Pavluha,

всё зависит от того, какие подписи вам нужны.

если важно иметь подпись клиента, то подписывать должен сам клиент, разумеется. если требуется удостоверение подписи, то необходимо либо организовать подпись усиленной (улучшенной) электронной подписью со штампом времени, выданным сервером штампов времени, либо отправлять подписанный пакет на сервер, чтобы он прикрепил удостоверяющую подпись.

если у клиентов нет своих личных сертификатов, то подписывать надо явно на сервере.