Como escolher uma API assinatura eletrônica: sete fornecedores comparados

Uma API assinatura eletrônica (também chamada de API de assinatura eletrônica, e-signature API ou eSignature API) deixa o seu código enviar um documento para assinar, acompanhar o status e baixar o arquivo assinado sem que ninguém abra um painel. Comparamos sete fornecedores com base no que eles mesmos publicam. Os pontos de entrada pagos mais baixos que encontramos: a SignWell, a US$ 0,85 por documento depois de 25 gratuitos no mês; o plano de API da PandaDoc, a US$ 40 por mês para 40 documentos (a página não informa o ciclo de cobrança); e o plano para desenvolvedores Starter da DocuSign, a US$ 50 por mês com cobrança anual.

O preço é a parte fácil. O que decide se você ainda gosta de uma API de assinatura eletrônica um ano depois são quatro perguntas: qual unidade você paga, como ela autentica, se os webhooks são assinados e quanto vale um envio de teste. Essas quatro eliminam mais fornecedores do que qualquer preço de tabela.

Se você vai construir sobre a Chaindoc, a API REST e os webhooks vêm com o plano Business, a € 29 por mês com cobrança mensal. Cada informação sobre um fornecedor vem, abaixo, da página dele, com a data em que a lemos.

Toda API assinatura eletrônica faz as mesmas quatro tarefas: criar uma solicitação, levá-la ao signatário, avisar o que aconteceu e entregar o arquivo assinado com a evidência. As diferenças estão em como cada tarefa é construída e cobrada. Estas são as perguntas que valem a pena antes de marcar uma demonstração:

• Modelo de autenticação. OAuth, chaves de API ou os dois, e se existe uma chave somente de leitura que você possa colocar no navegador.
• Assinatura incorporada ou por e-mail. Os signatários conseguem assinar dentro do seu aplicativo, e isso vem no plano que você de fato vai comprar?
• Webhooks: as cargas são assinadas, existe janela contra repetição e dá para ver o que foi entregue?
• Modelos. Uma única chamada que preenche um modelo salvo e já envia poupa muito código de posicionamento de campos.
• Um sandbox gratuito, separado da produção e honesto sobre o que valem os envios feitos nele.
• A unidade de preço. Envelope, solicitação de assinatura, documento, convite ou assinatura, mais o ciclo de cobrança.
• Exportação de evidências: o PDF assinado, a trilha de auditoria e as provas pela API, e não só por um painel.
• A marca na página de assinatura e nos e-mails, e em qual plano ela entra.
• Ordem de assinatura e limites de requisições, as duas restrições que as equipes descobrem por último.

A tabela coloca cada pergunta ao lado do que a documentação da Chaindoc responde, para que você meça todos os outros fornecedores pela mesma lista.

Os preços de uma API assinatura eletrônica são mais públicos do que a fama sugere. Seis dos sete fornecedores aqui publicam um preço de entrada. A Adobe vende o acesso à API junto com a oferta corporativa do Acrobat Sign, e um preço público de API não consta em nosso registro (2026-10-14). Os demais seguem três modelos:

• Planos para desenvolvedores com franquia mensal: DocuSign, Dropbox Sign e PandaDoc.
• Um pacote anual de convites ou uma licença por convite: SignNow.
• Pagamento por documento depois de uma franquia mensal gratuita: SignWell.

A Chaindoc não tem uma tabela de preços de API separada. A API vem dentro da assinatura Business, então a unidade é a mesma franquia de assinaturas que o aplicativo web usa.

Preços da API do DocuSign, plano a plano

A DocuSign cobra os planos para desenvolvedores à parte dos planos de eSignature por usuário. Na página de preços para desenvolvedores dos EUA, lida em 14 de outubro de 2026, o Starter custa US$ 50 por mês com cobrança anual (US$ 600 por ano) ou US$ 75 com cobrança mensal, a partir de 40 envelopes por mês. O Intermediate custa US$ 300 por mês com cobrança anual, a partir de 100 envelopes, e o Advanced US$ 480 por mês com cobrança anual. O Enhanced passa pelo comercial, com mínimo de cinco usuários. Você não precisa de nenhum deles para construir, porque a conta gratuita de desenvolvedor cobre isso. Para os planos por usuário, veja os planos de eSignature da DocuSign, explicados.

