Какие HTTP-заголовки лучше использовать для передачи логина и ЭЦП?
Есть вполне подходящий для этого заголовок Authorization, в котором можно передавать все необходимые параметры. 
Например
Authorization: MyAuthType username="test", signature="W7bdMZbv9UWOTadASIQHagZyirA="
Подобный способ передачи данных аутентификации используется в MAC Access Authentication для OAuth v2
лучше используйте X-

This set of top-level media types is intended to be substantially
 complete. It is expected that additions to the larger set of
 supported types can generally be accomplished by the creation of new
 subtypes of these initial types. In the future, more top-level types
 may be defined only by a standards-track extension to this standard.
 If another top-level type is to be used for any reason, it must be
 given a name starting with «X-» to indicate its non-standard status
 and to avoid a potential conflict with a future official name.