Trilha de auditoria da assinatura eletrônica: o que cada campo prova e o que a lei exige

Alguém diz que nunca assinou. O rabisco da página quatro não resolve nada, porque qualquer pessoa cola a imagem de um nome num PDF. O que resolve é a trilha de auditoria da assinatura eletrônica: o registro em ordem cronológica que o serviço de assinatura mantém: quem recebeu o documento, como o abriu, como provou quem era, quando assinou e como estava o arquivo naquele momento.

Os serviços chamam isso de certificado de conclusão, relatório de auditoria, comprovante de assinatura ou manifesto de assinaturas, e há quem diga só log de auditoria ou registro de auditoria. O nome importa menos do que o conteúdo.

O que é uma trilha de auditoria em geral? O glossário do NIST a define como um registro cronológico que permite reconstruir a sequência de atividades por trás de um evento. É a resposta curta para quem pergunta o que é uma trilha de auditoria. Num contrato assinado, o registro é feito sobretudo de metadados: nomes, e-mails, carimbos de data e hora, endereços IP, hashes do documento. Nada disso é o contrato. Tudo isso é o que você vai usar se o contrato for contestado.

Uma ressalva de vocabulário: no Brasil, "audit trail" também é o nome de um recurso de sistemas de gestão, como o do Protheus, da TOTVS. Aqui o assunto é a assinatura, não o ERP.

A seguir: o que a trilha de auditoria de uma assinatura eletrônica registra, o que cada campo prova, o que a lei brasileira e o eIDAS exigem e o que um tribunal da Califórnia queria ver e nunca viu. Se você só quer enviar algo para assinar, comece pelo fluxo de assinatura.

A maioria dos serviços de assinatura registra os mesmos eventos. Eles se diferenciam no quanto guardam sobre a identidade e em se algo fora do próprio banco de dados consegue confirmar o registro depois.

Pense na trilha como a rastreabilidade de documentos de um contrato assinado. A tabela lista os campos usuais, na ordem em que acontecem, com o limite honesto de cada um. Leia a última coluna duas vezes: é onde as disputas começam.

Veja um exemplo curto de trilha de auditoria para um contrato de serviços entre duas partes, do jeito que a maioria dos relatórios o imprime. Nomes, endereços e hashes são inventados.

1. 1.
   2026-10-02 09:14:05 UTC. Documento "Contrato de serviços v3" criado por Priya Nair (priya@agency.example). Hash 9b1e…c07.
2. 2.
   09:15:40. Enviado para assinatura a Tom Weller (tom@client.example).
3. 3.
   11:02:19. Tom Weller abriu o link. IP 198.51.100.23, Safari no iOS.
4. 4.
   11:03:02. Tom Weller passou na verificação por SMS para um número final 4471.
5. 5.
   11:04:47. Tom Weller assinou. IP 198.51.100.23.
6. 6.
   11:20:13. Priya Nair assinou. IP 203.0.113.9.
7. 7.
   11:20:14. Concluído. Hash final a41d…e52.

Leia como o advogado da outra parte leria. As linhas 3 a 5 ligam a assinatura de Tom a uma caixa de e-mail e a um telefone, a partir de um único endereço de rede, em menos de três minutos. É uma história coerente. As linhas 1 e 7 trazem dois hashes: o arquivo que saiu e o arquivo que voltou assinado. Se o PDF que você leva ao juiz gera o hash a41d…e52, ninguém o alterou depois da conclusão.

O que falta? Nada registra qual versão Tom viu ao abrir o link. Uma boa trilha ou registra toda edição feita depois do envio, ou trava o rascunho assim que ele sai. Pergunte ao seu fornecedor qual das duas ele faz, porque "isso a gente não registra" é uma notícia ruim para ouvir só na audiência.

No Brasil, a pergunta diante de uma assinatura eletrônica contestada é estreita: foi ato dessa pessoa? A lei não exige um único tipo de assinatura para a maioria dos contratos. A MP 2.200-2/2001 diz, no art. 10, § 2º, que outros meios de comprovar autoria e integridade de documentos eletrônicos continuam válidos, inclusive com certificados que não são da ICP-Brasil, desde que as partes os admitam ou a pessoa contra quem o documento é usado os aceite. A Lei 14.063/2020 classifica as assinaturas em simples, avançada e qualificada (art. 4º). E o CPC considera autêntico o documento quando a autoria está identificada por outro meio legal de certificação, inclusive eletrônico, ou quando a parte contra quem foi produzido não o impugna (art. 411, II e III). Se a parte impugna e não há outra certificação, a autoria tem de ser demonstrada de outro modo, e o juiz aprecia o valor probante do documento eletrônico (art. 440).

É aí que a trilha de auditoria trabalha, mas não sozinha. Ela dá a uma testemunha (alguém da sua empresa, às vezes do fornecedor) os fatos que explicam por que a assinatura só poderia vir daquela pessoa. Sem testemunha, é uma lista de linhas.

