Podepsaná faktura, podepsaný e-mail, odkaz na HTTPS. Cokoli z toho. Ideálně všechny tři.
Ono by se to podepisování nemělo týkat jen faktur, ale i notifikací o změnách apod. A ty zpravidla neobsahují PDF přílohu, ale jen tělo e-mailu. Ale máte pravdu, že ověřit podpis v PDF je obecně jednodušší, než ověřit jej v e-mailu (zvláště tom webovém).