Validar assinatura Adobe: o que fazer quando a validade da assinatura é desconhecida

Você abre um contrato assinado e uma barra amarela atravessa o topo da página: "Pelo menos uma assinatura apresenta problemas." Parece uma acusação. Quase nunca é. Quem digita "validar assinatura Adobe" na busca costuma ter essa barra na tela. Se, ao clicar na assinatura, você ler que a validade da assinatura é desconhecida, também não é o que parece.

O Acrobat faz duas verificações separadas em cada assinatura, e o guia de validação de assinaturas da própria Adobe (em inglês) diz que o status depende das duas. A primeira é a integridade do documento: os bytes assinados mudaram desde que a assinatura foi aplicada? A segunda é a identidade do signatário: o certificado de assinatura chega a um certificado em que o seu Acrobat confia, e era válido no momento que o Acrobat usa como referência? Se qualquer uma das duas não passar limpa, em qualquer assinatura do arquivo, a barra aparece.

Na prática, quem falha com muito mais frequência é a verificação de identidade. O seu leitor não foi avisado de que deve confiar em quem emitiu o certificado: o arquivo está bom, e o buraco está na lista de confiança do seu computador. Isso é com você, não com quem enviou.

Mais raro, e vale a pena flagrar, é o documento ter mudado de fato depois de assinado. A tabela abaixo separa cada mensagem em um desses dois grupos, e um validador que mostra cada verificação em separado diz em qual deles você está.

Abra o painel de assinaturas e a barra fica mais específica. Sob uma assinatura, a linha mais comum é "A validade da assinatura é DESCONHECIDA", e abaixo dela vêm duas frases que importam mais que a manchete.

Uma diz se o documento foi modificado desde que a assinatura foi aplicada. A outra diz se a identidade do signatário é conhecida. Quando a primeira indica que o documento não foi modificado desde a assinatura e a segunda fala em identidade desconhecida, você já sabe o essencial: o conteúdo é exatamente o que foi assinado, e o que o Acrobat não consegue garantir é quem assinou.

Há três motivos comuns:

• A autoridade certificadora emissora não está em nenhuma lista que o seu Acrobat traz, ou a sua cópia dessas listas está desatualizada.
• O certificado é autoassinado, e nenhum leitor confia por conta própria numa identidade autoassinada.
• Não foi possível obter os dados de revogação, e a verificação parou antes de chegar a um sim.

Quando a validade da assinatura é desconhecida num PDF de um portal público ou de um grande fornecedor, quase sempre é o primeiro motivo. Em arquivos ICP-Brasil, vale também a seção sobre e-CPF e e-CNPJ, mais abaixo.

Quem tenta validar assinatura Adobe esbarra logo nisto: não existe uma lista mundial única de signatários confiáveis. O Acrobat monta o seu veredito a partir de uma pequena pilha de fontes, por isso o mesmo PDF assinado pode ser válido numa mesa e desconhecido na do lado, sem que ninguém esteja errado.

Primeiro vem a Adobe Approved Trust List, o programa da Adobe para autoridades certificadoras e provedores de carimbo de tempo cujos certificados o Acrobat e o Reader aceitam de fábrica. Quando contamos a página de membros da AATL em 14 de outubro de 2026, ela listava 92 provedores: autoridades comerciais como DigiCert, GlobalSign e Sectigo, ao lado de órgãos nacionais como a CCA da Índia e, no Brasil, o ITI, que é a Autoridade Certificadora Raiz da ICP-Brasil, além da DigitalSign em Portugal. Se o emissor da sua assinatura aparece nessa página e o aviso continua, é provável que a culpa seja da sua cópia local da lista.

Depois vem a lista de confiança da UE. Pelo artigo 22 do Regulamento eIDAS, cada Estado-Membro publica a lista dos seus prestadores qualificados de serviços de confiança, e a página da Adobe sobre a EUTL conta mais de 400 prestadores ativos e antigos. O Acrobat não consulta essas listas ao vivo. Ele guarda um instantâneo, limitado a prestadores de certificados de assinatura, de selo e de carimbo de tempo, atualizado mais ou menos uma vez por mês, e por isso um prestador recém-incluído pode aparecer como desconhecido por algumas semanas.

Por fim vem o seu próprio computador: os certificados que você adicionou aos confiáveis e, no Windows, opcionalmente as raízes do repositório de certificados do Windows, nas quais o Acrobat pode ser configurado para confiar ao validar assinaturas.

