verantwoordelijkheid
`Compliance`	Beginpunt: past één beleid toe en retourneert een rapport.
`Policies`	Fabriek voor kant-en-klare `CompliancePolicy`-instanties.
`CompliancePolicy`	Contract: pure `validate()` die bevindingen retourneert.
`ComplianceReport`	Bevindingen gegroepeerd op ernst; draagt de juridische disclaimer.
`ComplianceFinding`	Eén bevinding: regel-id, bericht, standaardreferentie, herstelactie.
`Severity`	Error / Warning / Info.
`PdfAPolicy`	Structureel beleid voor de PDF/A-4-familie.
`PadesValidator`	PAdES baseline / eIDAS structureel beleid.
`LtvHealthCheck`	DSS-controle op structurele aanwezigheid (ISO 32000-2 §12.8.4.3).
`ZugferdValidator`	ZUGFeRD / Factur-X beleid op PDF-niveau.
`FdaPart11Policy`	Beleid voor structurele attributen voor FDA 21 CFR Part 11.
`Sec17a4WormPolicy`	Structureel beleid voor SEC 17a-4 WORM (selecteerbare striktheid).

Codevoorbeeld — Snelstart

use NextPDF\Enterprise\Validation\Compliance;
use NextPDF\Enterprise\Validation\Policies;

$report = Compliance::assess($pdfBytes, Policies::pdfA4());
$ok = $report->passes(); // no errors

Codevoorbeeld — Productie

$report = (new Compliance($clock))->run($pdfBytes, Policies::fdaPart11());

foreach ($report->errors as $finding) {
    $logger->warning('validation.error', [
        'rule'     => $finding->ruleId,
        'standard' => $finding->standardReference,
    ]);
}
$auditLine = $report->getDisclaimer(); // surface this in user-facing output

Randgevallen & valkuilen

Waarschuwingen zorgen er nooit voor dat een rapport faalt; alleen fouten zetten passes() op false. Een schoon rapport betekent nog steeds “gecontroleerd ten opzichte van de geïmplementeerde regels”, niet “conform”.
LtvHealthCheck bevestigt de DSS-structuur, niet de cryptografische geldigheid van intrekkingsgegevens.
eidasQualified() controleert uitsluitend de structuur op PDF-niveau; de kwalificatie is afhankelijk van de TSP en het certificaat.
De SEC 17a-4-familie biedt selecteerbare striktheid (Full / Compatible / Structural / PreSign); kies de variant die past bij uw workflowfase.

Prestaties

Elk beleid draait in-process over de aangeleverde PDF-bytes; de kosten schalen mee met de documentgrootte en het aantal regels. Compliance registreert de uitvoeringsduur in het rapport.

Beveiligingsnotities

Beleidsregels parsen PDF-bytes in-process en doen nooit externe oproepen. Behandel PDF-bytes uit niet-vertrouwde bronnen als vijandig; de pure alleen-lezen architectuur voorkomt dat een beleid de invoer wijzigt.

Datalocatie & PII-mitigaties

Validatie is in-process en lokaal, zonder netwerk-I/O. Ondertekende documenten en audittrail-metadata kunnen persoonsgegevens bevatten; pas uw eigen bewaar- en minimalisatiecontroles toe op rapporten en bevindingen.

Veilige telemetrie & logopschoning

Bevindingen bevatten regel-id’s, standaardreferenties en berichten; sommige berichten herhalen ondertekenaarnamen of redenstrings die uit de PDF zijn gehaald. Schoon die velden op of redigeer ze voordat u logs doorstuurt naar gedeelde bestemmingen.

Conformiteit

Gedrag	Referentie	Status
Conformiteit bepaald ten opzichte van de standaard, niet de producent	ISO 19005-4:2020 §5.2	Weerspiegeld in het ontwerp (alleen-lezen beleidsregels)
Structurele aanwezigheid van DSS voor LTV	ISO 32000-2:2020 §12.8.4.3	Gecontroleerd (alleen structuur)
PAdES baseline-structuur	ETSI EN 319 142-1 §5.4.3	Gecontroleerd (PDF-niveau)
Semantisch model van EN 16931 profiel	Factur-X 1.08 (EN 16931)	Ondersteunende referentie (uitgever blijft verantwoordelijk)
FDA 21 CFR Part 11 / SEC 17a-4	21 CFR Part 11 / 17 CFR 240.17a-4	Structurele attributen gecontroleerd; niet juridisch geverifieerd

Deze tabel legt vast wat elk beleid controleert en welke specificaties achter dat beleid zitten. Het is geen verklaring van certificering of toereikendheid voor regelgeving. De FDA- en SEC-rijen zijn uitsluitend controles op structurele attributen; die bronstandaarden zitten niet in het verificatiecorpus en dragen geen Verified-conformiteitsclaim.

FIPS-modusgedrag

Deze beleidsregels voeren geen cryptografische ondertekening of verificatie uit. De modules Signature en Security verzorgen de cryptografische geldigheid van handtekeningen, sleutelbeheer en het Federal Information Processing Standards (FIPS)-modusgedrag.

