Como validar se um PDF assinado foi alterado? Hash, trilha e data explicados

Para comprovar que um PDF não foi alterado, é preciso combinar a validação da assinatura eletrônica com o hash do arquivo, o relatório de auditoria e, quando a data for relevante, um registro confiável de tempo. O hash SHA-256 ajuda a confirmar que o arquivo apresentado é exatamente o mesmo arquivo registrado, mas, sozinho, não prova quem assinou nem quando o documento existia. Essa comprovação depende do conjunto de evidências preservado no processo.

O que significa validar uma assinatura digital?

Validar uma assinatura digital não é apenas verificar se aparece uma imagem ou um selo no PDF. A validação examina se a assinatura está vinculada ao conteúdo do documento, se o certificado ou mecanismo de identificação pode ser conferido e se houve alteração depois da assinatura.

No caso de assinaturas qualificadas, feitas com certificado digital ICP-Brasil, a assinatura é tecnicamente vinculada ao documento. Uma mudança posterior, como editar uma cláusula, substituir uma página ou alterar um número, normalmente faz a validação indicar que a integridade foi comprometida. A ICP-Brasil foi instituída para garantir autenticidade, integridade e validade jurídica de documentos eletrônicos. ([planalto.gov.br](https://www.planalto.gov.br/ccivil_03/mpv/antigas_2001/2200-2.htm?utm_source=openai))

O serviço oficial VALIDAR, do ITI, permite conferir assinaturas ICP-Brasil, assinaturas avançadas produzidas no ambiente gov.br e outras infraestruturas oficialmente reconhecidas. O resultado se concentra na autoria da assinatura e na integridade do documento; ele não confirma se o conteúdo do contrato é verdadeiro, justo ou correto. ([validar.iti.gov.br](https://validar.iti.gov.br/?utm_source=openai))

Como o hash SHA-256 comprova a integridade do PDF?

Hash é um resumo criptográfico gerado a partir dos bits do arquivo. O algoritmo SHA-256 transforma um PDF em uma sequência de caracteres de tamanho fixo. Se uma única letra, espaço, página ou metadado for alterado, o hash calculado novamente tende a ser diferente.

Na prática, o procedimento é:

calcular o hash SHA-256 do PDF no momento da assinatura ou do recebimento;
registrar esse resultado em um comprovante, sistema de auditoria ou serviço confiável;
calcular novamente o hash do arquivo que será apresentado no futuro;
comparar os dois valores.

Se os valores forem iguais, há forte evidência de que os arquivos são idênticos. Se forem diferentes, o arquivo apresentado não é igual ao arquivo originalmente registrado. Porém, o hash não identifica automaticamente o signatário. Qualquer pessoa pode calcular o hash de um arquivo; por isso, ele deve estar associado a uma assinatura eletrônica, a um registro de sistema ou a outro mecanismo que dê contexto à evidência.

O hash exibido no comprovante é suficiente?

Não necessariamente. Um comprovante de assinatura confiável deve permitir relacionar o hash ao documento, aos signatários e ao processo de assinatura. Para uma empresa, o ideal é que o relatório contenha:

nome e identificação dos signatários;
data e hora de cada ação relevante;
identificador único da transação;
hash do arquivo assinado, preferencialmente com indicação do algoritmo;
versão final do PDF e informação sobre os anexos;
eventos da trilha de auditoria, como envio, visualização, autenticação, assinatura e conclusão;
informação sobre o método de autenticação utilizado;
resultado da validação da assinatura.

Esse conjunto não transforma qualquer assinatura em qualificada. A Lei nº 14.063 classifica as assinaturas eletrônicas como simples, avançada e qualificada. A simples permite identificar o signatário e associar dados a ele. A avançada precisa oferecer vínculo unívoco, controle do meio de assinatura e detecção de alterações posteriores. A qualificada utiliza certificado digital nos termos da ICP-Brasil. ([planalto.gov.br](https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2020/lei/l14063.htm?utm_source=openai))

Como provar a data e a hora do documento?

A data mostrada na tela ou no nome do arquivo pode ser apenas uma informação operacional. Ela não deve ser confundida automaticamente com prova independente de que o documento já existia naquele momento.

Quando a data for essencial — por exemplo, em um prazo contratual, uma comunicação de RH, uma entrega de projeto ou uma evidência para o jurídico — considere o uso de um carimbo do tempo. Segundo o ITI, o carimbo associa o hash de um documento ou assinatura a uma data e hora de existência, sendo emitido por uma terceira parte confiável, a Autoridade de Carimbo do Tempo. Ele comprova que a informação existia na data registrada, mas não necessariamente que foi criada naquela data. ([gov.br](https://www.gov.br/iti/pt-br/acesso-a-informacao/perguntas-frequentes/carimbo-do-tempo?utm_source=openai))

O carimbo do tempo ICP-Brasil é facultativo. Um documento assinado com certificado ICP-Brasil pode ser válido com ou sem esse recurso, mas o carimbo acrescenta uma evidência específica sobre a existência do arquivo em determinado momento.

O que é a trilha de auditoria da assinatura?

A trilha de auditoria é o histórico técnico e operacional da assinatura. Ela registra o que aconteceu durante o fluxo: quem recebeu o convite, quando acessou o documento, qual fator de autenticação foi usado, quando assinou e qual arquivo foi concluído.

Uma boa trilha deve ser protegida contra alterações, vinculada ao hash do documento e exportável para preservação. Também é importante manter o PDF original, o relatório de assinatura e eventuais arquivos complementares no mesmo conjunto documental. Guardar apenas uma captura de tela do status “assinado” é uma evidência mais fraca, porque a imagem pode não permitir verificar o arquivo nem os eventos do processo.

Como validar um PDF assinado no dia a dia?

Baixe o arquivo final diretamente da plataforma de assinatura, sem editá-lo ou reimprimi-lo em PDF.
Abra o documento no VALIDAR do ITI quando a assinatura for ICP-Brasil, gov.br ou outro formato aceito pelo serviço.
Confira o nome do signatário, o status da assinatura e a indicação de integridade.
Compare o hash do PDF com o hash do comprovante ou do registro da plataforma.
Preserve o relatório, a trilha de auditoria e o arquivo exatamente como foram gerados.
Se a data tiver importância probatória, verifique se existe carimbo do tempo ou outra fonte confiável de registro.

Em fluxos com assinatura eletrônica simples no navegador, sem certificado ICP-Brasil, a validade depende do contexto, da identificação adotada, da aceitação pelas partes e da capacidade de demonstrar autoria e integridade. Uma plataforma como a AssinarDigital pode ser usada para criar um fluxo simples, coletar evidências e gerar um comprovante, mas a empresa deve escolher o nível de assinatura conforme o risco do documento e eventual exigência legal ou regulatória.

Checklist para PME, RH e jurídico

Não altere o PDF depois da última assinatura.
Não confunda assinatura digitalizada com assinatura digital: uma imagem da assinatura não garante autoria nem integridade.
Registre o algoritmo usado no hash, como SHA-256.
Conserve o arquivo final e o comprovante em local seguro, com controle de acesso.
Use assinatura avançada ou qualificada quando o risco, a política interna ou a norma aplicável exigir maior segurança.
Para prazos e fatos históricos, avalie o carimbo do tempo.

Em resumo: o hash mostra se o arquivo mudou; a assinatura relaciona o documento ao signatário; a trilha explica como o processo ocorreu; e o carimbo do tempo reforça a prova de que aquele conteúdo existia em determinada data. Juntos, esses elementos formam um comprovante de assinatura muito mais consistente do que um simples PDF com uma imagem ou um selo visual.