A maioria dos fornecedores de API de assinatura eletrônica usa um de dois modelos de autenticação. Chaves de API são simples: um segredo, um cabeçalho, acesso total à sua própria conta. O OAuth 2.0 dá mais trabalho para configurar, mas deixa o seu aplicativo agir dentro da conta de um cliente com acesso limitado e revogável. Isso importa se você constrói um produto ao qual outras empresas ligam a própria conta de assinatura. O glossário da Dropbox Sign traça bem a linha: a chave de API para a sua conta, um token OAuth para a conta de outra pessoa.

Qualquer que seja o modelo, confira três coisas. Existe uma chave somente de leitura que você possa colocar em código de frontend? Dá para rotacionar as chaves sem derrubar nada? E o sandbox divide conta com a produção ou vive separado?

A referência da Chaindoc documenta chaves de API, não OAuth: uma chave pk_ somente de leitura para o navegador e uma chave sk_ de acesso total para o servidor. Isso atende bem a integração de uma única empresa. Para um produto multi-inquilino em que cada cliente traz a própria conta de assinatura, um fluxo OAuth combina mais, e DocuSign, Dropbox Sign, PandaDoc e SignNow documentam um cada.

A assinatura incorporada mantém o signatário dentro do seu produto. Seu backend abre uma sessão de vida curta e a tela de assinatura carrega em um iframe na sua página. A assinatura por e-mail envia, em vez disso, um link para a página hospedada do fornecedor. Usuários logados no seu aplicativo costumam receber a primeira; contrapartes que nunca vão criar uma conta, a segunda. A maioria das integrações em produção acaba rodando as duas, e tudo bem.

Na Chaindoc, embeddedFlow: true na solicitação de assinatura liga o caminho incorporado. Seu servidor chama POST /embedded/sessions, passa o ID da sessão ao Embed SDK, e o signatário confirma um código de uso único enviado ao e-mail dele antes de assinar. Uma sessão dura 10 minutos. Com o indicador desligado, o signatário recebe por e-mail um link para uma página de assinatura hospedada.

Descubra em que plano a assinatura incorporada está antes de desenhar uma integração em torno dela. Na tabela de preços para desenvolvedores da DocuSign nos EUA, lida em 14 de outubro de 2026, o envio incorporado está marcado em todos os planos de desenvolvedor, enquanto a linha de assinatura incorporada só está marcada nos planos Enhanced, vendidos pelo comercial. Pergunte à DocuSign qual plano cobre exatamente o fluxo que você pretende lançar. A Dropbox Sign cita a assinatura incorporada entre as funções da sua API; em que plano ela vem não consta em nosso registro (2026-10-14).

Em uma integração com uma API assinatura eletrônica, um webhook que o seu servidor perde em silêncio é pior do que não ter webhook. O seu sistema acha que sabe o estado do contrato e está errado. Três verificações separam um desenho de webhooks confiável de outro que acorda você às 2 da manhã.

Verifique a assinatura de cada carga

Confira a assinatura HMAC antes de acreditar em qualquer coisa do corpo, e calcule-a sobre os bytes brutos, nunca sobre um JSON que você analisou e serializou de novo. A documentação de webhooks da Chaindoc assina {timestamp}.{rawBody} com HMAC-SHA256 e envia o resumo hexadecimal, com o prefixo v1=, em X-Chaindoc-Signature, com o carimbo de data e hora em X-Chaindoc-Timestamp. Sem essa verificação, qualquer pessoa que descubra a URL do seu endpoint pode postar um evento falso de assinatura concluída.

Rejeite repetições e duplicatas

O mesmo evento pode chegar duas vezes. Guarde o ID de entrega (a Chaindoc envia um UUID em X-Chaindoc-Delivery-Id) e ignore as repetições. O Server SDK da Chaindoc também rejeita entregas cujo carimbo de data e hora esteja a mais de cinco minutos do relógio do seu servidor, o que corta a maior parte das repetições.