Dreigingsmodel

De primaire invoer bestaat uit niet-vertrouwde PDF-bytes. Mitigaties omvatten pure alleen-lezen beleidsregels (geen wijziging, geen automatisch herstel), geen netwerk-I/O en een expliciete juridische disclaimer op elk rapport, zodat een geslaagd resultaat niet wordt aangezien voor certificering.

Commerciële context

NextPDF Enterprise voegt kant-en-klare beleidsregels toe voor archivering, handtekening, LTV en gereguleerde sectoren met één rapportformaat. Vergelijk edities.

Editiepoort

Deze functie is beschikbaar in NextPDF Enterprise. Vraag een licentie aan.

License-feature-flag

De featureflag op enterprise-niveau bewaakt dit oppervlak. Installeer het Enterprise-pakket naast het Core-pakket; de beleidsfabriek en het compliance-beginpunt worden tijdens runtime opgelost via het Core-contract, zodat de aanroepende code niet verandert wanneer u de editie upgradet.

Gedragscontract

De methode validate() van elk beleid is een pure functie: PDF-bytes erin, bevindingen eruit. Het beleid wijzigt de invoer nooit; de architectuur houdt een strikte alleen-lezen grens gescheiden van elk automatisch herstelgedrag.
Het rapport groepeert bevindingen op ernst; passes() retourneert true wanneer er geen fouten zijn, en waarschuwingen zorgen er nooit voor dat een rapport faalt.
Elk rapport bevat een ingebouwde juridische disclaimer die stelt dat het resultaat een technische structuurcontrole is, uitsluitend ter referentie; u moet die disclaimer tonen in de uitvoer die de gebruiker te zien krijgt.
De LTV-gezondheidscontrole bevestigt uitsluitend de structurele aanwezigheid van de DSS; er vindt geen cryptografische verificatie van de ingebedde OCSP/CRL-gegevens plaats.
Het eIDAS-gekwalificeerde beleid valideert de PAdES-structuur uitsluitend op PDF-niveau; de werkelijke kwalificatie is afhankelijk van de trust service provider en het certificaat, buiten deze module.

NDA-scanstatus

Deze openbare pagina beschrijft uitsluitend extern waarneembaar gedrag. Deze bevat geen interne namespace-paden buiten de al genoemde ondersteunde openbare classnamen, geen interne traitnamen, geen runbook-bestandsnamen en geen interne ticketprefixen. De interne details per beleid blijven in de afgeschermde referentie onder de geheimhoudingsovereenkomst (NDA).

Core-terugval

NextPDF Core Compliance levert byte-stream-validators en een grammaticakruiscontrole; een resultaat zonder bevindingen is een gecontroleerd resultaat, geen certificaat. De kant-en-klare beleidsregels voor archivering, handtekening, LTV en gereguleerde sectoren met één rapportformaat hebben geen equivalent op Core-niveau.

Pro-terugval

NextPDF Pro Compliance valideert EN 16931 / Factur-X / ZUGFeRD in-process op de e-factuurlaag. Het biedt niet de kant-en-klare structurele beleidsregels voor PDF/A-4, PAdES, LTV, FDA Part 11 of SEC 17a-4; die zitten uitsluitend in het nextpdf/enterprise-pakket. Het externe-sidecaroppervlak van Enterprise Compliance is een afzonderlijke module.

Opmerking over de Enterprise-grens

Het beginpunt, de beleidsfabriek en het rapport worden op gedragsniveau beschreven. De interne regeldetails per beleid en eventuele interne classificatiedetails vallen buiten de scope van het openbare oppervlak. Cryptografische geldigheid van handtekeningen valt hier bewust buiten de scope; de verify-zijde Handtekeningverificatie en de Security-modules verzorgen dit.

Implementatiegrens

Validatie draait in-process en lokaal, zonder netwerk-I/O; een beleid kan de invoer niet wijzigen. De operator behandelt PDF-bytes uit niet-vertrouwde bronnen als vijandig, toont de rapportdisclaimer in de uitvoer die de gebruiker te zien krijgt en is eigenaar van de bewaar- en minimalisatiecontroles voor rapporten en bevindingen, die persoonsgegevens uit ondertekende documenten en audittrail-metadata kunnen bevatten.

Juridische-compliancegrens

Deze pagina is gemarkeerd als export_control_class: legal-review-required; juridische goedkeuring is vereist voordat de publish-vlag wordt gezet. Ondersteuning van een standaard betekent geen conformiteit ermee, en conformiteit is geen certificering; NextPDF bezit geen certificering en verleent die ook niet. De beleidsregels voor FDA 21 CFR Part 11 en SEC 17a-4 controleren uitsluitend structurele attributen en stellen geen juridische naleving vast. Deze documentatie is geen juridisch advies; raadpleeg uw complianceteam voor de juridische toereikendheid.

Zie ook

Compliance — externe validator-sidecars (afzonderlijk oppervlak).
Evidence — verzegelde, van een tijdstempel voorziene rapportpakketten.
Core Compliance — in-process byte-stream-validators.
Handtekeningverificatie — cryptografische CMS / tijdstempel / archiefketen verify-zijde (onderscheiden van dit structurele oppervlak).
Specificaties: PDF/A-4 — verwezen standaard.
Validation — Deep Reference (afgeschermd).