Como validar um documento assinado eletronicamente: QR Code, código, hash e certificado

Receber um PDF "assinado" é uma coisa; ter certeza de que ele é autêntico e não foi alterado é outra. A boa notícia é que a validação leva poucos minutos e não exige conhecimento técnico. Neste guia você vai ver o passo a passo, o que cada elemento de prova significa e como agir quando algo não bate.

#O que significa validar uma assinatura eletrônica?

Validar é responder a três perguntas: quem assinou, quando assinou e se o documento continua igual ao que foi assinado. Uma assinatura só é confiável quando essas três respostas podem ser conferidas por qualquer pessoa, a qualquer momento, de forma independente de quem enviou o arquivo.

Por isso as plataformas sérias de assinatura eletrônica deixam sinais de verificação no próprio documento: QR Code, código de validação, certificado de assinaturas com trilha de auditoria e, em alguns casos, um selo digital com certificado ICP-Brasil.

Se você ainda está começando no assunto, vale ler antes o guia sobre assinatura eletrônica para entender os conceitos básicos.

#Quais elementos de prova um documento assinado deve ter?

Antes de validar, identifique o que o documento traz. Os principais elementos são:

Se um PDF que se diz "assinado eletronicamente" não traz nenhum desses elementos, trate-o como um documento comum com uma imagem de assinatura colada, o que tem valor probatório muito menor. Veja mais sobre isso em foto da assinatura no PDF.

#Como validar pelo QR Code ou pelo código do documento?

Este é o caminho mais rápido e funciona no celular ou no computador.

1. Aponte a câmera do celular para o QR Code do selo (em qualquer página do PDF). Se estiver no computador, copie o código de validação impresso no selo.
2. Abra a página de validação. Na Assinia, ela fica em assinia.com.br/#/validar e é pública: você não precisa de conta nem de login.
3. Informe o código, caso não tenha lido o QR Code.
4. Leia o resultado. A página mostra o documento, a situação (concluído, em andamento, cancelado), a lista de signatários com data e hora, e o hash do arquivo.
5. Compare com o PDF em mãos. Nome do documento, número de páginas e signatários devem coincidir com o que você recebeu.

Um detalhe importante: confirme que o endereço da página de validação é o da plataforma que aparece no documento. Golpistas podem imprimir QR Codes que levam a páginas falsas. Digitar o endereço manualmente é uma forma segura de eliminar esse risco.

#Como conferir o certificado de assinaturas?

O certificado de assinaturas é o "extrato" do processo. Ele costuma trazer:

• nome e identificação de cada signatário (e-mail, telefone, CPF quando coletado);
• data e hora de cada assinatura;
• forma de verificação usada (código por e-mail ou WhatsApp, selfie, foto do documento);
• local da assinatura (GPS ou endereço IP) e dispositivo utilizado;
• hash SHA-256 do documento.

Leia com atenção se as pessoas e os horários fazem sentido. Uma assinatura registrada de madrugada, de outro país ou de um dispositivo incomum não é prova de fraude, mas é um motivo para pedir esclarecimentos. Para entender melhor como esses registros funcionam, leia sobre a trilha de auditoria da assinatura eletrônica.

#Como conferir o hash SHA-256 do arquivo?

O hash é uma sequência de letras e números gerada a partir do conteúdo do arquivo. Alterar qualquer detalhe, mesmo um espaço, produz um hash totalmente diferente. Conferir o hash é a forma mais objetiva de saber se o arquivo é exatamente o registrado.

Você pode calcular o hash do PDF no seu computador:

Compare o resultado com o hash exibido na página de validação ou no certificado, caractere por caractere. Se forem iguais, o arquivo é o mesmo. Se forem diferentes, verifique se você não está comparando o PDF com a via errada: o documento final (com todas as assinaturas e o selo) e as vias parciais são arquivos distintos e, portanto, têm hashes distintos. Quando quiser entender melhor esse conceito, veja hash SHA-256 e integridade de documentos.

#Como verificar o selo digital ICP-Brasil no PDF?

Quando o documento concluído é selado com certificado ICP-Brasil no padrão PAdES e carimbo do tempo, a assinatura fica embutida no próprio PDF. Isso permite uma checagem independente da plataforma:

1. Abra o PDF em um leitor com suporte a assinaturas digitais (por exemplo, o Adobe Acrobat Reader).
2. Abra o painel de assinaturas, geralmente indicado por uma faixa no topo ou um ícone de caneta.
3. Veja se o leitor informa que a assinatura é válida e que o documento não foi modificado desde que foi assinado.
4. Se o leitor reclamar de "emissor desconhecido", é comum faltar a cadeia de certificados da ICP-Brasil instalada no seu computador. Isso não indica fraude por si só.

