Como verificar assinatura digital ICP Brasil em PDF

Comece pelo arquivo que saiu do assinador

Você recebeu um contrato de prestação de serviço com um selo na última página. Antes de pagar, quer saber se foi realmente assinado. O selo pode ajudar a localizar a assinatura, mas a prova está nos dados do PDF. Uma foto do contrato, uma captura de tela ou uma versão impressa e digitalizada não preserva necessariamente esses dados. Peça o arquivo baixado depois da assinatura.

Salve esse original em uma pasta separada. Não passe antes por compressão, junção ou edição. Essas operações produzem outro arquivo e podem retirar a assinatura ou mudar aquilo que ela cobre. Se houver duas versões no e-mail, identifique qual foi enviada por último e peça confirmação ao remetente sobre a versão correta. O nome do arquivo, sozinho, não resolve a dúvida.

Como fazer a conferência no KovaPDF

1. Abra Verificar assinatura de PDF e selecione o documento original.
2. Espere a análise terminar. Se aparecer erro de leitura, não transforme isso em resultado de assinatura inválida: primeiro confirme se o arquivo abre e foi baixado por inteiro.
3. Veja quantas assinaturas foram encontradas e abra o resultado de cada uma. Compare os titulares com as pessoas que deveriam ter assinado.
4. Leia a integridade e os avisos de alterações depois da assinatura. Se houver uma versão assinada disponível para baixar, compare com o documento atual.
5. Examine o certificado, o emissor, as datas e as informações de confiança. Registre qualquer resultado que não tenha sido possível concluir.
6. Baixe o relatório quando essa opção estiver disponível e guarde junto com o PDF conferido, sem substituir o original pelo relatório.

A análise envia o PDF para processamento. Por isso, avalie se você pode enviar aquele documento antes de selecioná-lo, principalmente se tiver dados de clientes ou informação protegida por contrato. Não inclua chave privada, senha de certificado nem arquivo de certificado pessoal para uma simples consulta de assinatura. A verificação do documento não precisa da sua chave de assinatura.

O que a integridade realmente responde

Integridade indica se os dados protegidos pela assinatura correspondem aos que foram assinados. É uma pergunta sobre o arquivo. Não significa que todas as afirmações do contrato sejam verdadeiras, que o signatário tenha poderes para representar uma empresa ou que o destinatário aceite aquele tipo de assinatura. Esses pontos precisam de conferência própria.

Imagine um orçamento aprovado por duas pessoas. A segunda assinatura pode ter sido acrescentada depois da primeira por uma atualização do PDF. A primeira assinatura pode continuar íntegra na versão que protege, enquanto existem dados posteriores. Por isso, não conclua que toda alteração é fraude nem que toda assinatura íntegra aprova a versão atual. Leia o tipo de mudança e compare a versão efetivamente assinada.

Se a ferramenta indicar troca de conteúdo, páginas incluídas ou texto sobreposto depois da assinatura, pare a aprovação. Confira valores, dados bancários, objeto do contrato e identificação das partes. Peça ao remetente um esclarecimento pelo canal que você já conhece. Não use apenas o telefone novo que apareceu no próprio documento questionado.

Certificado desconhecido não é o mesmo que conteúdo adulterado

O certificado associa dados de identificação a uma chave pública. A confiança depende também de conseguir construir e reconhecer a cadeia de certificação. Se uma cadeia não for reconhecida na análise, o resultado pode ficar indeterminado mesmo quando a parte matemática da assinatura está íntegra. Esse aviso não autoriza chamar a assinatura de falsa.

Também não autoriza aceitá-la automaticamente como ICP Brasil. Leia o emissor e os detalhes disponíveis, confirme a origem do documento e siga a validação exigida por quem vai recebê-lo. Adicionar um certificado como confiável só muda a referência de confiança daquele teste. Não transforma um certificado em credenciado nem demonstra que o titular tinha autorização para assinar seu contrato.

Para entender a diferença de enquadramento entre assinatura avançada e qualificada, veja a explicação sobre validade da assinatura gov.br. Aqui a tarefa é outra: descobrir o que o arquivo recebido consegue demonstrar. Não é necessário assinar novamente para verificar uma assinatura existente.

Como interpretar validade e horário

Um certificado pode estar vencido hoje e ter sido utilizado quando ainda era válido. Para avaliar esse cenário, importa a evidência de quando a assinatura já existia. Uma data informada pelo computador do signatário não tem o mesmo peso técnico de um carimbo de tempo verificável. Leia o resultado sobre tempo e não apenas a data impressa perto do nome.

Se a consulta de revogação ou a cadeia não puder ser concluída, preserve essa limitação no seu registro. Não converta uma resposta desconhecida em aprovado. Em documentos importantes, peça uma nova análise pelo procedimento aceito pelo destinatário. Uma renovação de certificado também não atualiza automaticamente as assinaturas antigas: o arquivo continua vinculado ao certificado utilizado naquela operação.

E quando não aparece nenhuma assinatura?

Uma rubrica bonita na página pode ser apenas uma imagem. Se a análise não encontrar assinatura digital, confira se você recebeu uma cópia convertida, uma impressão salva como PDF ou um arquivo que perdeu os dados durante outra operação. Peça o original ao remetente antes de decidir que ele nunca assinou.

Há ainda assinaturas destacadas, em que a prova fica em outro arquivo, e documentos que não são PDF. Não basta trocar a extensão para fazer a ferramenta entender esses formatos. Este procedimento serve para assinaturas incorporadas ao PDF. Se recebeu um pacote com arquivos separados, siga as instruções de verificação correspondentes ao pacote e não descarte nenhum componente.

O que guardar para uma conferência posterior

Guarde o PDF original, o relatório obtido e uma anotação da data da análise. Registre qual assinatura foi examinada, se houve aviso de alteração e quais verificações ficaram sem conclusão. Se o relatório mostrar dados pessoais, trate esse relatório com o mesmo cuidado que o contrato. Uma captura só do selo verde perde o contexto dos avisos.

Se o órgão ou a empresa exigir validação por um procedimento próprio, faça essa etapa também. O KovaPDF ajuda a ler evidências técnicas do PDF; a aceitação para um ato específico pertence ao destinatário e às regras aplicáveis. Para uma assinatura apenas desenhada em um formulário comum, entenda como colocar assinatura em PDF e confirme antes qual modalidade foi pedida.