Os pontos fracos: identidade e hora

Por isso a linha de autenticação pesa mais do que qualquer outro campo. Um link por e-mail prova que o signatário conseguia abrir aquela caixa. Um código por SMS acrescenta um telefone. Uma verificação de identidade com passaporte ou RG acrescenta um rosto e um documento. Cada camada reduz o grupo de pessoas que poderiam ter assinado, e nenhuma o reduz a uma só. Uma caixa de e-mail compartilhada, um assistente que assina pela chefe, um celular esquecido sobre a mesa: a trilha registra as credenciais, e o juiz decide o que elas dizem sobre a pessoa.

A hora é o outro ponto fraco. A maioria das trilhas de auditoria tira os carimbos de data e hora dos servidores do próprio fornecedor. Quase sempre basta, porque ninguém tem motivo para duvidar deles, mas continua sendo a palavra do fornecedor. Um carimbo de tempo qualificado, emitido por um prestador de serviços de confiança, ou um hash gravado numa blockchain pública, coloca uma segunda parte por trás da hora.

A União Europeia diz a mesma coisa de outro modo. Pelo art. 25(1) do eIDAS, não se pode negar efeitos legais nem admissibilidade como prova em processo judicial a uma assinatura eletrônica só por ser eletrônica ou por não ser qualificada. Nas assinaturas simples e avançadas, portanto, discute-se o peso, e o peso vem da trilha de auditoria. A assinatura qualificada tem efeito equivalente ao da manuscrita (art. 25(2)), e aí a trilha passa para o segundo plano.

Para ser honesto, a maioria das disputas nunca chega a esse ponto. Uma trilha coerente costuma encerrar a discussão antes de qualquer ação, porque a outra parte também a lê.

Nenhuma lei lista os campos que uma trilha de auditoria precisa ter, nem o eIDAS. O direito fixa o resultado: o registro é confiável e recuperável, a assinatura é atribuível a uma pessoa e, no nível avançado, qualquer alteração dos dados assinados é detectável. Esses são os requisitos de verdade, e a trilha de auditoria é o seu caminho para cumpri-los.

As regras brasileiras estão na MP 2.200-2/2001, na Lei 14.063/2020 e no Código de Processo Civil; as europeias, no Regulamento eIDAS consolidado. Em Portugal vale o eIDAS mais o Decreto-Lei 12/2021: o art. 3 dá à assinatura qualificada a força de documento particular assinado e deixa outros meios à convenção das partes, e o restante é apreciado pelas regras gerais. As regras dos EUA entram para comparação, porque muitos serviços foram desenhados a partir delas. A tabela liga cada regra ao campo que a responde. Para o direito do Reino Unido e a proteção de dados, veja o que ESIGN, eIDAS e Part 11 exigem de um processo de assinatura.

O equivalente europeu da Part 11 é o anexo 11 das boas práticas de fabricação da UE (EudraLex, volume 4), sobre sistemas computadorizados. O item 9 pede considerar, conforme o risco, que o sistema registre todas as mudanças e exclusões relevantes (uma "trilha de auditoria"), com o motivo documentado, em forma legível e revisada com regularidade; o item 14 pede que a assinatura eletrônica fique ligada de modo permanente ao registro e inclua data e hora. No Brasil, a RDC 658/2022 trata das boas práticas de fabricação de medicamentos, e a Instrução Normativa 134/2022 adota para os sistemas computadorizados as diretrizes do PIC/S.

Em Fabian v. Renovate America (Tribunal de Apelação da Califórnia, novembro de 2019), uma proprietária disse que nunca assinou um contrato de financiamento que trazia sua assinatura eletrônica. A empresa queria a arbitragem prevista nesse contrato, então precisava provar que ela tinha assinado. Não conseguiu. O contrato havia passado pelo DocuSign, mas o tribunal constatou que a Renovate não apresentou nenhuma prova sobre o procedimento usado para verificar a assinatura eletrônica de Fabian por meio do DocuSign. A palavra DocuSign nem aparecia nas peças da empresa.

A decisão então lista o que ninguém tinha respondido, e a lista parece o sumário de uma trilha de auditoria. Ela também se apoia num caso anterior, Ruiz v. Moss Bros. Auto Group, em que um gerente afirmou que uma funcionária tinha assinado, mas nunca explicou como a assinatura só poderia vir de alguém usando o login e a senha pessoais dela.

Repare no que Fabian não é: não é a história de uma trilha de auditoria fraca do DocuSign. O registro nunca foi levado ao tribunal. Uma trilha de auditoria só ajuda se você a guarda, a apresenta e tem alguém para explicar o procedimento por trás dela. Nos tribunais federais dos EUA, a regra 902(13) permite que a certificação escrita de uma pessoa qualificada faça essa explicação.

Um juiz brasileiro faz as mesmas perguntas por outro caminho. Se a parte impugna a assinatura e ela não vem de certificação reconhecida, o documento só vale se a autoria for demonstrada, e o art. 441 do CPC admite os documentos eletrônicos produzidos e conservados conforme a legislação específica. Na prática, o juiz procura na trilha as mesmas respostas do tribunal californiano: quem enviou, como o signatário se identificou, quando assinou.

