Verificar a assinatura digital de um PDF
Escolha um PDF e veja se ele tem assinatura digital, o nome que consta no certificado de quem assinou e se o arquivo foi alterado depois. O PDF não é enviado para lugar nenhum: a leitura e as contas são feitas no seu navegador, o que permite conferir contratos, laudos e documentos pessoais sem expor o conteúdo.
Importante: isto não é uma validação oficial. A ferramenta confere a integridade do arquivo, mas não verifica se o certificado é confiável (cadeia ICP-Brasil ou gov.br), não consulta revogação e não valida carimbo do tempo nem políticas de assinatura. Um certificado autoassinado, criado por qualquer pessoa com qualquer nome, aparece aqui como “íntegra”. Para saber se a assinatura é reconhecida, use o VALIDAR, do ITI: validar.iti.gov.br.
O que é assinatura digital em PDF
Assinatura digital não é o desenho de uma rubrica. Uma assinatura escaneada, desenhada com o dedo ou colada como imagem é só uma figura na página: qualquer pessoa pode copiá-la, e o arquivo pode ser editado sem deixar rastro.
A assinatura digital é um bloco de dados criptográficos guardado dentro do PDF. Quem assina calcula um resumo (hash) do conteúdo do arquivo e o cifra com a sua chave privada. Junto vai o certificado digital, que traz a chave pública e os dados do titular. Com isso dá para conferir duas coisas:
- Integridade: se um único byte do trecho assinado mudar, o hash deixa de bater.
- Vínculo com o certificado: só a chave privada correspondente ao certificado produz uma assinatura que a chave pública aceita.
No arquivo, a assinatura fica em um dicionário com os campos /ByteRange (os trechos do arquivo cobertos) e /Contents (a assinatura em si, no formato CMS/PKCS#7). É esse o padrão das assinaturas PAdES, usado pelo assinador do gov.br e pelos assinadores de certificados ICP-Brasil.
Como saber se um PDF está assinado digitalmente
- Nesta página: se o arquivo tiver assinatura, ela aparece com o titular do certificado, o emissor e a data informada. Se não tiver, a ferramenta avisa.
- Em leitores de PDF: programas como o Adobe Acrobat Reader mostram um painel de assinaturas quando o arquivo tem uma.
- Atenção às plataformas de assinatura eletrônica: algumas não gravam uma assinatura por pessoa dentro do PDF. Elas guardam o registro (e-mail, IP, horário) nos próprios servidores e colocam um código ou link de conferência no rodapé. Nesses casos, a conferência é feita no site da plataforma.
O que a ferramenta mostra
Para cada assinatura ou carimbo do tempo encontrado, um destes três resultados:
| Resultado | O que significa |
|---|---|
| Íntegra | O conteúdo coberto não foi alterado desde a assinatura e a assinatura confere com o certificado incluído no arquivo |
| Inválida | O conteúdo foi alterado ou a assinatura não confere |
| Não verificada | O algoritmo ou o formato não é suportado, ou a estrutura foge do padrão. Nunca é mostrada como íntegra |
Também aparecem o titular e o emissor do certificado, a validade, o número de série, o uso permitido, o algoritmo e a data informada. Em certificados no leiaute da ICP-Brasil, o CPF do titular (ou o CNPJ, em certificados de empresa) fica gravado no próprio certificado; a página mostra o CPF mascarado, com um botão para revelar.
A ferramenta ainda avisa quando há bytes depois do trecho assinado. Um PDF pode receber acréscimos sem que a parte anterior mude: é assim que uma segunda pessoa assina o mesmo documento, e também é assim que alguém pode acrescentar conteúdo depois. Nesse caso, a assinatura continua íntegra, mas cobre só a versão anterior do documento.
São conferidas assinaturas RSA (PKCS#1 v1.5 e PSS) e ECDSA (curvas P-256, P-384 e P-521) com SHA-256, SHA-384 ou SHA-512. Assinaturas com SHA-1 são conferidas e marcadas como fracas.
O que a ferramenta não garante
Este é o ponto que separa uma conferência técnica de uma validação oficial:
- Cadeia de confiança: não é verificado se o certificado foi emitido por uma autoridade certificadora reconhecida. Quando o certificado “se declara” ICP-Brasil, isso é só o que está escrito nele.
- Revogação: um certificado roubado ou cancelado continua produzindo assinaturas matematicamente corretas. Só a consulta à lista de revogação (LCR) ou ao OCSP revela isso.
- Data: a data mostrada vem do relógio de quem assinou. O carimbo do tempo, quando existe, é exibido mas não validado.
- Políticas de assinatura e conformidade com o padrão brasileiro de assinatura digital.
- Identidade: o resultado “íntegra” não confirma quem assinou. Ele diz apenas que o arquivo combina com o certificado que veio dentro dele.
Onde validar oficialmente
O serviço oficial é o VALIDAR, gratuito, mantido pelo Instituto Nacional de Tecnologia da Informação (ITI), em validar.iti.gov.br. Ele verifica a cadeia de confiança e emite um relatório de conformidade para assinaturas feitas com certificado ICP-Brasil e para as feitas pelo portal gov.br. Lá o arquivo é enviado ao serviço do governo.
Assinatura gov.br e ICP-Brasil: qual a diferença
A Lei nº 14.063/2020 classifica as assinaturas eletrônicas em três níveis: simples, avançada e qualificada.
- Qualificada: a que usa certificado digital ICP-Brasil (art. 4º, III, que remete à Medida Provisória nº 2.200-2/2001). Segundo a lei, é a de maior nível de confiabilidade.
- Avançada: a que usa certificados não emitidos pela ICP-Brasil ou outro meio de comprovar autoria e integridade, com vínculo unívoco ao signatário e detecção de qualquer modificação posterior. A assinatura feita pelo portal gov.br é classificada como avançada.
Qual nível é exigido depende do ato e de quem vai receber o documento. Na dúvida, pergunte ao órgão ou à outra parte.
Perguntas frequentes
Meu PDF é enviado para algum servidor?
Não. O arquivo é lido pelo navegador e todas as contas usam a Web Crypto API do próprio aparelho. Há um limite de 50 MB por arquivo.
Apareceu “íntegra”. Posso confiar no documento?
Você pode confiar que o trecho assinado não mudou e que a assinatura bate com o certificado embutido. Falta saber se o certificado é confiável, e isso só a validação da cadeia responde. Confira no VALIDAR.
O PDF tem assinatura visível, mas a ferramenta diz que não há assinatura. Por quê?
Porque a assinatura visível é uma imagem ou um texto na página. Sem os dados criptográficos dentro do arquivo, não existe nada a conferir.
Por que aparece “bytes acrescentados depois da assinatura”?
Porque o arquivo cresceu depois de assinado. É o comportamento normal quando há várias assinaturas em sequência. Se não houver outra assinatura depois, vale desconfiar e comparar com a versão original.
Dá para ver o CPF de quem assinou?
Em certificados ICP-Brasil de pessoa física, o CPF faz parte do certificado e fica legível para quem tiver o PDF. A página o mostra mascarado por padrão.
Ferramentas relacionadas
- Gerador de hash: calcule o SHA-256 de um arquivo para saber se duas cópias são idênticas.
- Gerador de chaves RSA: crie um par de chaves para estudar como funciona.
- Validador de CPF e validador de CNPJ: confira os dígitos verificadores.
- Criptografar texto com senha: proteja um texto com AES-256.
- Visualizador de metadados EXIF: outro leitor de arquivos que roda só no navegador.