Confirme rápido, trabalhe depois

A Chaindoc só considera uma entrega bem-sucedida se o seu endpoint responder com um 2xx em até 30 segundos. Ela tenta de novo algumas vezes uma entrega que falhou, com espera crescente, depois desiste, e, após falhas repetidas em muitos eventos, desativa a entrega para aquela chave. Responda 200 logo, ponha o evento em uma fila e faça lá o trabalho lento. Os webhooks são um recurso do plano Business, configurado por chave de API no painel, com logs em Settings → API Access → Webhook logs.

Faça as mesmas perguntas a cada fornecedor da sua lista: qual cabeçalho leva a assinatura, o que exatamente é assinado, quanto dura a janela de novas tentativas e onde você vê o que foi enviado. Se um fornecedor não sabe dizer se um webhook chegou, você vai depurar às cegas. O fluxo de eventos é também metade das suas provas, então leia o que uma trilha de auditoria defensável contém antes de decidir o que guardar.

Uma API assinatura eletrônica é só o transporte. O efeito jurídico depende da lei que rege o negócio e do tipo de assinatura, não de a solicitação ter saído de um painel ou de uma chamada POST.

No Brasil, a regra de base para contratos entre particulares é a Medida Provisória nº 2.200-2/2001. Pelo art. 10, os documentos eletrônicos são documentos públicos ou particulares para todos os fins legais. Pelo § 1º, as declarações em documentos produzidos com certificação ICP-Brasil presumem-se verdadeiras em relação aos signatários. Pelo § 2º, outros meios de comprovar autoria e integridade, inclusive certificados não emitidos pela ICP-Brasil, continuam valendo, desde que admitidos pelas partes como válidos ou aceitos pela pessoa a quem o documento for oposto. E pelo art. 107 do Código Civil, a validade da declaração de vontade só depende de forma especial quando a lei a exigir expressamente, como a escritura pública em certos negócios com imóveis (art. 108).

A Lei nº 14.063/2020 classifica as assinaturas em simples, avançada e qualificada (art. 4º). A qualificada é a que usa certificado digital da ICP-Brasil, no nível mais alto de confiabilidade. Só que essa classificação está no capítulo sobre interações com entes públicos, e o parágrafo único do art. 2º deixa de fora as interações entre pessoas naturais ou entre pessoas jurídicas de direito privado. Entre particulares, vale a regra geral da MP 2.200-2. É por isso que a API de Assinatura Digital Avançada do gov.br, que costuma aparecer nas buscas por API de assinatura digital, não serve a contratos entre empresas: o catálogo a descreve como destinada a interações com o Poder Público.

Em Portugal, a regra vem do eIDAS, que vale diretamente. O art. 25 do Regulamento (UE) n.º 910/2014 impede negar efeito jurídico a uma assinatura eletrônica só por ela ser eletrônica e reserva a equivalência à assinatura manuscrita para a assinatura eletrônica qualificada (QES); o art. 26 fixa quatro requisitos para a avançada (AES): ligação unívoca ao signatário, possibilidade de identificá-lo, criação com dados que ele mantém sob o seu controle exclusivo e ligação aos dados assinados de modo que qualquer alteração posterior seja detectável. O Decreto-Lei n.º 12/2021 executa o regulamento na ordem interna portuguesa. Não há ICP-Brasil por lá: a qualificada é a emitida por um prestador qualificado da lista de confiança da UE.

Os fornecedores ocupam degraus diferentes dessa escada, e o plano importa. A tabela para desenvolvedores da DocuSign indica o nível simples (SES) em Starter, Intermediate e Advanced, e SES, AES e QES no Enhanced. A documentação da Chaindoc descreve as próprias assinaturas como assinaturas eletrônicas avançadas PAdES com evidência em blockchain. A Chaindoc não é prestadora de serviços de confiança nem emite certificados ICP-Brasil: se você precisa da presunção do § 1º, o certificado tem de vir de uma autoridade certificadora credenciada na ICP-Brasil. Em contratos entre particulares no Brasil, uma assinatura desse tipo se enquadra no § 2º: vale quando as partes a admitem como válida ou quem recebe o documento a aceita. Nosso guia sobre assinaturas eletrônicas qualificadas explica o conceito europeu. Com uma contraparte nos Estados Unidos, vale o ESIGN Act: ele impede negar efeito jurídico a uma assinatura ou a um contrato, no comércio entre estados ou com o exterior, só porque são eletrônicos (15 U.S.C. § 7001(a)). Isto é um resumo das normas, não aconselhamento jurídico.