Uma trilha de auditoria que a equipe do fornecedor poderia reescrever sem deixar rastro continua sendo prova, mas uma prova que depende de confiar neles. Três técnicas tornam qualquer adulteração da trilha visível e tiram essa confiança da equação:

• Calcular o hash do documento. Um hash é uma impressão digital curta de um arquivo; mude um caractere e ele muda. Se o hash da trilha bate com o arquivo que você tem, é o arquivo que foi assinado. A nota do comitê à regra 902(14) das Federal Rules of Evidence dos EUA trata os valores de hash como o jeito usual de mostrar que uma cópia corresponde ao original.
• Encadear o log: cada entrada leva o hash da anterior, de modo que editar uma linha antiga quebra todas as seguintes.
• Gravar um hash onde o fornecedor não tem controle, como uma blockchain pública, para que nem ele consiga retroagir a data.

A Chaindoc usa as duas últimas de forma específica e limitada. O app mantém um log de eventos encadeado por hash para cada assinatura. Dois momentos vão para a cadeia, na rede SKALE: quando você publica um documento para assinatura, grava-se o hash da sua versão, e quando a assinatura termina, a prova de cada signatário. Identidades, endereços IP e visualizações individuais ficam no log do app, não na cadeia. Para saber mais: por que a Chaindoc registra na SKALE.

Para o PDF assinado em si, o serviço de verificação de assinatura em PDF informa se a integridade do arquivo se mantém e qual certificado assinou. Ele pede seu e-mail e um código de uso único antes da primeira verificação.

Todo serviço conhecido gera uma trilha de auditoria da assinatura eletrônica; eles diferem no que registram e em como é fácil tirá-la de lá.

O próprio guia da Adobe lista quatro itens que uma trilha de auditoria deve incluir: data e hora da assinatura, confirmação de que o signatário foi verificado, um registro das alterações feitas durante ou depois da assinatura e o endereço IP de cada signatário. É um mínimo justo para conferir a trilha do Adobe Sign ou a de qualquer outro. Quanto ao certificado de conclusão do DocuSign, Fabian lembra que ele só funciona quando alguém o apresenta e explica o procedimento.

A da Chaindoc é assim. Quando a última parte assina, você pode baixar uma trilha de auditoria em PDF com cada signatário, seus carimbos de data e hora e endereços IP, o hash do documento e o ID da transação na blockchain. Se você ativou a verificação de identidade opcional (um recurso dos planos pagos), o resultado dela também entra na trilha. As assinaturas qualificadas da Chaindoc são PAdES-BES e não levam carimbo de tempo qualificado, então a prova da hora ali é a trilha mais o bloco que guarda o registro de conclusão. A Chaindoc também não é um prestador de serviços de confiança: o certificado qualificado vem de um prestador que mantém os próprios registros. Para saber mais: como funcionam as assinaturas qualificadas.

Cinco perguntas para qualquer fornecedor

Está escolhendo uma assinatura eletrônica com trilha de auditoria que sirva como prova? Pergunte:

1. 1.
   Quais eventos vocês registram, e registram as edições feitas depois que um documento é enviado?
2. 2.
   Quais opções de autenticação posso exigir para um único documento?
3. 3.
   De onde vêm os carimbos de data e hora?
4. 4.
   Posso exportar a trilha junto com o arquivo assinado e guardá-la sem conta?
5. 5.
   Um terceiro consegue verificar o registro sem a ajuda de vocês?

Guarde a trilha de auditoria enquanto guardar o contrato, e arquive os dois juntos. O Código Civil manda o empresário conservar a escrituração, a correspondência e os papéis da atividade enquanto não ocorrer prescrição ou decadência (art. 1.194), e a prescrição é de dez anos quando a lei não fixa prazo menor (art. 205). Nosso guia sobre prazos de guarda de documentos lista os casos comuns. Exporte os dois na conclusão. Não dependa de um login que você pode perder.

Pegue um contrato assinado há seis meses e reconstrua a história dele só pelo registro. É o jeito mais rápido de descobrir se a sua trilha de auditoria aguentaria uma contestação.

1. 1.
   Ache-a. Você consegue baixar a trilha hoje sem pedir ajuda ao suporte?
2. 2.
   Compare o hash. O hash da trilha bate com o arquivo dos seus registros? Não haver hash impresso também é um achado.
3. 3.
   Leia as linhas de autenticação. Só um link por e-mail, ou algo mais forte?
4. 4.
   Procure lacunas. Há um evento de visualização antes de cada assinatura, e as edições depois do envio ficam registradas?
5. 5.
   Confira o relógio. Os horários seguem em ordem, num fuso horário informado?

Se alguma resposta for não, corrija para o próximo contrato: mude a autenticação padrão, exporte a trilha na conclusão e arquive-a com o PDF assinado. Na Chaindoc, como funciona a assinatura na Chaindoc mostra onde a trilha fica.