Selos eletrônicos sob o eIDAS: o que são e quando sua empresa precisa de um

Um selo eletrônico é a contraparte organizacional da assinatura: ele prova que um documento veio de uma empresa ou órgão público específico e que ninguém o alterou desde então. O Regulamento (UE) 910/2014, mais conhecido como eIDAS, o define como "dados em formato eletrônico apensos a outros dados em formato eletrônico, ou a eles logicamente associados, para garantir a origem e a integridade destes últimos". O Artigo 3(24) traz a parte que mais importa: o criador de um selo é "uma pessoa coletiva". Não um ser humano. Uma empresa, uma associação, um ministério.

Essa única distinção comanda todo o resto desta página.

O nome atrapalha, honestamente. Nada em um selo eletrônico, ou e-seal como a maioria dos provedores abrevia, lembra cera ou carimbo de borracha, e não se trata de uma imagem do logotipo da empresa colada num PDF. Por baixo, um selo roda sobre a mesma criptografia de uma assinatura digital: uma chave privada, um certificado ligando essa chave a uma identidade e um hash do documento que quebra se um único byte mudar. O que difere é de quem é a identidade dentro do certificado e o que o ato pretende afirmar.

Uma assinatura diz que uma pessoa concordou com algo. Um selo diz que uma organização emitiu algo. Você pode colocar os dois no mesmo arquivo, e muitos fluxos regulados fazem exatamente isso: um responsável por conformidade assina um relatório, e então a empresa o sela antes de enviá-lo.

Pergunte a uma equipe de conformidade onde os selos se encaixam e você costuma receber um dar de ombros, porque a maioria dos fornecedores de assinatura eletrônica nunca toca no assunto. Eis a divisão prática.

Uma assinatura carrega intenção. Alguém leu aquilo e concordou em se vincular, e a lei se importa com esse consentimento. Um selo carrega proveniência. Ele diz que este arquivo saiu dos nossos sistemas exatamente neste estado, e não diz absolutamente nada sobre alguém ter concordado com o que quer que seja.

É por isso que os certificados são diferentes. Um certificado de assinatura nomeia uma pessoa, com nome e sobrenome e muitas vezes um identificador nacional. Um certificado de selo nomeia uma entidade: razão social, país e um identificador de organização, como um número de IVA ou de registro comercial. Não há humano no campo de titular, e isso é o ponto, não um descuido.

Onde a diferença fica útil é no volume. Nenhum indivíduo consegue assinar de modo significativo quarenta mil holerites, e fingir o contrário constrói uma ficção que desmorona no instante em que alguém a examina. Um selo resolve isso com honestidade. A organização emitiu estes documentos, a organização responde por eles, e nenhuma intenção pessoal está sendo alegada.

Mais uma diferença pega equipes desprevenidas. Um selo sobrevive à rotatividade de pessoal. Quando quem detém um certificado de assinatura vai embora, o certificado vai junto e todo documento futuro precisa de um novo signatário. Um selo organizacional continua funcionando, porque a identidade que ele certifica é a empresa.

Se você está avaliando qual nível de assinatura um contrato exige, essa é outra pergunta, com resposta própria. Nosso guia de assinaturas eletrônicas qualificadas percorre a escada SES, AdES e QES em detalhe, e esta página não vai repeti-la. Os selos sobem uma escada paralela usando o mesmo vocabulário.

Os selos vêm nos mesmos graus das assinaturas, e as palavras significam as mesmas coisas.

Um selo eletrônico avançado precisa satisfazer quatro condições sob o Artigo 36. Está ligado de forma unívoca à organização que o criou, permite identificar essa organização, é criado com dados de criação de selo que a organização mantém sob seu próprio controle com elevado nível de confiança, e está vinculado aos dados de tal modo que qualquer alteração posterior fique visível.

Um selo eletrônico qualificado é um selo avançado mais duas coisas: a chave privada vive em um dispositivo qualificado de criação de selo eletrônico, e o certificado é um certificado qualificado para selos eletrônicos emitido por um prestador de serviços de confiança qualificado que conste da Lista de Confiança da UE. Mesma arquitetura de uma QES, titular diferente no certificado.

O que você compra com o grau qualificado é o Artigo 35(2), e ele recompensa a leitura lenta. Um selo eletrônico qualificado "beneficia da presunção de integridade dos dados e da correção da origem desses dados". Uma presunção desloca quem tem de provar o quê. Com um selo avançado, se uma contraparte alega que sua fatura foi alterada, é você quem reúne provas de que não foi. Com um selo qualificado, é ela quem precisa provar que foi. Numa disputa que se arrasta por meses, essa inversão é o produto inteiro.

Duas cláusulas adicionais completam o quadro. O Artigo 35(1) impede que alguém descarte um selo apenas por ser eletrônico, ou por não ser qualificado, então um selo avançado continua sendo prova real. O Artigo 35(3) faz um selo qualificado emitido em um Estado-membro ser automaticamente reconhecido em todos os demais, sem necessidade de acordo bilateral.

A maioria das empresas não precisa de um, e vale dizer isso com todas as letras antes que o resto desta seção convença você do contrário.

