Glossário de Assinatura Digital e Eletrônica

De ACT a XAdES, este glossário reúne 71 termos essenciais do universo da assinatura digital e eletrônica no Brasil: certificação ICP-Brasil, criptografia, padrões de assinatura, evidências jurídicas e integração via API — tudo explicado em português claro, com links para os guias completos de cada assunto.

Use o índice abaixo para saltar direto à letra desejada, ou pesquise na página (Ctrl+F / Cmd+F). Cada termo tem um link próprio (âncora), então você pode citar e compartilhar definições individuais.

A

AC (Autoridade Certificadora)

Entidade credenciada pela ICP-Brasil autorizada a emitir, renovar e revogar certificados digitais, vinculando uma chave pública à identidade de uma pessoa física ou jurídica. Exemplos: Serpro, Certisign, Soluti, Valid.

AC-Raiz

A âncora de confiança da ICP-Brasil, operada pelo ITI. É o primeiro elo da cadeia de certificação: assina os certificados das Autoridades Certificadoras de nível seguinte, e todo certificado ICP-Brasil remonta a ela.

Aceite eletrônico (clickwrap)

Manifestação de concordância por um clique em "aceito" ou "assinar", registrada com evidências de contexto (IP, data e hora, dispositivo). É a forma mais simples de assinatura eletrônica — adequada a termos de uso e documentos de menor risco, e reforçável com OTP ou biometria.

ACT (Autoridade de Carimbo do Tempo)

Entidade credenciada pelo ITI para emitir carimbos do tempo conforme o padrão RFC 3161, atestando por criptografia que um documento existia em determinado instante. Não confundir com o registro de data e hora do servidor aplicado pela plataforma de assinatura na trilha de auditoria.

API de assinatura

Interface de programação que permite a um sistema criar, enviar, acompanhar e concluir assinaturas de forma automatizada, sem intervenção manual. Veja o guia completo o que é uma API de assinatura digital.

Assinatura digital

Assinatura baseada em criptografia assimétrica e certificado digital: um resumo (hash) do documento é cifrado com a chave privada do signatário, permitindo a qualquer pessoa verificar autoria e integridade com a chave pública. No Brasil, quando o certificado é ICP-Brasil, goza da presunção de veracidade da MP 2.200-2/2001.

Assinatura eletrônica

Gênero que abrange qualquer meio eletrônico de manifestar concordância com um documento — do clique de aceite à assinatura digital com certificado. A validade jurídica decorre da capacidade de comprovar autoria e integridade, com pesos probatórios diferentes conforme o método. Veja assinatura eletrônica vs. digital.

Assinatura eletrônica avançada

Nível intermediário da classificação da Lei 14.063/2020 (aplicável às interações com o poder público e adotada como taxonomia de mercado): usa meios que associam a assinatura ao signatário de forma unívoca — como biometria, OTP e trilha de evidências — sem exigir certificado ICP-Brasil.

Assinatura eletrônica qualificada

O nível mais alto da classificação da Lei 14.063/2020: a assinatura realizada com certificado digital ICP-Brasil. É a única com presunção legal de veracidade em relação ao signatário, e a exigida em atos específicos previstos em lei.

Assinatura eletrônica simples

Nível básico da classificação da Lei 14.063/2020: permite identificar o signatário e anexar dados de assinatura, sem vínculo criptográfico forte. Um aceite por clique com registro de e-mail é o exemplo típico.

Assinatura paralela

Modo de fluxo multi-signatário em que todos podem assinar a qualquer momento, em qualquer ordem. Na API do SignDocs, é o signingMode: PARALLEL de um envelope. Veja ordem sequencial vs. paralela.

Assinatura sequencial

Modo de fluxo multi-signatário em que a ordem é imposta: cada signatário só consegue concluir depois que o anterior termina (no SignDocs, signingMode: SEQUENTIAL com a posição dada pelo signerIndex). Indicada quando há hierarquia ou dependência jurídica entre as assinaturas.

Autenticação multifator (MFA)

Exigência de dois ou mais fatores de naturezas diferentes para confirmar a identidade do signatário — algo que ele sabe (senha), possui (celular que recebe OTP, certificado) ou é (biometria). Elevar os fatores eleva a força probatória da assinatura.

Autoexecutoriedade (título executivo)

Qualidade do documento que permite execução judicial direta, sem ação prévia de conhecimento. O CPC (art. 784) admite contratos eletrônicos como títulos executivos, inclusive dispensando testemunhas em condições específicas. Veja autoexecutoriedade de títulos eletrônicos.

B

Base64

Codificação que representa dados binários (como um PDF) em texto seguro para transporte em JSON. APIs de assinatura tipicamente recebem o documento assim — no SignDocs, no campo document.content, com limite de 10 MB.