Nenhuma API de assinatura eletrônica vence em todas as linhas, e uma comparação que fingisse o contrário não serviria para você. Pelo que lemos, é nisto que cada fornecedor lidera:

• DocuSign tem as ferramentas mais completas para desenvolvedores: SDKs nas linguagens comuns, projetos Quickstart para baixar, coleções do Postman e uma conta gratuita de desenvolvedor que não expira. Os planos Enhanced listam AES e QES na tabela de preços.
• Dropbox Sign publica SDKs oficiais em seis linguagens (Python, Ruby, PHP, Java, NodeJS e C#), e as solicitações em modo de teste não contam contra a sua franquia.
• A PandaDoc oferece uma faixa de API gratuita com 60 documentos por ano e sandbox completo, sem cartão.
• SignNow combina um Dev Mode gratuito com convites de teste ilimitados e 250 convites grátis para experimentar em produção.
• O Adobe Acrobat Sign tem uma Developer Edition gratuita com acesso à API, além de um programa de parceiros OEM e incorporados, à parte, para fabricantes de software.
• SignWell tem o menor preço de entrada por unidade que encontramos: a partir de US$ 0,85 por documento depois de 25 gratuitos por mês.
• A Chaindoc põe chaves de API e webhooks em um único plano fixo em euros, acrescenta um registro de verificação em blockchain a cada versão de documento publicada e conduz contratos com faturas pela mesma API. Os limites também são reais: dois SDKs em TypeScript (qualquer cliente HTTP serve), convites enviados todos de uma vez pela API, nenhum certificado qualificado próprio e um limite de requisições por chave.

Se a DocuSign é o fornecedor que você está trocando, nossa página sobre como a Chaindoc se compara à DocuSign vai plano a plano. Se o seu público é brasileiro, vale ter na lista curta também fornecedores locais, como Clicksign, D4Sign e ZapSign; este comparativo não os cobre.

As chaves de API e os webhooks da API da Chaindoc vêm com o plano Business: € 29 por mês com cobrança mensal ou € 278 com cobrança anual, com 100 assinaturas por mês e € 9 por mês para cada 10 a mais (veja os planos da Chaindoc). No plano Team, o acesso à API é liberado sob consulta; Free e Personal não o incluem.

O bom encaixe é um produto que precisa de assinatura, prova e pagamento em um único fluxo. A mesma API cria documentos, envia solicitações de assinatura, preenche modelos e conduz contratos com faturas e configuração de pagamento. Ao publicar um documento, o hash da versão que o servidor calculou no upload é gravado na blockchain, e a prova de cada signatário é registrada quando a solicitação se conclui. GET /documents/versions/:versionId/verification devolve o hash da transação e o ID da cadeia, que vale guardar junto com os seus registros. As verificações de identidade são opcionais, por solicitação: ative isKycRequired: true quando um negócio pedir; o Business inclui 10 por mês.

Já um fluxo que dependa de ordem de assinatura pela API encaixa mal. Uma solicitação feita pela API convida todo mundo de uma vez; uma ordem de assinatura definida existe pelas rotas de aprovação do aplicativo web no Business. E se fluxos conduzidos por agentes de IA estão no seu roteiro, o pacote público @chaindoc_io/mcp-server envolve a mesma API; o servidor MCP da Chaindoc para agentes de IA explica o pacote.

Dê a cada finalista os mesmos cinco dias.

1. 1.
   Autentique e envie, no sandbox, uma solicitação baseada em um modelo.
2. 2.
   Monte o caminho incorporado e o caminho por e-mail.
3. 3.
   Verifique as assinaturas dos webhooks, repita uma entrega e derrube o seu endpoint por uma hora para ver as novas tentativas.
4. 4.
   Exporte o arquivo assinado e a evidência de auditoria pela API. É o passo que mais se pula e o que mostra o que você poderia apresentar a um juiz.
5. 5.
   Calcule o seu volume mensal real na unidade de cada fornecedor, com o ciclo de cobrança que você de fato escolheria.

A API assinatura eletrônica que passar essa semana sem um chamado de suporte costuma ser a que vale comprar.