Se o seu fluxo é de contratos enviados para aprovação humana, as assinaturas resolvem e um selo acrescenta custo sem acrescentar muito. Os selos ganham seu lugar em quatro situações. Vale conferir se alguma delas descreve você.

Documentos que ninguém assina. Certidões, históricos escolares, extratos de conta, documentos de política interna, holerites, extratos de registro. Uma organização emite esses documentos com base nos seus próprios registros, não porque um humano nomeado concordou com algo. Um selo é a maneira honesta de responder por eles.

Produção em volume. Quando você já gera milhares de documentos por mês a partir de um sistema, e não de uma mesa, certificados pessoais deixam de fazer sentido operacional. Os selos foram desenhados exatamente para esse formato de problema.

O trabalho no setor público é o terceiro caso, e é o que tem a lei mais clara por trás. O Artigo 37 cobre selos em serviços públicos, e vários Estados-membros construíram regimes nacionais explícitos sobre ele. A Espanha é o exemplo mais nítido: a Lei 40/2015 permite que um órgão público se identifique com um sello electrónico para atuação administrativa automatizada, ou seja, decisões produzidas por um sistema sem que nenhum servidor as toque. Não há pessoa para assinar, então a entidade sela.

O quarto caso é arquivístico. Se um documento precisa continuar comprovável por uma década, quem o selou já terá mudado de emprego muito antes disso. A identidade no nível da entidade envelhece melhor do que a identidade pessoal.

Repare no que não está nessa lista: contratos B2B comuns. Esses pedem assinaturas.

O faturamento aparece em quase toda conversa sobre selos, normalmente com um mal-entendido junto.

O Artigo 233 da Diretiva do IVA da UE exige que você garanta a autenticidade da origem e a integridade do conteúdo de uma fatura, da emissão até o fim do período de conservação. Como fazer isso é escolha sua. A diretiva cita a assinatura eletrônica avançada e o EDI como exemplos, e coloca controles de gestão que criem uma pista de auditoria fiável exatamente no mesmo patamar. Então não, a lei da UE não exige que você sele suas faturas. Muitas empresas em conformidade nunca selaram.

O que um selo compra é uma discussão mais curta. Controles de gestão são perfeitamente defensáveis, mas são um processo que você precisa descrever e comprovar durante uma auditoria. Um selo qualificado é uma propriedade do arquivo que um auditor confere em cerca de dez segundos, e traz junto a presunção do Artigo 35(2).

A prática nacional varia mais do que a diretiva sugere. O sistema de intercâmbio da Itália há muito espera assinaturas ou selos qualificados em determinados fluxos de fatura, enquanto a implantação da fatura eletrônica B2B na Alemanha não os torna obrigatórios. Confira o país, não o continente.

O calendário, porém, está andando. Sob o pacote IVA na Era Digital, a fatura eletrônica no padrão EN 16931 torna-se obrigatória para transações intracomunitárias a partir de 1º de julho de 2030. Esse padrão é XML estruturado, o que coloca o formato de selo relevante no território XAdES, e não PAdES. Se você está planejando com essa antecedência, verificação XAdES é a checagem que você acabará rodando.

Selar é um serviço de confiança que você contrata, não um software que você instala. A sequência corre mais ou menos assim.

1. 1
   Escolha um provedor da Lista de Confiança. Para um selo qualificado é preciso ser um QTSP da Lista de Confiança da UE. Qualquer outro pode emitir um certificado para você, e ele pode ser tecnicamente sólido, mas não será qualificado e a presunção do Artigo 35(2) não se aplicará a ele.
2. 2
   Comprove que a organização existe e que você pode agir por ela. A emissão de selo difere de verdade dos certificados pessoais aqui. O provedor verifica a entidade em um registro comercial e, separadamente, verifica se quem pediu o certificado tem poderes para vincular essa entidade. Espere extratos de registro e provas de poder de assinatura, e reserve mais tempo de calendário do que um certificado pessoal levaria.
3. 3
   Decida onde a chave privada vai morar. Ou em hardware que você opera, ou seja, um HSM certificado como dispositivo qualificado de criação de selo, ou em um dispositivo remoto operado pelo provedor. Remoto é o que a maioria das equipes escolhe, porque o ato de selar costuma acontecer dentro de um processo automatizado às três da manhã, não na mesa de alguém.
4. 4
   Integre com o que gera os documentos. Os provedores expõem o ato de selar por API, para que seu sistema de faturamento ou de documentos possa chamá-la por arquivo, o que torna isso uma tarefa de integração, não um procedimento de escritório.

O preço funciona de modo diferente dos certificados pessoais. Certificados de selo costumam ser vendidos por organização, com alguma franquia de volume, então o custo escala com quanto você sela, não com o número de funcionários. Os provedores definem e mudam suas tarifas, então junte cotações de dois ou três QTSPs em vez de orçar por um número que você leu em algum lugar.

