Verificar uma assinatura digital qualificada segundo o eIDAS
Validar uma assinatura eletrônica.
Envie o arquivo assinado e veja a integridade, a cadeia de certificados, a revogação e a qualificação pelo eIDAS em segundos, o bastante para verificar assinatura eletrônica em PAdES XAdES CAdES ASiC. Grátis.O que inclui a validação de assinatura
- Validação de PAdES, XAdES, CAdES e ASiC
- Verificação da cadeia de certificados e da revogação
- Relatório detalhado em segundos
- Seu arquivo nunca é armazenado
Duas coisas que costumam se misturar. Primeira: o arquivo que você envia nunca é armazenado. Segunda: o relatório de validação é guardado, de forma privada, por 7 dias e depois apagado. Passado esse prazo, só fica um registro mínimo na sua conta (resultado, número de assinaturas, data).
Identifique o formato da sua assinatura
Quatro formatos cobrem quase tudo o que você vai encontrar na UE, e o formulário acima aceita todos eles. Se não souber qual está nas suas mãos, envie o arquivo e deixe a detecção resolver. Quando precisar do detalhe de um formato específico, estas páginas vão mais fundo.
Uma assinatura embutida dentro do próprio PDF, perfilada pela ETSI EN 319 142. É o que o Adobe Acrobat, o DocuSign e quase todos os portais públicos europeus geram. Nada viaja separado, então o arquivo se valida sozinho. O detalhe do perfil está em verificação de assinatura PDF.
Assinaturas XML sob a ETSI EN 319 132, as que sustentam a fatura eletrônica europeia (FatturaPA, Facturae) e a maioria das entregas ao setor público. As extensões são .xml e .xsig. Atenção à variante separada, em que a assinatura e os dados assinados vivem em dois arquivos distintos. Veja verificação XAdES.
Assinaturas CMS binárias da ETSI EN 319 122. A firma digitale italiana usa .p7m, que embrulha o documento dentro da assinatura: se seu sistema não sabe abrir, o arquivo não está corrompido. Um .p7s é o primo separado e precisa do arquivo original ao lado. Mais em verificação CAdES.
Um pacote ZIP descrito pela ETSI EN 319 162 que carrega documentos e assinaturas juntos. O ASiC-S contém um único objeto de dados; o ASiC-E contém vários mais um manifesto. As extensões .sce e .scs significam essas mesmas duas coisas. O .bdoc estoniano é um contêiner ASiC-E com um nome mais antigo: renomeie para .asice ou .zip se o envio recusar. Veja verificação ASiC.
O que B, T, LT e LTA significam de verdade
A mesma escada em todos os formatos AdES: XAdES B-B até B-LTA, PAdES-BASELINE-B até LTA, e o equivalente CAdES. Por trás de todos eles há um único procedimento, ETSI EN 319 102-1. O nível de que você precisa depende de por quanto tempo a assinatura tem de continuar demonstrável.
B: a assinatura em si
O certificado do signatário, os atributos assinados e o vínculo criptográfico com o documento: basta para ser uma assinatura eletrônica avançada segundo o eIDAS, mas não diz quando foi assinado.
T: um timestamp de confiança
Um timestamp de uma autoridade de confiança prova que a assinatura já existia antes de um momento determinado. Sem o T, você confia no relógio de outra pessoa.
LT: dados de validação de longo prazo
Empacota a cadeia de certificados e as respostas de revogação (CRL ou OCSP) dentro do próprio arquivo, para que a assinatura se valide mesmo depois que a autoridade emissora sair do ar.
LTA: timestamps de arquivamento
Um timestamp de arquivamento renovado ao longo do tempo, para que a assinatura continue verificável enquanto os algoritmos de hash envelhecem. Exagero para um NDA, certo para um prazo legal de guarda.
O certificado expira. A prova não
A Chaindoc associa cada assinatura que cria a uma trilha em blockchain à prova de adulteração, de modo que o que você ainda poderá comprovar daqui a anos não dependa de um certificado já vencido.
Assinar um documentoO que torna uma assinatura qualificada
Válida e qualificada são dois vereditos diferentes, e confundir os dois é o erro mais comum em uma revisão de conformidade. Uma assinatura pode ser criptograficamente perfeita e ainda assim não ser uma QES. É isto que as separa, e quem decide.
Segundo o eIDAS, uma assinatura eletrônica qualificada exige um certificado qualificado mais um dispositivo qualificado de criação de assinatura. Só uma QES recebe equivalência jurídica automática à assinatura manuscrita em todos os Estados-Membros. Uma assinatura avançada continua admissível como prova, apenas não carrega essa equivalência automática.
Saber se um certificado é qualificado não é questão de julgamento. Os Estados-Membros publicam listas de confiança nacionais conforme a ETSI TS 119 612, agregadas na lista de confiança da UE (EUTL). A Chaindoc compara os certificados de assinatura com a EUTL, então o veredito de qualificação é uma consulta e não uma opinião.
