| O MAIS IMPORTANTE EM RESUMO Não são só imagens: a imagem visual de uma assinatura num PDF não tem qualquer valor jurídico – o que importa mesmo é o certificado criptográfico que está por trás. Os três pilares da verificação: Na validação, verifica-se sempre a identidade da pessoa que assina, a autenticidade do documento (integridade) e a validade do certificado. O fator EUTL: Uma assinatura eletrónica qualificada (QES) só é 100 % reconhecida judicialmente em toda a Europa se o Prestador de Serviços de Confiança (TSP) constar da lista oficial de confiança da UE (EUTL). A desvantagem competitiva dos EUA: muitas ferramentas norte-americanas falham nas verificações europeias (como o serviço de acreditação estatal RTR), porque não ancoram as cadeias de certificados de forma adequada. |
Introdução: Por que é que a «verificação» é o verdadeiro alicerce dos processos digitais
Em muitas empresas, a assinatura digital de contratos já é, há muito, a norma. No entanto, embora se invista uma enorme quantidade de energia na realização das assinaturas, uma questão fundamental no dia-a-dia do B2B fica muitas vezes por responder: como é que verificas os documentos que regressam à tua empresa já assinados?
As empresas trocam diariamente contratos confidenciais – desde contratos de trabalho nos RH, passando por acordos com fornecedores, até transações financeiras de grande volume. Quem confiar que uma assinatura digitalizada ou uma simples imagem de lugar-marcador num PDF tem validade jurídica está a correr um risco enorme em termos de conformidade e responsabilidade. Só a verificação sistemática e criptográfica te dá a garantia, com valor judicial, de que a tua contraparte é mesmo quem diz ser e de que o texto do contrato não foi alterado posteriormente.
A anatomia técnica: o que acontece quando verificas uma assinatura digital?
Quando verificas uma assinatura digital (por exemplo, através do sproof Validator, do Acrobat Reader, de serviços de validação estatais, como a Rundfunk und Telekom Regulierungs-GmbH na Áustria, ou de um software especializado), decorre em segundo plano um processo em três etapas:
1. Verificação da integridade do documento (a comparação de hash)
Ao assinar, todo o conteúdo do ficheiro é comprimido por um algoritmo, transformando-se numa impressão digital única – o chamado valor hash. A ferramenta de verificação volta a calcular esse valor hash ao abrir o ficheiro. Se o valor hash atual corresponder exatamente ao valor encriptado no momento da assinatura, fica claro: o documento não sofreu nenhuma alteração, nem mesmo um único caractere, desde a assinatura.
| sproof Insight vs. líder de mercado dos EUA: o sproof sign incorpora cada assinatura no PDF de forma direta e juridicamente válida, através de criptografia, no momento da assinatura. Os fornecedores norte-americanos, como a DocuSign, muitas vezes colocam as assinaturas no documento apenas como imagens visuais durante o processo e só adicionam o selo coletivo final no momento do download final. Isso dificulta que as ferramentas de verificação consigam, posteriormente, identificar com exatidão em que momento foi feita cada alteração específica num campo do formulário. |
2. Validação do certificado digital (a identidade)
Cada assinatura eletrónica avançada (FES) ou qualificada (QES) está indissociavelmente ligada a um certificado digital. Este certificado funciona como um cartão de identidade digital. A ferramenta de verificação extrai os metadados do certificado para identificar o nome do signatário, o endereço de e-mail verificado e o emissor (Prestador de Serviços de Confiança, ou TSP).
3. Comparação com a Lista de Confiança da União Europeia (EUTL)
O Regulamento eIDAS garante o máximo valor probatório no espaço europeu. Os setores altamente regulamentados exigem, por norma, a assinatura eletrónica qualificada (QES), uma vez que só esta é juridicamente equiparada a 100 % à assinatura manuscrita. Ao verificar uma QES, o software compara o TSP emissor com a lista oficial de entidades de confiança da Comissão Europeia (EUTL). Se o prestador não estiver acreditado nessa lista, a assinatura perde o seu estatuto de QES.
Por que é que algumas assinaturas são consideradas «inválidas» em ferramentas de verificação europeias
Um fenómeno comum nos departamentos jurídicos europeus: um contrato assinado através de uma ferramenta norte-americana é carregado no serviço oficial de verificação da RTR (Áustria) e é imediatamente classificado como «inválido» ou «tecnicamente não verificável».
Há uma razão para isso: a falta de acreditação EUTL. Muitos hyperscalers globais utilizam, para as suas assinaturas padrão, cadeias de certificados próprias que, embora sejam marcadas como «verdes» em listas comerciais (como a Adobe Approved Trust List – AATL), não cumprem os rigorosos critérios regulamentares das autoridades de supervisão europeias.
Passo a passo: como verificar uma assinatura digital na prática
Para as empresas, existem basicamente três formas comprovadas de validar assinaturas de forma a garantir a conformidade com os requisitos de auditoria:
- Método 1: Validação automatizada através de software e API (para grandes empresas) As grandes organizações não conseguem verificar manualmente os documentos que recebem. É aqui que entram em ação módulos como o sproof Validate. Através de uma API REST, os contratos são digitalizados automaticamente assim que chegam, verificados criptograficamente e arquivados no teu sistema de gestão de documentos (DMS) com um registo de auditoria (trail de auditoria) imutável.