O Instituto Nacional de Tecnologia da Informação (ITI), que gerencia a ICP-Brasil, disponibiliza em seu portal ferramentas e orientações sobre verificação de assinaturas no padrão brasileiro. Consulte gov.br/iti para a lista atual.

Atenção a um ponto: o selo da plataforma sobre o documento final não substitui o e-CPF de cada pessoa. Ele atesta que o documento concluído não foi alterado e a data em que foi selado. A identificação de cada signatário vem do certificado de assinaturas.

#O que diz a lei sobre a validade e a prova?

A validade da assinatura eletrônica no Brasil não depende de certificado ICP-Brasil, desde que as partes aceitem o meio utilizado. A própria Medida Provisória 2.200-2/2001 prevê isso:

"O disposto nesta Medida Provisória não obsta a utilização de outro meio de comprovação da autoria e integridade de documentos em forma eletrônica, inclusive os que utilizem certificados não-emitidos pela ICP-Brasil, desde que admitido pelas partes como válido ou aceito pela pessoa a quem for oposto o documento."

Já a Lei 14.063/2020 classifica as assinaturas em simples, avançada e qualificada, e o Código de Processo Civil admite todos os meios legais e moralmente legítimos de prova (art. 369). Na prática, quanto mais elementos verificáveis (código de verificação, selfie, local, hash, carimbo do tempo), mais fácil é provar a autoria em caso de disputa. Para entender o cenário judicial, leia como provar a assinatura eletrônica na Justiça.

Este texto é informativo e não substitui a orientação de um advogado em casos específicos.

#O que fazer se a validação falhar?

Nem toda falha indica fraude. Veja o que verificar, em ordem:

Se tudo estiver correto e ainda restar dúvida, entre em contato com o suporte da plataforma e com quem enviou o documento antes de qualquer pagamento ou decisão.

#Como fazer isso na Assinia

Todo documento concluído na Assinia já nasce com os elementos de validação:

1. Cada página recebe um selo com QR Code e código de validação.
2. O certificado de assinaturas acompanha o documento, com trilha de auditoria, hash SHA-256, local (GPS ou IP) e dispositivo de cada signatário.
3. O documento final recebe o selo digital ICP-Brasil (PAdES) com carimbo do tempo, usando o e-CNPJ da plataforma.
4. Qualquer pessoa pode conferir tudo na página pública de validação, sem conta: assinia.com.br/#/validar.
5. Quem assinou pode entrar com o e-mail, sem senha, em "Minhas assinaturas" para rever e baixar o que assinou.

Assim, você tem uma prova que não depende de confiar apenas no arquivo que circula por e-mail ou WhatsApp.

#Perguntas frequentes

#Como saber se uma assinatura eletrônica é verdadeira?

Abra a página de validação indicada no próprio documento (por QR Code ou código), confira se os signatários, datas e horários batem com o que você espera e compare o hash do arquivo. Se o documento tiver selo ICP-Brasil, abra o PDF em um leitor compatível e verifique se a assinatura aparece como válida e sem alterações posteriores.

#Preciso de certificado digital para validar um documento assinado?

Não. Qualquer pessoa pode validar um documento assinado eletronicamente sem certificado digital e sem criar conta. Basta acessar a página pública de validação da plataforma e informar o código ou ler o QR Code. O certificado digital só é necessário para quem assina com e-CPF ou e-CNPJ.

#O que é o hash SHA-256 de um documento?

É uma sequência de caracteres calculada a partir do conteúdo exato do arquivo. Se mudar uma vírgula, o hash muda por completo. Por isso ele serve como impressão digital do documento: se o hash que você calcula é igual ao registrado no certificado de assinaturas, o arquivo não foi alterado.

#O que fazer se o documento não for encontrado na validação?

Primeiro confira se digitou o código corretamente e se está usando a página de validação da plataforma que gerou o documento. Se o código estiver certo e o documento não aparecer, desconfie: peça o PDF original a quem enviou e entre em contato com o suporte da plataforma para verificar a autenticidade.

#Documento assinado eletronicamente pode ser validado depois de anos?

Sim, desde que a plataforma mantenha o registro e você guarde o PDF final com o certificado. A validação consulta o histórico de assinaturas, e o carimbo do tempo comprova a data. Por isso vale guardar o arquivo final e a via de cada signatário em local seguro e com backup.

#Conclusão

Validar um documento assinado eletronicamente é simples quando a plataforma deixa as provas à vista: QR Code, código, certificado, hash e selo. Faça a checagem sempre que o documento tiver valor relevante, e guarde o PDF final em local seguro. Para tornar a validação parte da rotina dos seus contratos, Crie sua conta grátis na Assinia e envie seu primeiro documento com todos os elementos de prova incluídos.