Biometria facial

Verificação de identidade pela comparação do rosto do signatário com uma referência (documento com foto, base governamental ou foto pré-cadastrada), normalmente combinada com prova de vida para impedir fraudes com fotos, vídeos ou deepfakes.

C

Cadeia de certificação

Sequência de certificados que liga o certificado do signatário à AC-Raiz: cada elo é assinado pelo anterior. Validar uma assinatura implica validar toda a cadeia — emissor, prazos e situação de revogação.

CAdES (CMS Advanced Electronic Signatures)

Padrão de assinatura digital sobre a estrutura CMS/PKCS#7, aplicável a qualquer tipo de arquivo. A assinatura pode ser anexada (attached) ou destacada em arquivo próprio (detached, tipicamente .p7s).

Carimbo do tempo (timestamp)

Atestado criptográfico emitido por uma ACT (padrão RFC 3161) de que um dado existia em certo instante, com hora rastreável à hora legal brasileira. Diferente do carimbo de hora do servidor — o registro de data/hora que a plataforma grava na trilha de auditoria. Veja carimbo do tempo na assinatura digital.

Certificado A1

Certificado digital ICP-Brasil emitido em arquivo (validade típica de 1 ano), armazenável com segurança em servidores e HSMs — por isso é o formato usado em integrações via API e automações.

Certificado A3

Certificado digital ICP-Brasil emitido em mídia criptográfica física — token USB ou smart card — em que a chave privada nunca sai do dispositivo. Exige presença do titular a cada assinatura. Veja assinatura com A3.

Certificado digital

Documento eletrônico emitido por uma AC que vincula uma chave pública à identidade do titular (padrão X.509). É a credencial que torna possível a assinatura digital e a verificação de sua autoria.

Chave privada

Metade secreta do par de chaves da criptografia assimétrica: é com ela que o titular assina. Deve permanecer sob controle exclusivo do signatário — em arquivo protegido (A1), mídia física (A3) ou HSM.

Chave pública

Metade divulgável do par de chaves: permite a qualquer pessoa verificar uma assinatura feita com a chave privada correspondente, sem poder falsificá-la. É distribuída dentro do certificado digital.

Criptografia assimétrica

Sistema criptográfico com um par de chaves matematicamente vinculadas: o que uma cifra, só a outra decifra. É o fundamento da assinatura digital: cifra-se o hash do documento com a chave privada, e qualquer um confere com a pública.

CRL (Lista de Certificados Revogados)

Lista assinada e publicada periodicamente por uma AC com os certificados revogados antes do vencimento (comprometimento, perda, encerramento). Consultá-la — ou usar OCSP — é parte da validação completa de uma assinatura.

D

DocMDP

Mecanismo do padrão PDF que declara quais modificações são permitidas após a assinatura (nenhuma, preenchimento de formulários, anotações). É o que faz leitores de PDF acusarem alteração pós-assinatura. Veja como proteger PDFs com DocMDP.

Documento eletrônico

Documento criado, transmitido e armazenado em meio digital. Com autoria e integridade comprováveis (por assinatura e hash), tem aptidão probatória reconhecida no direito brasileiro — inclusive como título executivo.

E

e-CNPJ

Certificado digital ICP-Brasil de pessoa jurídica: identifica a empresa (e seu responsável legal) em assinaturas, obrigações fiscais e sistemas governamentais. Emitido nas modalidades A1 e A3.

e-CPF

Certificado digital ICP-Brasil de pessoa física, vinculado ao CPF do titular. Permite assinar com validade de assinatura qualificada. Veja como assinar PDF com e-CPF/e-CNPJ.

Envelope

Unidade que agrupa vários signatários sobre o mesmo documento, com modo sequencial ou paralelo, garantindo que todas as assinaturas fiquem ancoradas ao mesmo hash. Na API do SignDocs, suporta até 100 signatários, cada um com sua própria política de autenticação.

Evidence pack (pacote de evidências)

Conjunto criptográfico de provas de uma assinatura eletrônica: hash do documento, identificação do signatário, etapas de autenticação concluídas, IP, geolocalização e carimbos de hora do servidor em trilha de auditoria. No SignDocs, é um arquivo .p7m assinado — veja o evidence pack como prova jurídica.

F

Função de hash

Algoritmo que transforma qualquer conteúdo em um resumo de tamanho fixo (impressão digital do documento). Qualquer alteração no conteúdo muda o resumo por completo, o que torna o hash a base da verificação de integridade. O padrão atual é o SHA-256.

G

Geolocalização

Registro da localização aproximada do signatário no momento da assinatura (por GPS, Wi-Fi ou IP), incorporado ao pacote de evidências como elemento adicional de contexto probatório.

Gov.br (conta)

Identidade digital do cidadão junto ao governo federal, com selos de confiabilidade bronze, prata e ouro conforme o método de comprovação. É o meio de autenticação padrão nos serviços públicos digitais e uma referência de identidade no ecossistema brasileiro.