- Opção 2: Validação diretamente na plataforma sproof sign. Se gerires documentos no teu painel central do sproof sign, basta um simples clique. Passa o rato por cima do cartão de assinatura no editor de documentos. A ferramenta mostra-te imediatamente, numa sobreposição, se a assinatura é válida, qual é a norma de segurança (EES, FES, QES) e qual o Prestador de Serviços de Confiança que emitiu o certificado.
- Método 3: A verificação manual através do Adobe Acrobat Reader Graças à norma mundial PAdES, as assinaturas compatíveis com LTV (Long-Term Validation) também podem ser verificadas offline no Adobe Reader. Para isso, a Adobe usa os dados de revogação incorporados (CRL/OCSP) para confirmar a validade histórica da assinatura ao longo de décadas.
Acaba com as incertezas jurídicas na gestão de documentos
Automatiza os teus processos de verificação e protege a tua empresa contra violações de conformidade. Com o sproof Sign e o sproof Validate, estás a apostar numa solução 100 % europeia – sem qualquer ligação aos EUA, totalmente em conformidade com o RGPD e certificada segundo a norma ISO 27001.
Marca já uma sessão de demonstração sem compromisso ou experimenta o sproof sign de graça
FAQs sobre o tema
-
+–Qual é a diferença entre a assinatura visual e o certificado digital?A imagem da assinatura no PDF serve apenas como informação visual para as pessoas. O único elemento juridicamente e tecnicamente… Mais
A imagem da assinatura no PDF serve apenas como informação visual para as pessoas. O único elemento juridicamente e tecnicamente vinculativo é o certificado digital, que está criptograficamente incorporado nos dados legíveis por máquina do documento PDF. Uma simples imagem sem certificado quase não tem valor probatório como assinatura eletrónica.
-
+–É possível verificar uma assinatura digital sem ligação à Internet?Sim, desde que a assinatura seja compatível com o padrão LTV (Long-Term Validation). Nas assinaturas com LTV ativado, todas as… Mais
Sim, desde que a assinatura seja compatível com o padrão LTV (Long-Term Validation). Nas assinaturas com LTV ativado, todas as informações de revogação necessárias do certificado são incorporadas diretamente no PDF no momento da assinatura.
-
+–O que significa quando uma ferramenta de verificação mostra: «Identidade do emissor desconhecida»?Esta mensagem aparece normalmente quando o documento foi assinado com uma ferramenta cujo certificado raiz não está incluído na lista… Mais
Esta mensagem aparece normalmente quando o documento foi assinado com uma ferramenta cujo certificado raiz não está incluído na lista EUTL da UE nem no armazenamento local de certificados do Windows/Adobe. Embora a integridade do documento possa estar intacta, o seu estatuto de «Assinatura Eletrónica Qualificada» (QES) com validade jurídica deixa, assim, de ser válido.
-
+–O que acontece se um documento for ligeiramente alterado depois de assinado (por exemplo, ao adicionar um número de página)?Assim que um documento PDF sofrer a mais pequena alteração depois de ter sido assinado digitalmente, a cadeia de selos… Mais
Assim que um documento PDF sofrer a mais pequena alteração depois de ter sido assinado digitalmente, a cadeia de selos criptográficos é quebrada. Qualquer ferramenta de verificação profissional avisa logo que o documento foi manipulado e que, por isso, a assinatura já não é válida. No sproof, graças à integração profunda no PDF, dá para perceber exatamente se foram feitas alterações posteriores que não cumprem as regras e quais foram essas alterações.
-
+–Durante quanto tempo é que uma assinatura digital é válida e pode ser verificada?Muitas vezes, as assinaturas padrão já não conseguem ser validadas sem erros depois de o certificado subjacente ter expirado (normalmente… Mais
Muitas vezes, as assinaturas padrão já não conseguem ser validadas sem erros depois de o certificado subjacente ter expirado (normalmente ao fim de 2 a 3 anos). Por isso, o sproof sign usa sempre a norma LTV (Long-Term Validation). Neste caso, as informações de revogação (como listas CRL ou OCSP) são incorporadas diretamente no documento no momento da assinatura. Assim, a validade da assinatura pode ser verificada de forma auditável e independente do emissor, mesmo décadas depois.
-
+–É possível verificar várias assinaturas digitais num único documento, de forma independente umas das outras?Sim. Quando várias pessoas assinam um documento uma a seguir à outra (fluxo de trabalho sequencial), o PDF inclui um… Mais
Sim. Quando várias pessoas assinam um documento uma a seguir à outra (fluxo de trabalho sequencial), o PDF inclui um histórico das chamadas versões de revisão. Uma ferramenta de verificação (por exemplo, o sproof Validate) valida cada assinatura individualmente em relação ao estado do documento que estava disponível no momento em que foi assinado.
-
+–Porque é que o relatório de auditoria (Audit Trail) é tão importante para os gestores de conformidade?A pista de auditoria (registo de auditoria) fornece um histórico completo e admissível em tribunal de todo o processo de… Mais
A pista de auditoria (registo de auditoria) fornece um histórico completo e admissível em tribunal de todo o processo de assinatura. Documenta quando e quem visualizou, aprovou e assinou o documento, incluindo o método de verificação utilizado (por exemplo, autenticação de dois fatores ou identificação eletrónica qualificada). Este registo serve, em auditorias ou litígios jurídicos, como prova principal de que a assinatura foi efetuada de forma válida.
