Primeiro, identifique o tipo de assinatura
- Rodapé com código de verificação, hash e nome de uma plataforma: assinatura eletrônica por plataforma. Procedimentos 1 e 2.
- Painel de assinaturas aparece ao abrir no Acrobat (faixa "assinado"): o arquivo tem assinatura ou selo digital. Procedimentos 3 e 4, além do 2 se também houver rodapé de plataforma.
- Só uma imagem de assinatura colada no PDF, sem rodapé nem painel: não há como verificar pelo arquivo. Peça à outra parte a origem do documento.
O que cada procedimento confirma
| Procedimento | O que permite conferir | O que não confirma |
|---|---|---|
| 1. Consultar o código impresso no rodapé | O registro associado àquele código: situação, datas, quem assinou | Que o arquivo que você está lendo é o registrado: um código legítimo pode ser copiado para um PDF alterado |
| 2. Enviar o arquivo (comparação de hash) | Que aquele arquivo corresponde à versão registrada (final ou original) | O conteúdo do contrato nem os poderes de quem assinou pela empresa |
| 3. Validar a assinatura digital no leitor de PDF | A assinatura ou selo, o certificado e a integridade coberta por ele, conforme o resultado da validação | Como as partes confirmaram a identidade (isso está no Termo) |
| 4. VALIDAR do ITI | Assinaturas ICP-Brasil e gov.br compatíveis, com relatório de conformidade | Assinaturas eletrônicas de plataforma sem certificado |
Procedimento 1 e 2: verificação pública da plataforma
Abra a página de verificação da plataforma digitando o endereço você mesmo, não pelo link de um e-mail suspeito. No WS Sign, ela fica em wssign.com.br/verificar.
- Pelo arquivo: envie o PDF. O hash é calculado no próprio navegador (o arquivo não é enviado ao servidor) e comparado com os registros. Se o arquivo for o documento final, a plataforma reconhece o hash do final; se for o original, antes das assinaturas, reconhece o hash do original. É este o procedimento que confirma a integridade da sua cópia.
- Pelo código: digite o código do rodapé ou leia o QR code. Serve para saber a situação do documento e quem assinou, quando você não tem o arquivo ou quer confirmar que o registro existe.
O que a tela mostra, no WS Sign: documento encontrado e qual registro bateu (final, original ou código), quem enviou (nome da conta), data de envio e de conclusão, os hashes registrados, a quantidade de páginas de cada arquivo e a lista de participantes com nome, ação (assinou, aprovou, assinou como testemunha), data e a empresa representada, quando houver. O que a tela não mostra: o título do documento, os nomes dos arquivos, os CPFs e os e-mails.
Procedimento 3: painel de assinaturas (PAdES)
Abra o PDF no Adobe Acrobat Reader e clique em "Painel de assinaturas". Para cada assinatura ou selo, confira:
- Validade: "a assinatura é válida" significa que o conteúdo coberto pela assinatura não foi alterado desde que ela foi aplicada. "O documento foi modificado" significa que mudou; trate como alterado.
- Titular do certificado: numa plataforma, é a operadora dela (o selo de integridade), não as partes. Se o signatário assinou com e-CPF próprio, aparece o nome dele.
- Cadeia de certificação e data. Se o leitor avisar que a identidade do certificado é desconhecida ou que a cadeia não é confiável, investigue antes de concluir: pode ser a cadeia ICP-Brasil não instalada no computador (o ITI publica a cadeia), pode ser um certificado de teste ou um certificado que não é o que se espera.
Procedimento 4: VALIDAR do ITI
O VALIDAR é o serviço do Instituto Nacional de Tecnologia da Informação para conferir assinaturas digitais ICP-Brasil e assinaturas gov.br compatíveis. Envie o arquivo e leia o relatório: ele diz se cada assinatura está em conformidade, quem é o titular e se o documento foi alterado. Para um PDF com selo de plataforma ICP-Brasil, o VALIDAR mostra o selo; para a assinatura eletrônica das partes, sem certificado, ele não se aplica.
Como calcular o hash você mesmo
Windows (PowerShell): Get-FileHash arquivo.pdf -Algorithm SHA256. macOS e Linux: shasum -a 256 arquivo.pdf. Compare o valor inteiro com o hash registrado: cole os dois num editor e use a busca. Lembre que o hash do original está no rodapé; o hash do final está registrado na plataforma, não no PDF.
Se a verificação falhar
- Confira se está com o arquivo certo: o PDF final completo, não uma versão salva por cima (salvar de novo muda o hash) nem uma impressão digitalizada.
- Peça ao remetente o PDF final que chegou por e-mail na conclusão.
- Se a plataforma disser que o documento não existe, desconfie: um PDF com assinaturas "desenhadas" e sem registro não tem como ser verificado.
- Guarde a tela da verificação com data.
Importante: este conteúdo é informativo e não substitui a orientação de um advogado para o seu caso.