Um verificador de assinatura digital é uma ferramenta que analisa evidências criptográficas para informar se uma assinatura eletrônica está íntegra, se o certificado ou método utilizado é reconhecido e se o documento sofreu alterações relevantes após a assinatura. Ele não confirma se o conteúdo do documento é verdadeiro nem elimina, sozinho, todo risco de fraude.
No Brasil, o principal serviço público para essa finalidade é o VALIDAR, mantido pelo Instituto Nacional de Tecnologia da Informação (ITI). Ele verifica assinaturas eletrônicas qualificadas da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), assinaturas avançadas do GOV.BR e assinaturas abrangidas por acordos de reconhecimento oficialmente aceitos pelo país.
Para quem utiliza certificado digital, entender o resultado de um validador ajuda a separar aparência visual, integridade criptográfica, identidade do signatário e validade jurídica. A seguir, mostramos o que o verificador realmente analisa e como usar o serviço atual do ITI.
Resumo
- O verificador analisa integridade, autoria e conformidade da assinatura eletrônica; ele não atesta a veracidade do conteúdo do documento.
- O VALIDAR do ITI verifica assinaturas qualificadas ICP-Brasil e assinaturas avançadas GOV.BR, além de infraestruturas oficialmente reconhecidas.
- Os resultados podem ser Aprovado, Reprovado ou Indeterminado, e o relatório de conformidade explica os motivos.
- Alterar um arquivo depois de assinado não é tecnicamente impossível; a mudança pode, porém, comprometer a verificação da assinatura.
- Carimbo do tempo é uma evidência adicional importante, mas não é requisito universal de toda assinatura eletrônica.
- A ZapSign também mantém um validador próprio para documentos e tokens gerados em seus fluxos.
Fatos rápidos
- Serviço gratuito: o GOV.BR informa que qualquer cidadão pode utilizar gratuitamente o VALIDAR para conferir autoria e integridade de assinaturas eletrônicas compatíveis.
- Não valida o conteúdo: o termo oficial do VALIDAR esclarece que o serviço confere o status da assinatura, mas não a veracidade do conteúdo do documento submetido.
- Privacidade: o portal oficial informa que os arquivos enviados para validação não ficam armazenados nos ambientes operacionais do ITI.
O que é um verificador de assinaturas?
Um verificador de assinaturas é um sistema que examina os elementos técnicos de uma assinatura eletrônica e apresenta um resultado sobre sua conformidade. Na ICP-Brasil, essa análise segue as regras da infraestrutura instituída pela MP nº 2.200-2/2001 e as políticas técnicas vigentes.
Na prática, o validador procura responder perguntas como: o documento foi modificado depois da assinatura? O certificado pertence a uma cadeia de confiança reconhecida? Ele estava em situação adequada para aquela assinatura? Há informações suficientes para concluir a análise?
O resultado não deve ser interpretado como uma sentença sobre a validade de todo o negócio jurídico. Um documento pode ter uma assinatura tecnicamente aprovada e ainda conter informações falsas ou enfrentar outras questões jurídicas; da mesma forma, um resultado indeterminado pode exigir análise do relatório antes de qualquer conclusão.
Por que verificar a segurança de uma assinatura digital?
Contas online, serviços bancários e plataformas do governo usam diferentes mecanismos de autenticação, mas nenhum controle isolado elimina risco. Por isso, em documentos importantes, faz sentido verificar a assinatura e preservar as evidências do fluxo.
A versão anterior deste artigo citava um episódio de ransomware e números de 2019 e 2020. O link foi preservado como referência histórica, mas esses dados antigos não são mais usados para dimensionar o risco atual.
Na assinatura com certificado, a criptografia permite detectar alterações incompatíveis com a assinatura e verificar a relação entre a chave pública, o certificado e o signatário. Isso acrescenta uma evidência técnica importante ao uso de assinatura digital, sem significar que confidencialidade, identidade e validade jurídica estejam automaticamente “garantidas” em qualquer cenário.
Quando fundamos a ZapSign, tínhamos dois princípios bem claros: assinatura eletrônica precisava ser juridicamente válida e simples de usar. Continuo olhando para validação da mesma forma: segurança precisa aumentar confiança e capacidade de prova sem criar complexidade que não acrescenta valor ao processo.
Quais são as vantagens de usar um validador?
Para documentos gerados na ZapSign, temos o verificador de autenticidade de assinatura digital da ZapSign. A ferramenta também pode ser acessada pelo Validador de Documentos da ZapSign, que permite conferir um PDF ou validar pelo token existente no documento.
Esse tipo de verificação pode ser especialmente útil quando um documento de assinatura eletrônica circula fora da plataforma, porque o destinatário consegue conferir se o arquivo recebido mantém as evidências esperadas.
Já o VALIDAR do ITI é a referência oficial para verificar assinaturas abrangidas pela ICP-Brasil, GOV.BR e infraestruturas reconhecidas. O artigo original apontava o antigo DOC-ICP-15; hoje, o serviço e as políticas vigentes devem ser consultados diretamente no portal do ITI.
