A imagem colada no fim da página parece assinatura, mas quem confere um documento assinado digitalmente olha outra coisa. Existe um verificador oficial onde qualquer pessoa faz esse teste.

Um contrato de locação, uma procuração ou um recibo de quitação chega por e-mail em PDF. No fim da última página aparece o nome escrito à caneta, digitalizado. Muita gente salva o arquivo na pasta, imprime uma cópia e dá o assunto por encerrado.

O problema aparece depois, quando o documento precisa valer alguma coisa. Aquela imagem não prova quem assinou e também não prova o que estava escrito no dia da assinatura. Ela é um desenho dentro do arquivo. Pode ter sido recortada de outro papel e colada por qualquer pessoa com um editor de imagem, e o texto acima dela pode ter sido alterado depois sem deixar rastro.

Como funciona a assinatura digital

A assinatura digital funciona de outro jeito. O programa faz um cálculo sobre o conteúdo inteiro do arquivo, usando uma chave privada que fica com quem assina. O resultado vai anexado ao PDF, junto com o certificado que identifica o titular.

Com isso dá para responder duas perguntas que a imagem escaneada deixa em aberto. Quem assinou é a primeira. A segunda, e a mais útil no dia a dia, é se o arquivo mudou depois de assinado. Se alguém alterar uma vírgula ou um valor, a conta deixa de bater e o programa que abre o documento acusa a divergência.

O padrão que organiza isso dentro de um PDF se chama PAdES. Ele define como a assinatura e o certificado entram no arquivo e como um verificador deve ler aquilo depois. Um PDF assinado nesse padrão abre em qualquer leitor comum e continua sendo um PDF, porque a assinatura viaja dentro dele e não em um arquivo separado, que acaba se perdendo no caminho.

Do lado de quem assina, o instrumento mais comum é o certificado A1, que vem em um arquivo com extensão .pfx ou .p12 e fica instalado no próprio computador. É esse arquivo que carrega a chave usada no cálculo.

Como conferir o PDF no verificador do ITI

Quem recebeu o documento e não entende nada de criptografia tem um caminho simples: o verificador oficial mantido pelo ITI. A pessoa envia o PDF e recebe de volta o que aquele arquivo realmente carrega, se há assinatura digital e de quem é o certificado, além de informar se o documento se manteve íntegro desde a assinatura.

Em um caso o resultado costuma surpreender. O arquivo entra com o nome escrito no rodapé e sai sem assinatura nenhuma. O verificador está funcionando normalmente. O que ele mostra, por escrito, é a diferença entre parecer assinado e estar assinado.

Quando isso acontece, o caminho é pedir a mesma peça assinada com certificado. Quem assinou de verdade não tem trabalho nenhum em reenviar.

O que diz o especialista

Guilherme F. Pereira, advogado e fundador da Locus.IA, empresa que desenvolve software no interior do Paraná, diz que a confusão entre as duas coisas é frequente.

“Olha, a maior parte das pessoas confunde parecer assinado com estar assinado. É a mesma cabeça de quando o papel mandava: tem risco de caneta embaixo, então está feito. Só que aqui o risco de caneta é um desenho, não prova nada.”

Pereira diz que a conferência devia ser rotina e que ninguém precisa encarar isso como desconfiança. “Se o documento importa, a gente confere antes de guardar. Ninguém se ofende por ser conferido. E se alguém se ofende, aí, provavelmente é justo essa pessoa que valia a pena conferir.”

O programa da empresa tem uma função de certificar e anotar documentos, que assina em PAdES com certificado A1 no formato .pfx ou .p12. O arquivo que sai dali pode ser levado ao verificador do ITI por quem receber. O mesmo programa reúne um conjunto de ferramentas de PDF que processa os arquivos inteiramente no computador do usuário, sem enviar nada para fora, para tarefas como juntar ou separar arquivos e girar páginas. A descrição das ferramentas está na página do programa desenvolvido no interior do Paraná.

O que fica para quem recebe documento por e-mail

A imagem da assinatura e a assinatura digital não fazem a mesma coisa. A figura serve para o olho e a assinatura digital serve para a prova. Uma não substitui a outra.

A verificação também não depende de acreditar em ninguém. O arquivo já carrega dentro dele o material necessário para ser conferido, e o verificador oficial do ITI está aberto a qualquer pessoa que tenha o documento em mãos. Antes de assinar um contrato ou arquivar uma procuração recebida por e-mail, a orientação é enviar o PDF ao verificador do ITI e só depois guardar o arquivo.