H

HMAC

Código de autenticação de mensagem baseado em hash e segredo compartilhado. Em APIs de assinatura, é como se garante que um webhook recebido veio mesmo da plataforma: o corpo é assinado (por exemplo, HMAC-SHA256) e o receptor confere a assinatura antes de confiar no evento.

HSM (Hardware Security Module)

Equipamento dedicado a gerar, guardar e usar chaves criptográficas sem jamais expô-las. Certificados A1 corporativos e chaves de plataformas de assinatura são protegidos em HSMs ou serviços de KMS equivalentes.

I

ICP-Brasil

Infraestrutura de Chaves Públicas Brasileira, instituída pela MP 2.200-2/2001: a hierarquia oficial de confiança (AC-Raiz, ACs, ARs) que emite os certificados digitais com presunção legal de veracidade no país.

Idempotência

Propriedade de uma operação que pode ser repetida sem efeitos duplicados. Em APIs de assinatura, evita transações duplicadas em caso de retry — no SignDocs, enviando um cabeçalho X-Idempotency-Key por requisição de criação.

Integridade

Garantia de que o documento não foi alterado depois de assinado. É verificável recalculando o hash do documento e comparando com o que foi assinado — qualquer divergência denuncia modificação.

ITI (Instituto Nacional de Tecnologia da Informação)

Autarquia federal que opera a AC-Raiz e regula a ICP-Brasil: credencia Autoridades Certificadoras, de Registro e de Carimbo do Tempo e edita as normas técnicas do ecossistema.

J

JWT (JSON Web Token)

Formato compacto e assinado de token usado para autenticar chamadas entre sistemas. Na API do SignDocs, o access token OAuth2 é um JWT assinado com ECDSA (ES256) e validade de 15 minutos. Veja OAuth2 na API de assinatura.

K

KYC (Know Your Customer)

Processo de verificação da identidade de um cliente (documentos, biometria, consultas a bases oficiais) exigido em setores regulados. Converge com a assinatura eletrônica: os mesmos métodos que autenticam o signatário servem de onboarding de identidade.

L

LGPD

Lei Geral de Proteção de Dados (Lei 13.709/2018): disciplina o tratamento de dados pessoais no Brasil. Em assinatura eletrônica, alcança os dados dos signatários e as evidências coletadas — exigindo base legal, transparência, retenção definida e resposta aos direitos dos titulares.

Liveness (prova de vida)

Verificação de que há uma pessoa real e presente diante da câmera — e não uma foto, vídeo ou deepfake — por análise de movimento, profundidade e textura. Combina-se com a biometria facial para autenticação forte de signatários.

LTV (Long-Term Validation)

Técnica que embute na própria assinatura os dados necessários para validá-la no futuro (cadeia de certificados, respostas de revogação e carimbos do tempo de ACT), preservando a verificabilidade mesmo após a expiração dos certificados. Corresponde aos níveis B-LT/B-LTA do PAdES.

M

MP 2.200-2/2001

Medida Provisória que instituiu a ICP-Brasil e é o alicerce jurídico da assinatura eletrônica no país: dá presunção de veracidade às assinaturas com certificado ICP-Brasil (art. 10, §1º) e admite outros meios de comprovação de autoria e integridade quando aceitos pelas partes (art. 10, §2º).

mTLS (mutual TLS)

Variante do TLS em que cliente e servidor se autenticam mutuamente por certificados X.509. Usada em integrações reguladas (Open Finance/BACEN) como camada adicional ao OAuth2. Veja mTLS e segurança enterprise.

N

Não repúdio

Impossibilidade de o signatário negar validamente a autoria de uma assinatura, sustentada pelo vínculo criptográfico da chave privada (assinatura digital) ou pelo conjunto de evidências de autenticação (assinatura eletrônica avançada).

O

OAuth2 (client credentials)

Protocolo de autorização padrão para comunicação servidor-a-servidor: a aplicação troca client_id e client_secret por um access token de curta duração, e usa só o token nas chamadas. É o modelo de autenticação da API do SignDocs — veja como obter credenciais.

OCSP (Online Certificate Status Protocol)

Protocolo de consulta em tempo real à situação de um certificado (válido, revogado, desconhecido), alternativa mais ágil à CRL na checagem de revogação durante a validação de assinaturas.

OTP (One-Time Password)

Código numérico de uso único enviado por SMS ou e-mail para confirmar que o signatário controla aquele canal no momento da assinatura. É um segundo fator simples e eficaz — no SignDocs, presente em perfis como CLICK_PLUS_OTP.

P

PAdES (PDF Advanced Electronic Signatures)

Padrão de assinatura digital embutida no próprio PDF, visível em leitores como Adobe Reader. Define níveis de longevidade (B-B, B-T, B-LT, B-LTA) conforme se agregam carimbos do tempo de ACT e dados de revogação. Veja como validar no Adobe Reader.