O uso de um certificado digital pode fornecer evidências fortes de autoria e integridade, mas assinatura digital não é sinônimo de criptografar o conteúdo inteiro do documento. A confidencialidade exige controles próprios de acesso ou cifragem quando esse objetivo também for necessário.
Em operações com contrato digital, a validação também ajuda a documentar o estado técnico do arquivo em determinado momento e pode apoiar auditoria, análise jurídica e gestão de processos.
O verificador de assinatura digital é obrigatório?
Não. O próprio ITI informa que a utilização do VALIDAR é optativa. Ainda assim, verificar uma assinatura pode ser uma boa prática quando o documento chegou de outra pessoa, será arquivado por longo prazo ou possui relevância financeira, regulatória ou jurídica.
Também é incorreto dizer que um arquivo assinado se torna impossível de alterar. Um PDF pode sofrer modificações posteriores; o ponto é que a assinatura digital e mecanismos de detecção do próprio formato permitem identificar alterações que afetem sua integridade ou gerar um resultado de validação diferente.
Do mesmo modo, “não repúdio” não significa que uma pessoa esteja tecnicamente impedida de contestar uma assinatura. O conjunto de certificado, assinatura, trilha de evidências e demais registros pode fortalecer a atribuição de autoria, mas uma controvérsia jurídica continua sendo analisada a partir das circunstâncias e provas disponíveis.
Assim, o validador deve ser entendido como uma ferramenta técnica de conferência, e não como substituto da análise de segurança jurídica quando o caso exigir avaliação mais ampla.
⚠️ Confira também estes artigos relacionados 👇
➡️ ICP-Brasil: como funciona o Sistema Nacional Brasileiro de Certificação Digital
➡️ Como assinar contratos pelo WhatsApp eletronicamente
➡️ O que é contrato digital e como adotar um para a sua empresa
Critérios investigados pelo validador
Em uma assinatura baseada em certificado, o verificador trabalha com diferentes elementos técnicos. A análise completa depende do formato da assinatura e das informações disponíveis no arquivo.
Esses controles se relacionam às regras técnicas e jurídicas aplicáveis à assinatura digital, incluindo a cadeia de confiança e as políticas da ICP-Brasil.
Entre os dados que podem aparecer no certificado estão:
- chave pública do titular;
- dados identificadores do titular previstos no certificado;
- período de validade;
- Autoridade Certificadora emissora;
- número de série;
- assinatura eletrônica da Autoridade Certificadora sobre o certificado emitido.
| Critério | O que é verificado | O que um problema pode indicar |
|---|---|---|
| Integridade do documento | Se o conteúdo sofreu alteração relevante depois da assinatura | Arquivo modificado ou mecanismo de detecção insuficiente |
| Assinatura criptográfica | Se a assinatura pode ser verificada com a chave pública correspondente | Assinatura corrompida, dados incompatíveis ou arquivo alterado |
| Certificado | Cadeia de confiança, validade e situação de revogação | Certificado expirado, revogado ou cadeia não reconhecida |
| Política de assinatura | Conformidade com regras aplicáveis ao padrão utilizado | Assinatura fora dos requisitos técnicos esperados |
| Carimbo do tempo, quando existente | Validade da evidência temporal emitida por fonte confiável | Data/hora sem evidência confiável ou carimbo inválido |
Integridade do documento
A assinatura digital não “tranca” fisicamente o arquivo. O verificador analisa se ocorreram modificações posteriores capazes de comprometer o estado assinado. Em PDFs, mecanismos como DocMDP e FieldMDP ajudam a declarar e detectar modificações permitidas ou indevidas.
Integridade da assinatura digital
Em termos simplificados, o software calcula um resumo criptográfico do conteúdo e usa a chave pública do certificado para verificar a assinatura produzida com a chave privada do signatário. Se os dados não corresponderem ao que foi assinado, a verificação não será concluída como válida.
Validade e situação do certificado
Além da assinatura em si, o sistema verifica informações relacionadas ao certificado e à cadeia de confiança. O conteúdo original deste artigo listava os certificados A1, A2, A3 e A4 vinculados a assinatura digital e categorias históricas de sigilo e tempo usadas na era dos documentos eletrônicos.
Essas categorias estão em transição regulatória. Até março de 2029, certificados antigos ainda coexistem com a nova estrutura da ICP-Brasil; por isso, o verificador deve considerar a cadeia, a política e as evidências aplicáveis ao certificado efetivamente utilizado, em vez de apenas comparar a data da assinatura com uma data de expiração.
Autoridade Certificadora confiável
Na ICP-Brasil, o ITI exerce o papel de Autoridade Certificadora Raiz e supervisiona a cadeia. O verificador precisa conseguir construir e validar a cadeia de certificação até uma âncora de confiança reconhecida, além de conferir informações como revogação.
A própria ZapSign passou a integrar essa estrutura como Autoridade Certificadora. Em 2022, decidimos iniciar esse processo porque entendemos que o mercado e as discussões jurídicas estavam amadurecendo. Foram várias etapas técnicas e auditorias até o credenciamento, concluído em 2026, para adicionar mais uma camada de confiança sem alterar a simplicidade do produto.