Aqui está a parte que surpreende: não existe procedimento separado para selos. O Artigo 40 diz que os Artigos 32, 33 e 34 se aplicam mutatis mutandis à validação e à conservação de selos eletrônicos qualificados. Em bom português, a lei aponta para as regras de validação de assinatura qualificada e diz: faça isso. O procedimento técnico por baixo é a ETSI EN 319 102-1, a mesma que qualquer validador sério implementa para assinaturas.

Então um relatório de validação de um arquivo selado responde às mesmas perguntas:

• O hash criptográfico ainda bate com os bytes à sua frente, ou o documento mudou depois de selado?
• A cadeia de certificados chega a uma raiz que o validador reconhece?
• O certificado estava vigente no momento do selamento, e não apenas válido hoje? Dados de revogação por OCSP ou CRL resolvem isso.
• Existe um carimbo de tempo confiável, e ele concorda com o horário de selamento alegado?
• O emissor é um QTSP da Lista de Confiança da UE, e o certificado foi emitido como certificado qualificado para selos?

Essa última verificação separa um selo válido de um selo qualificado, e os dois vereditos não são intercambiáveis. Um selo de uma CA comercial respeitável que não esteja na Lista de Confiança validará sem problemas e ainda assim não será qualificado.

O tipo de arquivo decide qual ferramenta você usa, não o fato de ser um selo. Um PDF selado é um arquivo PAdES, então vai por verificação de assinatura em PDF. Faturas estruturadas e entregas ao setor público costumam ser XAdES. Arquivos italianos .p7m são CAdES, e contêineres .asice são ASiC. A verificação de assinaturas da Chaindoc cobre os quatro formatos e confere os certificados dos signatários contra a Lista de Confiança da UE. Validar em volume, em vez de um arquivo por vez? É para isso que existe a API.

Um aviso prático sobre selos que você pretende guardar. Um selo de nível B não carrega carimbo de tempo, então anos depois nada prova quando ele foi aplicado, e um certificado expirado vira um problema de verdade em vez de um não assunto. Qualquer coisa destinada a arquivo deve ser selada em LT ou LTA, onde os dados de validação viajam dentro do próprio arquivo.

Com um relatório de validação aberto à sua frente, distinguir selo de assinatura leva uns cinco segundos, se você souber onde olhar.

Um certificado de selo eletrônico nomeia uma entidade, não uma pessoa

Um certificado de assinatura traz nome e sobrenome, muitas vezes ao lado de um identificador pessoal nacional. Um certificado de selo não traz nada disso. O que você encontra, em vez disso, é a razão social da organização, o país dela e um identificador de organização.

O identificador de organização tem estrutura

Esse identificador não é campo de texto livre. A ETSI EN 319 412-1 define um prefixo semântico de três letras, depois um código de país, depois o valor registrado. Três aparecem o tempo todo na prática: VAT para número de IVA, NTR para registro comercial nacional e LEI para Legal Entity Identifier. O certificado de selo de uma empresa alemã pode, portanto, trazer VATDE-123456789, enquanto um registro holandês aparece como NTRNL- seguido do número da câmara de comércio.

Confira esse valor contra a entidade que você de fato espera ter emitido o documento. Um selo criptograficamente impecável da empresa errada continua sendo a empresa errada.

Um selo e uma assinatura podem conviver lado a lado

Nada impede que um documento carregue os dois, e em fluxos regulados isso é comum: um responsável nomeado assina, e então o órgão emissor sela o arquivo final. Um relatório de validação lista os dois separadamente, cada um com seu certificado e seu veredito, então leia cada entrada em vez da manchete. Duas entradas válidas significam duas afirmações diferentes sendo feitas, uma sobre a concordância de uma pessoa e outra sobre a emissão por uma organização.

Os padrões de falha se repetem, e quase nenhum deles é técnico.

Selar o que precisava de assinatura

O erro caro. Um selo prova que sua organização emitiu um documento. Não diz nada sobre alguém ter consentido com os termos dele. Se um regulador ou um tribunal precisa de prova de que uma pessoa nomeada concordou, um selo não vai fornecê-la, e você costuma descobrir isso no pior momento possível.

Comprar qualificado quando avançado bastaria

Qualificado custa mais e leva mais tempo para configurar, e a presunção do Artigo 35(2) só se paga onde documentos são de fato contestados. Registros internos e emissões de baixo risco raramente justificam. Selos avançados continuam sendo prova real sob o Artigo 35(1).

Dois erros menores merecem nome. Equipes selam em nível B, arquivam o resultado e descobrem anos depois que nada prova quando o selo foi aplicado. E organizações tratam o certificado de selo como infraestrutura comum, deixando a chave privada ao alcance de qualquer um com acesso a produção, o que desfaz em silêncio o sentido de um dispositivo que o regulamento faz questão de manter sob controle da entidade.

Se você levar uma coisa daqui, que seja casar o instrumento com a afirmação. Um selo eletrônico é uma ferramenta estreita que faz bem um trabalho: provar que sua organização emitiu exatamente este arquivo, inalterado. Assine o que uma pessoa aceita, sele o que sua organização emite, e verifique os dois antes de confiar em qualquer um deles. Tem um arquivo selado à sua frente agora? Passe-o pelo verificador e leia o relatório detalhado em vez do veredito de manchete.