Hash SHA-256 no PDF assinado: como gerar, comparar e guardar o comprovante

Para comprovar que um PDF não foi alterado, combine três evidências: a validação criptográfica da assinatura, o hash do arquivo original e o comprovante com a trilha de auditoria e as datas relevantes. O hash SHA-256 ajuda a comparar se os bytes do PDF são exatamente os mesmos, mas não substitui a validação da assinatura nem prova, sozinho, quem assinou o documento.

O que é o hash SHA-256 de um documento?

Hash é uma sequência de caracteres calculada a partir do conteúdo de um arquivo. No caso do SHA-256, o resultado normalmente tem 64 caracteres hexadecimais. Se um único byte do PDF for alterado, o resultado tende a mudar completamente.

Na prática, a empresa pode calcular o SHA-256 do arquivo recebido e comparar o resultado com o hash registrado no comprovante ou no sistema utilizado na assinatura. Se os dois valores forem iguais, há forte evidência de que os arquivos comparados são idênticos em nível binário.

É importante observar que o hash é calculado sobre o arquivo, não sobre aquilo que aparece na tela. Salvar novamente o PDF, compactá-lo, reorganizar sua estrutura interna ou aplicar uma nova assinatura pode mudar o hash mesmo quando o texto visual parece igual. Por isso, a comparação deve usar o arquivo original assinado, sem conversão ou edição.

Hash prova que o PDF foi assinado?

Não. O hash prova apenas que dois arquivos comparados possuem o mesmo conteúdo binário. Ele não identifica automaticamente o signatário, não comprova a autorização para assinar e não demonstra, por si só, quando o documento existia.

Uma assinatura digital acrescenta elementos criptográficos que vinculam o documento ao certificado ou ao mecanismo de assinatura. Na validação de uma assinatura ICP-Brasil, o verificador confere, entre outros pontos, a integridade do conteúdo por meio da comparação de resultados hash, a chave pública e a validade do certificado.

Já uma assinatura eletrônica avançada pode usar outro meio de comprovação de autoria e integridade, desde que atenda aos requisitos legais e seja aceita pelas partes ou pela pessoa a quem o documento será apresentado. A assinatura simples tem menor nível de confiança e pode não gerar uma evidência criptográfica robusta de alteração do arquivo.

Como validar a assinatura de um PDF

1. Preserve o arquivo original: faça uma cópia somente para trabalho e mantenha o PDF recebido sem renomear, editar, imprimir em PDF ou converter.
2. Use um validador compatível: para assinaturas ICP-Brasil e assinaturas avançadas produzidas no GOV.BR, o serviço oficial VALIDAR, do ITI, pode indicar o status da assinatura, a autoria identificada e se houve alteração posterior.
3. Leia o resultado completo: verifique se o resultado é aprovado, reprovado ou indeterminado, quem aparece como titular, qual certificado foi usado e se existem alertas sobre o documento.
4. Confirme as assinaturas: um PDF pode ter mais de um signatário. A validação deve considerar cada assinatura e a ordem em que foi aplicada.
5. Calcule o SHA-256: gere o hash do arquivo original e registre o valor em ata interna, sistema de gestão documental ou relatório de conferência.

O VALIDAR não substitui uma análise jurídica do conteúdo. O próprio ITI informa que o serviço verifica aspectos como autoria e integridade da assinatura, mas não confirma a veracidade das informações escritas no documento.

O que a trilha de auditoria comprova?

A trilha de auditoria é o histórico dos eventos do processo de assinatura. Dependendo da plataforma e do plano contratado, ela pode registrar a criação da solicitação, envio de notificações, autenticações, acessos, recusas, assinaturas, endereço IP, dispositivo, e-mail ou telefone utilizado e horários dos eventos.

Esse histórico ajuda a explicar como o documento foi assinado. O comprovante costuma reunir também o identificador da transação, os participantes, a versão do arquivo, o hash, o método de autenticação e o resultado final do processo.

Trilha de auditoria não é sinônimo de carimbo de tempo. Um horário gravado pelo servidor da plataforma é um registro operacional. O carimbo de tempo, especialmente quando emitido por uma Autoridade de Carimbo do Tempo da ICP-Brasil, associa uma evidência criptográfica a determinado instante e pode ser relevante para demonstrar que o documento ou a assinatura já existia naquela data.

Qual data deve ser guardada?

Guarde, pelo menos, a data e a hora exibidas no comprovante, o fuso horário informado, a data de cada assinatura e a data do carimbo de tempo, quando houver. Também mantenha a data de download ou recebimento do arquivo e o momento em que a empresa calculou o hash.

Essas datas têm funções diferentes. A data de envio mostra quando o fluxo começou; a data de assinatura indica quando o participante concluiu sua etapa; o carimbo de tempo pode oferecer uma referência temporal com proteção criptográfica; e a data do cálculo do hash documenta quando a organização conferiu aquela cópia.

Como montar um comprovante de assinatura confiável

• Guarde o PDF final original, sem alterações posteriores.
• Armazene o comprovante completo, não apenas uma captura de tela.
• Registre o hash SHA-256 do PDF e, se possível, do próprio comprovante.
• Preserve a trilha de auditoria em formato que permita consulta futura.
• Guarde certificados, arquivos de assinatura destacada e carimbos de tempo quando fizerem parte do processo.
• Controle acesso, versões, retenção e cópias de segurança.
• Documente quem fez a conferência e qual validador foi utilizado.

Prints podem complementar a documentação, mas são frágeis: podem ser recortados, perder metadados e não permitem validar a estrutura criptográfica do PDF. Para RH, jurídico, financeiro e contratos de clientes, o conjunto original de arquivos e registros é mais útil do que uma imagem da tela.

O que fazer quando o hash não bate?

Primeiro, confirme se os arquivos são exatamente os mesmos: verifique extensão, tamanho, nome, origem e se algum deles foi aberto e salvo novamente. Depois, valide a assinatura do arquivo recebido. Se o validador indicar alteração posterior ou assinatura inválida, não substitua o documento por uma nova cópia sem registrar o ocorrido.

Em caso de divergência, preserve as duas versões, anote quando cada uma foi obtida e peça ao remetente o arquivo original e o comprovante completo. A diferença pode decorrer de uma alteração legítima posterior, de uma nova assinatura ou de uma adulteração. A conclusão depende do histórico do processo e do contexto jurídico.

Em resumo, o hash SHA-256 é uma impressão digital técnica do arquivo; a validação verifica a integridade e a autoria da assinatura; a trilha explica os eventos; e o carimbo de tempo reforça a referência temporal. Juntos, esses elementos formam um comprovante muito mais consistente para demonstrar que o PDF apresentado é o mesmo documento que passou pelo processo de assinatura.