Um prestador de serviços de confiança qualificado (QTSP) é um emissor de certificados que um organismo supervisor nacional auditou e admitiu na lista de confiança. Certificados de um QTSP carregam o status de qualificado. Uma autoridade certificadora comercial absolutamente idônea que não esteja na lista vai produzir assinaturas válidas que não são qualificadas, e isso surpreende mais gente do que deveria.
Um selo eletrônico comprova origem e integridade para uma pessoa jurídica, em vez da vontade de uma pessoa física. Faturas, certidões de registro e entregas automatizadas costumam levar um selo, não uma assinatura. Os selos qualificados sobem a mesma escada de B a LTA e são validados aqui do mesmo jeito.
Assinaturas válidas sob o eIDAS
A Chaindoc une cada assinatura eletrônica a uma trilha de auditoria em blockchain à prova de adulteração, validada pelas mesmas regras EU DSS desta ferramenta. Assine documento digitalmente, grátis — e quando o contrato exigir mais, o relatório mostra.
O relatório chegou. E agora?
Um veredito só serve se você souber o que fazer com ele. Estes são os quatro resultados que você vai encontrar de verdade, e como cada um costuma ser resolvido.
Válida e qualificada
Acabou. O relatório registra o signatário, o certificado, o timestamp e a âncora de confiança como estavam na verificação, e fica 7 dias na sua conta. Se a assinatura for de nível B ou T, salve sua própria cópia antes: os dados de revogação em que ela se apoiou não continuarão acessíveis.
Válida mas não qualificada
É comum e quase sempre tudo bem. A assinatura se sustenta criptograficamente; o emissor é que não está na lista de confiança. Isso é política interna, não técnica. O guia da assinatura eletrônica qualificada percorre onde uma assinatura avançada basta e onde uma QES é exigida.
Inválida: falhou a integridade
O documento mudou depois de assinado, nem que fosse um único byte. Achatar, salvar de novo ou passar um OCR já basta, e nada disso é malicioso. Peça ao remetente o arquivo assinado original, não uma cópia que passou por um sistema de gestão de documentos.
Inválida: falhou a confiança ou a revogação
A criptografia está certa, mas a cadeia não chega a uma raiz confiável ou algum certificado foi revogado. Nenhum dos dois é definitivo. As perguntas abaixo leem cada caso; conformidade com eIDAS, GDPR e NIST conta o que documentar. Verificações em volume? Veja preços e a API.
Quando a validação falha, e o que isso significa
As perguntas que aparecem quando o relatório não diz o que você esperava. Tem mais na nossa página de suporte.
Significa que o validador seguiu o certificado até o emissor e não encontrou ali nenhuma raiz que reconheça. Quase sempre é uma autoridade certificadora interna ou nacional que não está na lista de confiança da UE, não um ataque. A assinatura pode continuar impecável do ponto de vista criptográfico. Veja quem emitiu o certificado e só então decida se a sua política aceita aquele emissor. Se for sua própria PKI interna, acrescentar as suas âncoras de confiança é o caminho certo de verdade, não um remendo.
Quase sempre porque o documento mudou depois de assinado. Uma assinatura se compromete com o hash de bytes específicos, então qualquer edição a quebra, inclusive as que parecem inofensivas: salvar de novo com outro motor de PDF, achatar anotações, passar um OCR ou deixar um gateway de e-mail reescrever o anexo. Não precisa ter acontecido nada malicioso. Há um caso próprio do PDF que vale conhecer antes de acusar alguém: um PDF pode carregar revisões acrescentadas depois, então uma assinatura pode legitimamente cobrir uma revisão anterior e não a versão que você está olhando agora. Verifique qual revisão ela cobre. Se não for isso, peça ao remetente o arquivo exatamente como saiu da ferramenta de assinatura, não uma cópia que passou por um sistema de gestão de documentos.
Duas causas habituais. Ou a assinatura é separada e vive em um arquivo à parte, e aí o que você enviou realmente não carrega nenhuma. Ou o que está no documento é uma imagem de assinatura, um escaneamento ou um rabisco desenhado, sem criptografia por trás e sem nada para validar.
Porque as assinaturas separadas não contêm os dados que assinam. Um arquivo .p7s, e alguns .xml e .xsig, guardam o certificado do signatário e um hash, nada mais. Sem o original não há o que recalcular nem com o que comparar. Envie as duas coisas: o arquivo de assinatura e exatamente o documento sobre o qual ele foi assinado. Exatamente é a palavra que importa, porque uma versão reexportada ou salva de novo não vai bater.
Não, e é aqui que mais gente tropeça. O que conta é se o certificado era válido no momento da assinatura, não se é válido hoje. É exatamente para isso que existe o timestamp de confiança: ele prova que a assinatura já existia enquanto o certificado ainda estava vigente. Sem timestamp, numa assinatura de nível B pura e simples, você não consegue provar quando ela foi feita, e aí sim um certificado expirado vira um problema de verdade.
Guias de eIDAS e assinatura qualificada
Onde uma assinatura avançada basta, onde uma QES é exigida e o que o eIDAS 2.0 muda para as equipes que coletam assinaturas na UE.
