Como verificar a assinatura eletrônica e a autenticidade de um documento assinado

Para verificar uma assinatura eletrônica, use o código de verificação ou o QR Code que vem no documento e confira os dados na página oficial da plataforma que coletou as assinaturas. Se o PDF foi assinado com certificado digital ICP-Brasil, o caminho é o Verificador de Conformidade do ITI, em validar.iti.gov.br. Nos dois casos, compare nomes, CPFs e datas com a versão que você tem em mãos.

Por que conferir antes de confiar no documento

Um PDF com um rabisco na última página não prova nada sozinho. Qualquer pessoa cola a imagem de uma assinatura num arquivo, e um editor de PDF troca o valor de uma parcela em segundos. Se você vai tomar uma decisão com base num contrato ou numa procuração, precisa saber se aquele arquivo é o mesmo que as partes assinaram.

Isso acontece o tempo todo. O financeiro recebe um aditivo e precisa liberar um pagamento. O jurídico vai juntar um contrato num processo. Alguém compra um carro usado e recebe a procuração do vendedor pelo WhatsApp. Cinco minutos de conferência custam pouco perto de um prejuízo que leva meses para ser resolvido.

O que conferir em um documento assinado eletronicamente

Documentos assinados em plataformas confiáveis trazem várias evidências. Olhe uma por uma antes de dar o documento como bom.

Código de verificação e QR Code

Costumam ficar na última página ou no rodapé. Ao ler o QR Code ou digitar o código, você deve cair no site oficial da plataforma. Olhe o endereço no navegador antes de acreditar no que aparece. Parece paranoia, mas um QR Code pode apontar para qualquer site, inclusive uma cópia falsa com o mesmo visual.

Dados dos signatários

A página de verificação mostra quem assinou. Compare nome e CPF com as pessoas que deveriam ter assinado. Se o contrato é entre a sua empresa e o João, e o registro mostra outro nome ou um CPF que não bate, pare por aí.

Datas, horários e quantidade de assinaturas

As datas precisam fazer sentido com a negociação. Um contrato assinado antes de a proposta sair pede explicação. Confira também se o número de signatários na página de verificação é o mesmo do PDF. Uma assinatura a menos pode indicar que alguém ainda não assinou e o documento circulou como se estivesse completo.

Trilha de auditoria

É o histórico do documento: quando foi criado, enviado, visualizado e assinado, com IP, geolocalização, data e hora e os métodos de verificação usados, como token por e-mail ou selfie com documento. Quanto mais completa a trilha, mais difícil fica alguém negar a assinatura depois.

Hash e integridade do arquivo

O hash é uma impressão digital do arquivo, calculada por um algoritmo como o SHA-256. Se um único caractere do PDF mudar, o hash muda por completo. Quando a plataforma informa o hash, dá para calcular o do arquivo que você recebeu e comparar. No Windows, use o comando "certutil -hashfile contrato.pdf SHA256". No macOS e no Linux, "shasum -a 256 contrato.pdf". A comparação só funciona se o arquivo for exatamente aquele a que o hash se refere.

Como verificar um documento assinado na SignSimples

Todo documento finalizado na SignSimples tem QR Code e um código de verificação único. A conferência leva menos de um minuto:

1. 1Abra o PDF assinado e procure o código de verificação e o QR Code na página de registro das assinaturas.
2. 2Aponte a câmera do celular para o QR Code ou acesse signsimples.com.br/verificar e digite o código.
3. 3Veja na tela quem assinou, quando e onde cada assinatura foi registrada.
4. 4Compare esses dados com o PDF que você recebeu, principalmente nomes e quantidade de signatários.
5. 5Se algo não bater, peça o documento direto a quem enviou para assinatura, por um canal que você já conhecia.

A trilha de auditoria que acompanha o PDF registra, para cada signatário, IP, geolocalização, data e hora, as verificações usadas e o hash SHA-256 do documento. As verificações podem ser token por e-mail ou WhatsApp e selfie com RG ou CNH validada por inteligência artificial. Quem verifica não precisa ter conta na SignSimples. Para entender por que essas evidências seguram o documento, leia a assinatura eletrônica tem validade jurídica?

Como validar um PDF assinado com certificado ICP-Brasil

Assinaturas qualificadas, feitas com certificado digital ICP-Brasil (e-CPF ou e-CNPJ), ficam embutidas no próprio arquivo. Para elas, o Instituto Nacional de Tecnologia da Informação (ITI) mantém um validador oficial e gratuito, o Verificador de Conformidade:

1. 1Acesse validar.iti.gov.br pelo navegador.
2. 2Envie o arquivo assinado que você quer conferir.
3. 3Leia o relatório. Ele indica se as assinaturas encontradas seguem o padrão ICP-Brasil e traz os dados do certificado de cada signatário.
4. 4Compare os nomes do relatório com as pessoas que deveriam ter assinado.

Aqui muita gente se confunde. O validador do ITI não reconhece documentos assinados em plataformas de assinatura eletrônica sem certificado ICP-Brasil, e isso não quer dizer que eles sejam falsos. A validade dessas assinaturas vem da MP 2.200-2/2001 (art. 10, § 2º) e da Lei 14.063/2020, e você confere na página de verificação da própria plataforma. O artigo sobre assinatura eletrônica x assinatura digital explica a diferença com calma.

Sinais de alerta de documento adulterado ou falso

• O documento não tem código de verificação nem QR Code, só a imagem de uma assinatura colada.
• O QR Code leva a um site com endereço parecido com o da plataforma, mas diferente.
• Os dados da página de verificação não batem com o PDF. Aparece outro nome, falta um signatário ou a data é outra.
• Quem mandou o documento não participou da negociação e está com muita pressa para você pagar.
• Chegou uma versão "corrigida" com uma mudança pequena, como a conta bancária para depósito.
• A página de registro das assinaturas sumiu ou tem fonte e formatação diferentes do resto do arquivo.
• O próprio signatário diz que não reconhece a assinatura. Aí a trilha com IP, geolocalização e selfie ajuda a esclarecer o que houve.

Viu algum desses sinais? Não pague e não libere nada antes de confirmar com a outra parte por um canal independente, como um telefone que você já tinha antes de receber o documento.

Se é você quem envia documentos para assinatura

Facilitar a conferência também protege quem envia. O cliente tira a dúvida sozinho e não precisa abrir chamado perguntando se o contrato é legítimo.

• Cadastre e-mail, CPF e WhatsApp corretos de cada signatário. Nunca use o seu e-mail no lugar do e-mail do cliente.
• Escolha a verificação conforme o risco. Token resolve um termo simples; um contrato de R$ 50 mil merece selfie com documento.
• Mande ao cliente o PDF final, com a página de registro das assinaturas, e não uma versão intermediária.

Empresas que mandam muitos contratos por mês, como imobiliárias e provedores de internet, recebem menos contestação quando o cliente sabe onde conferir. Se você ainda está conhecendo o assunto, veja como a assinatura eletrônica funciona do envio ao PDF final.

Uma dica que resolve boa parte das dúvidas: no e-mail ou na mensagem em que você manda o PDF assinado, inclua uma linha com o endereço signsimples.com.br/verificar e o código do documento. Quem recebe confere na hora.