Como guardar o comprovante de assinatura eletrônica e provar que o PDF não mudou?

Para provar que um PDF não foi alterado, é preciso combinar a validação da assinatura eletrônica com o registro de integridade do arquivo, como o hash SHA-256, além da trilha de auditoria e da data da operação. O caminho mais seguro é conservar o arquivo original assinado, o relatório ou comprovante emitido pela plataforma e, quando aplicável, validar o documento no serviço oficial VALIDAR, do Instituto Nacional de Tecnologia da Informação (ITI).

Uma imagem de assinatura, um nome digitado ou um print da tela não demonstram, sozinhos, que o conteúdo permaneceu igual depois da assinatura. A comprovação deve permitir responder a quatro perguntas: quem assinou, qual arquivo foi assinado, quando a operação ocorreu e se o documento sofreu alguma alteração.

O que significa provar que o PDF não foi alterado?

Um documento digital assinado possui uma relação técnica com o conteúdo que existia no momento da assinatura. Se alguém modificar uma cláusula, trocar uma página, inserir um anexo ou salvar uma nova versão do PDF, a validação pode apontar que a assinatura deixou de corresponder ao arquivo.

Na assinatura digital baseada em certificado, essa proteção decorre da associação criptográfica entre a assinatura e o documento. O ITI explica que qualquer alteração posterior pode tornar a assinatura inválida, porque a assinatura está vinculada à integridade do conteúdo eletrônico.

Nas assinaturas eletrônicas avançadas, a Lei nº 14.063/2020 também exige que a assinatura esteja relacionada aos dados de modo que qualquer modificação posterior seja detectável. Já a assinatura eletrônica simples pode identificar o signatário e associar dados ao documento, mas normalmente oferece menos evidências técnicas de integridade.

Como validar uma assinatura digital em um PDF?

Preserve o arquivo original: baixe o PDF assinado diretamente da plataforma e não o reimprima ou digitalize novamente.
Não salve por impressão: imprimir em PDF costuma criar uma nova cópia que pode não conter a assinatura digital original.
Use o VALIDAR: o serviço gratuito do ITI permite verificar assinaturas qualificadas ICP-Brasil e determinadas assinaturas avançadas, como as produzidas no ambiente gov.br.
Confira o resultado: verifique o nome do signatário, o certificado ou infraestrutura utilizada, o status da assinatura, a integridade do documento e a referência temporal disponível.
Baixe ou arquive o relatório: o resultado da validação deve ser guardado junto com o PDF e os demais registros da contratação.

O VALIDAR verifica autoria e integridade, mas não confirma se o conteúdo do contrato é verdadeiro, se a obrigação foi cumprida ou se os dados comerciais estão corretos. A validação técnica não substitui a análise jurídica do documento.

O que é o hash SHA-256 do documento?

O hash é uma espécie de impressão digital matemática do arquivo. Ao aplicar o algoritmo SHA-256 a um PDF, o sistema produz uma sequência de caracteres. Se o conteúdo binário do arquivo mudar, mesmo que a alteração pareça pequena, o resultado tende a ser diferente.

Por isso, o hash SHA-256 pode ser usado como evidência de que o arquivo apresentado hoje é o mesmo arquivo que foi registrado anteriormente. A empresa pode calcular o hash do PDF original e armazenar o resultado em seu sistema de gestão documental, em um relatório de assinatura ou em um registro interno com controle de acesso.

É importante entender o limite dessa prova: o hash sozinho não identifica quem assinou o documento e não comprova a intenção do signatário. Ele demonstra a correspondência entre um arquivo e um código de integridade. Para comprovar autoria, é necessário associá-lo à assinatura eletrônica, ao certificado, à autenticação utilizada ou à trilha de auditoria.

Como conferir se dois PDFs são iguais?

Use sempre os arquivos completos e não apenas o texto copiado. Calcule o SHA-256 de cada PDF com uma ferramenta confiável e compare os códigos. Hashes idênticos indicam que os arquivos são iguais no nível considerado pelo algoritmo; hashes diferentes indicam que há alguma diferença, ainda que ela não seja visível na tela.

Uma diferença de hash não significa automaticamente fraude. O PDF pode ter sido reprocessado, ter metadados atualizados ou ter recebido uma nova assinatura. Nesse caso, é necessário comparar as versões, verificar a sequência de assinaturas e consultar a trilha de auditoria.

O que deve constar no comprovante de assinatura?

Para uma PME, RH, profissional autônomo ou departamento jurídico, o comprovante ideal deve registrar:

nome e identificação dos signatários;
data e hora de cada evento, com indicação do fuso quando disponível;
nome, tamanho e, preferencialmente, hash do arquivo assinado;
método de autenticação utilizado, como certificado, conta gov.br, código ou outro fator;
ordem das assinaturas e status de cada participante;
eventos da operação, como envio, visualização, aceite, assinatura e conclusão;
informações sobre carimbo do tempo, certificado ou cadeia de confiança, quando existentes;
identificador único da transação ou código de auditoria.

Uma trilha de auditoria não deve ser confundida com o próprio PDF. Ela é um conjunto de registros que ajuda a reconstruir o processo de assinatura. O PDF comprova o conteúdo e, quando tecnicamente assinado, sua integridade; a trilha ajuda a demonstrar como, quando e por quem o procedimento foi realizado.

Data no PDF prova quando o documento foi assinado?

A data exibida visualmente no rodapé do PDF pode ser apenas um campo inserido pela plataforma. Ela é útil, mas não tem o mesmo peso de uma referência temporal associada tecnicamente à assinatura ou de registros de auditoria preservados de forma confiável.

Quando o documento possui carimbo do tempo ou referências de validação, a análise pode ser mais robusta, pois permite verificar a situação da assinatura em determinado momento. Mesmo assim, a empresa deve conservar o arquivo original, o relatório de validação e os registros da plataforma, sem editar ou substituir esses documentos.

Checklist para arquivar o documento assinado

Guarde o PDF original recebido após a conclusão.
Não renomeie ou edite o arquivo sem preservar a versão anterior.
Registre o hash SHA-256 e a data em que ele foi calculado.
Armazene o comprovante e a trilha de auditoria em local com controle de acesso.
Valide assinaturas ICP-Brasil ou gov.br no VALIDAR quando aplicável.
Conserve as versões anteriores e os anexos que fizeram parte da contratação.
Para documentos relevantes, mantenha cópias de segurança e política de retenção definida.

Em resumo, o comprovante mais consistente combina quatro elementos: PDF original, assinatura verificável, hash de integridade e trilha com data e eventos. Essa combinação não elimina a necessidade de avaliar o contrato, mas oferece uma forma organizada de demonstrar que o arquivo apresentado é o mesmo que foi assinado e que qualquer alteração posterior pode ser identificada.