Tudo que ficar fora dessas três fontes provoca o aviso. Uma autoridade certificadora interna de empresa provoca, uma identidade autoassinada que alguém criou no editor de PDF também, e uma autoridade nacional que não está em nenhuma das duas listas idem. Sinceramente, é o ponto que a maioria dos guias pula, e ele muda o que você deve fazer. Antes de confiar em qualquer coisa à mão, veja se o emissor já está listado. Se estiver, atualize. Se não, você está tomando uma decisão de confiança, e saber o que um certificado qualificado atesta vale cinco minutos antes de tomá-la.

No Brasil, a maior parte dos PDFs em que aparece "a validade da assinatura é desconhecida" traz um certificado ICP-Brasil: e-CPF ou e-CNPJ, de pessoa física ou jurídica, em notas, contratos, laudos e processos. A Medida Provisória 2.200-2/2001 deu a esses documentos presunção de veracidade em relação aos signatários (art. 10, § 1º), e a Lei 14.063/2020 chama de qualificada a assinatura que usa certificado digital nesses termos (art. 4º, III).

Não comece importando a raiz à mão. O ITI, que a própria MP 2.200-2 define como Autoridade Certificadora Raiz da ICP-Brasil (art. 13), consta na página de membros da AATL da Adobe. O primeiro remédio é o passo 4: Atualizar agora para a AATL e abrir o arquivo de novo. A página não diz qual raiz a Adobe usa para o item do ITI; se a cadeia do passo 3 ainda terminar numa raiz que o Acrobat desconhece, compare-a com as informações do próprio ITI antes de confiar.

Se o Acrobat não resolver, ou se você só quer o veredito brasileiro, use o VALIDAR, o validador do ITI, em validar.iti.gov.br. Segundo a página, ele mostra o status de assinaturas eletrônicas ICP-Brasil, GOV.BR ou provenientes de acordos internacionais de reconhecimento mútuo. Há uma pegadinha, descrita na página de dúvidas do ITI: em PDFs, o VALIDAR procura os recursos DocMDP ou FieldMDP, que o software de assinatura precisa ter implementado, e sem eles o resultado pode sair "indeterminado" mesmo com a assinatura em ordem. Já "assinatura desconhecida" no VALIDAR quer dizer que a âncora de confiança não foi reconhecida, e aceitar ou não o documento fica a critério de quem o recebe.

Uma limitação do nosso lado, dita uma vez só: o validador da Chaindoc se ancora na lista de confiança da UE e não resolve cadeias ICP-Brasil. Para essas, use o Acrobat com a AATL em dia ou o VALIDAR.

O Acrobat não é o único leitor que avisa, e alguns não verificam nada. Dependendo do programa, a mensagem vira "assinatura não verificada" ou "assinatura inválida"; por trás, costuma estar a mesma falta de confiança.

O Foxit PDF Reader faz a própria validação. Segundo o manual, a assinatura pode aparecer como desconhecida ou não verificável até você adicionar o emissor aos certificados confiáveis dele, e, se você ativar, ele também pode aproveitar as raízes do repositório de certificados do sistema operacional. O manual não menciona a AATL nem as listas da UE: um PDF que fica verde no Acrobat pode ficar desconhecido no Foxit, no mesmo computador.

A Pré-Visualização do macOS é o caso oposto. O guia da Apple explica como capturar uma assinatura com o trackpad, com a câmera ou com um iPhone, e não diz nada sobre verificar certificados. Um arquivo assinado pode parecer impecável ali sem que a Pré-Visualização tenha conferido nada. Se você não tem certeza do tipo de assinatura que tem em mãos, veja a diferença entre uma assinatura desenhada e uma assinatura com certificado.

No celular, depende do aplicativo. Se o seu leitor não mostra painel de assinaturas nem detalhes do certificado, ele não verificou nada, por mais arrumada que a página pareça.

Às vezes o painel diz que o documento foi alterado ou corrompido desde a assinatura, ou marca a assinatura como inválida, com o aviso "pelo menos uma assinatura é inválida". Aí é a verificação de integridade que falha, e nenhuma configuração de confiança mexe nisso. A versão assinada, aberta pelo painel de assinaturas, mostra exatamente o que foi assinado; compare com o que você recebeu e peça o original ao remetente.

Uma distinção ajuda. Um PDF certificado pode permitir preencher formulários ou comentar depois da assinatura, e o Acrobat lista isso como alterações permitidas, não como falhas. "Inválida" é diferente de "apresenta problemas": pede uma ligação para o remetente, não uma mudança de configuração.

Se os destinatários vivem avisando da barra nos arquivos que você assina, o conserto está do seu lado, e quase sempre é questão de certificado. Quando o seu PDF mostra assinatura digital inválida para quem recebe, estes pontos ajudam.