Carimbo do tempo
O carimbo digital fornece uma evidência confiável de data e hora vinculada à assinatura. Quando presente, ele pode ser validado e ajudar a demonstrar que determinado evento ocorreu enquanto certificados e demais elementos estavam em situação adequada.
Ele é especialmente útil em assinaturas que precisam permanecer verificáveis por longos períodos, mas não é correto tratá-lo como requisito indispensável em todo documento. O contexto e a política de assinatura determinam quais evidências são necessárias.
O conteúdo original também relacionava as categorias históricas A1/S1, A2/S2, A3/S3/T3 e A4/S4/T4 a prazos específicos. Como a infraestrutura está em transição, detalhes sobre validade devem ser consultados na política do certificado e na regulamentação vigente. Nosso guia sobre assinatura digital no Word continua disponível para quem deseja aprofundar o uso prático.
💡 Dica! Precisa de assinatura digital gratuita? Clique aqui e crie a sua agora!
Como usar o verificador de assinatura digital do ICP-Brasil
O ITI é uma autarquia federal atualmente vinculada ao Ministério da Gestão e da Inovação em Serviços Públicos e exerce o papel de AC-Raiz da ICP-Brasil. O antigo endereço citado neste artigo continua preservado aqui: verificador.iti.gov.br. O serviço atual é o VALIDAR.
O processo atual é simples e pode ser feito diretamente pelo navegador.
1. Acesse o VALIDAR
Entre no portal oficial e escolha a forma de envio. O serviço aceita arquivo, URL ou QR Code compatível. Para assinaturas ICP-Brasil, o GOV.BR recomenda extensões como .p7s, .xml e .pdf.
2. Envie o documento
Submeta a versão eletrônica original do documento. Não adianta escanear uma página impressa que continha uma assinatura digital: a impressão remove as estruturas criptográficas necessárias à verificação, salvo quando houver QR Code compatível que permita recuperar o documento verificável.
3. Consulte o resultado e o relatório
O VALIDAR pode apresentar três situações principais:
- Aprovado: a assinatura está em conformidade com a regulamentação aplicável;
- Reprovado: a assinatura não mantém conformidade com os requisitos avaliados;
- Indeterminado: não existem elementos suficientes para uma conclusão definitiva ou alguma condição técnica impede a aprovação ou reprovação direta.
Um resultado indeterminado não significa automaticamente fraude. O próprio ITI recomenda consultar o relatório de conformidade, pois fatores como certificado expirado, ausência de mecanismos adequados de detecção de modificações em PDF ou informações insuficientes podem produzir essa situação.
O VALIDAR também pode conferir assinaturas avançadas produzidas no GOV.BR e documentos abrangidos por acordos internacionais reconhecidos pelo Brasil. Isso torna o serviço mais amplo do que o antigo verificador exclusivamente associado ao padrão ICP-Brasil.
Nosso conteúdo sobre para que serve assinatura eletrônica ajuda a diferenciar esses métodos e entender quando cada modalidade pode ser adequada.
Ao receber um documento digital relevante, preservar o arquivo eletrônico original e consultar o validador adequado ajuda a verificar suas evidências técnicas antes de arquivar, aceitar ou encaminhar o documento.
Gostou de saber a importância do verificador de assinatura digital e como confirmar a validade de uma assinatura eletrônica? Compartilhe este artigo para que a liberdade e segurança digital sejam difundidas.
Perguntas frequentes (FAQ)
Use um validador compatível com a assinatura. Para ICP-Brasil e GOV.BR, o serviço oficial é o VALIDAR, do ITI. Envie o arquivo, URL ou QR Code compatível e consulte o status e o relatório de conformidade.
Significa que a assinatura analisada está em conformidade com a regulamentação aplicável ao tipo verificado. Isso não significa que o ITI confirmou a veracidade de todas as informações escritas no documento nem que resolveu qualquer discussão jurídica sobre seu conteúdo.
Significa que o sistema não conseguiu concluir pela aprovação ou reprovação. O motivo deve ser consultado no relatório de conformidade e pode envolver certificado expirado, informações insuficientes ou limitações na detecção de modificações do documento.
Sim. O serviço verifica assinaturas eletrônicas avançadas produzidas pelo GOV.BR, além de assinaturas qualificadas ICP-Brasil e assinaturas provenientes de infraestruturas oficialmente reconhecidas por acordos ou tratados aplicáveis ao Brasil.
Segundo o portal oficial do VALIDAR, nenhuma informação ou arquivo submetido é armazenado nos ambientes operacionais do ITI. O serviço trata os dados necessários para apresentar o resultado da validação conforme seus termos de uso e privacidade.
Sim. O Validador de Documentos da ZapSign permite enviar um PDF para conferir assinaturas e autenticidade ou utilizar o token existente no rodapé do documento. Para assinaturas ICP-Brasil e GOV.BR, também é possível usar o VALIDAR do ITI.
Getúlio Santos é CEO da ZapSign, advogado, entusiasta de tecnologia e empreendedor.