PKCS#11

Interface padrão de comunicação entre softwares e mídias criptográficas (tokens e smart cards A3). É por ela que um assinador de desktop conversa com o hardware do certificado sem expor a chave privada.

PKCS#7 / CMS

Estrutura criptográfica padrão (Cryptographic Message Syntax) para empacotar conteúdo assinado, certificados e atributos. É a base do CAdES e dos arquivos .p7m/.p7s — inclusive do pacote de evidências do SignDocs.

PKI (Public Key Infrastructure)

Infraestrutura de chaves públicas: o conjunto de autoridades, políticas e tecnologia que emite, distribui e revoga certificados digitais, sustentando a confiança das assinaturas. A ICP-Brasil é a PKI oficial brasileira.

Política de assinatura

Conjunto de regras que define como uma assinatura deve ser criada e verificada — métodos de autenticação exigidos, algoritmos e formatos. Na API do SignDocs, é o campo policy.profile (de CLICK_ONLY a DIGITAL_CERTIFICATE), definível por signatário.

R

RFC 3161

Norma técnica do protocolo de carimbo do tempo: define como um servidor de ACT recebe o hash de um documento e devolve um atestado assinado do instante da solicitação. É a referência dos carimbos com validade da hora legal.

S

Sandbox (ambiente de homologação)

Réplica funcional da API para testes, com credenciais próprias e sem validade jurídica ou cobrança. No SignDocs, usa o host api-hml.signdocs.com.br, com TTL de 7 dias e proibição de dados pessoais reais. Veja o guia do sandbox.

SERPRO

Empresa pública federal de tecnologia. No contexto de identidade, mantém serviços de verificação biométrica e cadastral contra bases oficiais do governo — usados por plataformas para confirmar a identidade de signatários com alto rigor (no SignDocs, perfis BIOMETRIC_SERPRO).

SHA-256

Função de hash da família SHA-2 que gera resumos de 256 bits, padrão atual das assinaturas digitais e das trilhas de evidência. Colisões são computacionalmente inviáveis, o que faz do hash uma impressão digital confiável do documento.

Signatário

A pessoa (física ou jurídica) que manifesta vontade sobre o documento por meio da assinatura. Em fluxos via API, é identificado por nome, e-mail, CPF/CNPJ e, no SignDocs, por um userExternalId — o identificador dele no sistema do cliente.

T

Título executivo extrajudicial

Documento que a lei autoriza a executar diretamente em juízo, sem ação de conhecimento prévia — caso de contratos com determinados requisitos. Contratos eletrônicos assinados com evidências robustas podem alcançar essa condição (CPC, art. 784).

TLS (Transport Layer Security)

Protocolo que cifra a comunicação entre cliente e servidor (o cadeado do HTTPS), garantindo confidencialidade e integridade em trânsito. Toda API de assinatura séria opera exclusivamente sobre TLS; em cenários regulados, evolui para o mTLS.

Token criptográfico (A3)

Dispositivo USB que armazena o certificado A3 e executa as operações criptográficas internamente, protegido por PIN. A chave privada nunca sai do hardware. Veja a central A3 para compatibilidade e solução de problemas.

Trilha de auditoria

Registro cronológico e imutável (append-only) de cada evento do fluxo de assinatura — criação, visualização, autenticações, conclusão — com data/hora do servidor, IP e demais metadados. É a espinha dorsal probatória do evidence pack.

V

Validade jurídica

Aptidão do documento assinado para produzir efeitos legais e servir de prova. No Brasil, decorre da MP 2.200-2/2001 (com presunção para certificados ICP-Brasil e admissão de outros meios pactuados), do Código Civil e do CPC. Veja como funciona a assinatura digital.

Verificador de assinaturas

Serviço que confere de forma independente a autenticidade e a integridade de um documento assinado — recalculando hashes e validando certificados e evidências. O SignDocs mantém um verificador público; veja também como validar uma assinatura em PDF.

W

Webhook

Notificação HTTP que a plataforma envia ao seu sistema no instante em que um evento ocorre (documento assinado, envelope concluído, prazo se aproximando), eliminando a necessidade de polling. Deve ser autenticado por HMAC. Veja webhooks e eventos da API.

X

X.509

Padrão internacional que define o formato dos certificados digitais: titular, chave pública, emissor, validade, usos permitidos e a assinatura da AC emissora. É o formato dos certificados ICP-Brasil e dos certificados TLS/mTLS.

XAdES (XML Advanced Electronic Signatures)

Padrão de assinatura digital para documentos XML, amplamente usado em sistemas fiscais brasileiros — a NF-e é o exemplo clássico. Completa a família de padrões avançados ao lado de PAdES (PDF) e CAdES (qualquer arquivo).