• Pare de usar identidade autoassinada em documentos que saem da empresa. O Acrobat e o Foxit criam uma em um minuto, e nenhum leitor dos destinatários confia nela por padrão.
• Use um certificado de assinatura de PDF de um emissor listado. O certificado de assinatura de documentos de um membro da AATL abre como confiável no Acrobat e no Reader. Um certificado ICP-Brasil termina na raiz do ITI, e o ITI consta na lista de membros; o de um prestador qualificado de uma lista da UE é reconhecido também pelo instantâneo da EUTL da Adobe, depois do atraso de atualização.
• Adicione um carimbo de tempo confiável se a sua ferramenta oferecer. A norma PAdES do ETSI descreve o nível B-T como o acréscimo de um token que prova que a assinatura existia num dado momento, de modo que um validador pode mostrar que ela é anterior ao vencimento do certificado.
• Abra um arquivo assinado num computador que não seja o seu antes de enviar um lote.

Assinar por um serviço muda quem guarda o certificado, não como os leitores o julgam. Um PDF assinado com a Chaindoc é um arquivo PAdES como outro qualquer, então tudo o que está acima sobre a AATL e as listas da UE vale para ele. Na assinatura qualificada, a Chaindoc assina em PAdES-BES, que não leva token de carimbo de tempo; por isso o Acrobat informa a hora da assinatura pelo relógio do sistema que assinou, e não por um servidor de carimbo. Se você envia documentos para assinatura a destinatários que abrem no Acrobat, vale saber disso antes da primeira dúvida.

A marca verde responde a uma pergunta técnica. A norma de validação do ETSI, a EN 319 102-1, chama o melhor resultado de TOTAL-PASSED e acrescenta que isso não significa necessariamente que a assinatura sirva para um propósito específico. Três coisas ficam de fora.

Quem assinou

Uma assinatura impecável pode pertencer à empresa errada. Abra o titular (Subject) do certificado e compare o nome da organização com a parte com quem você de fato está lidando. A fraude de desvio de pagamento vive de um nome quase certo.

Se é qualificada

Pelo artigo 32 do eIDAS, uma assinatura qualificada exige um certificado qualificado de um prestador qualificado, válido na hora da assinatura, criado num dispositivo qualificado de criação de assinaturas e com os dados assinados íntegros. No Brasil o critério é outro: a Lei 14.063/2020 (art. 4º) chama de qualificada a assinatura que usa certificado digital ICP-Brasil, e a MP 2.200-2 (art. 10, § 2º) admite outros meios de comprovar autoria e integridade, se as partes aceitarem. Em Portugal vale o quadro do eIDAS, que o Decreto-Lei 12/2021 executa na ordem jurídica nacional. O Acrobat só indica o status qualificado da UE quando a cadeia se resolve no instantâneo da UE. Veja quando a assinatura qualificada é o padrão legal.

Se o conteúdo está certo

Dá para assinar perfeitamente um total de fatura errado.

Então, depois de validar assinatura Adobe, como conferir direito a validade de uma assinatura digital? Integridade, uma cadeia confiável, a revogação na hora da assinatura e, por fim, a sua própria leitura do titular. Esse último passo é o que ninguém automatiza.

Talvez você prefira não mexer nas configurações de confiança de um notebook de trabalho, ou nem tenha o Acrobat. Um validador no navegador faz o trabalho com os certificados no próprio servidor, o que também o torna o caminho prático no celular.

O serviço de verificação da Chaindoc roda as verificações pela biblioteca EU DSS, com a lista de confiança da UE e as grandes autoridades comerciais como âncoras de confiança, e devolve integridade, cadeia, revogação, carimbos de tempo e perfil PAdES como resultados separados. Você confirma o seu e-mail com um código de uso único antes do primeiro relatório. Se a integridade passa e só a cadeia falha, o aviso é sobre confiança, e você decide com calma o que fazer no Acrobat. Para assinaturas ICP-Brasil e gov.br, o caminho é o VALIDAR do ITI, descrito acima. Em Portugal, o Validador de Assinaturas e Certificados, publicado em validador.autenticacao.gov.pt, aceita PDF e ASiC e dá acesso à lista de listas de confiança da UE.

Não é PDF? O mesmo serviço trata arquivos XAdES, CAdES e ASiC. E se a pergunta é maior que uma assinatura, comece por conferir se um arquivo recebido é autêntico.

Para validar assinatura Adobe quando a validade é desconhecida, a ordem não muda: descubra qual verificação falhou, conserte a confiança só do seu lado e devolva ao remetente as falhas de integridade.