Assinatura Qualificada, Avançada e Simples via API: Quando Usar Cada Uma

Nem toda assinatura eletrônica é igual perante a lei. A Lei 14.063/2020 consolidou no Brasil três níveis distintos de assinatura — simples, avançada e qualificada — cada um com requisitos técnicos e força probatória diferentes. Escolher o nível errado significa, na melhor das hipóteses, criar fricção desnecessária para o signatário; na pior, expor um contrato de alto valor a contestação judicial. Este guia explica os três níveis e mostra exatamente como mapeá-los para os perfis de autenticação de uma API de assinatura digital.

Se você é desenvolvedor, CTO ou tech lead integrando assinatura ao seu produto, a pergunta prática não é "qual nível é o melhor?", e sim "qual nível é o adequado para este documento, com este nível de risco?". É uma decisão de arquitetura tanto quanto jurídica, e ela se materializa em um único campo da requisição: o profile da política de assinatura.

Ao longo deste artigo, vamos destrinchar a base legal, mapear cada nível para os perfis e métodos de autenticação da API de assinatura digital da SignDocs, apresentar uma matriz de decisão por risco/valor do documento e mostrar o JSON exato para selecionar cada perfil.

A base legal: Lei 14.063/2020 e MP 2.200-2/2001

Dois marcos legais sustentam a assinatura eletrônica no Brasil. A MP 2.200-2/2001 instituiu a Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) e estabeleceu a presunção de autenticidade para documentos assinados com certificado emitido por autoridade credenciada. Quase duas décadas depois, a Lei 14.063/2020 organizou o uso de assinaturas eletrônicas nas interações com entes públicos e, na prática, consolidou uma taxonomia de três níveis que o mercado adotou amplamente também no setor privado.

O ponto central da Lei 14.063/2020 é o seu artigo 4º, que classifica as assinaturas eletrônicas em três tipos, em ordem crescente de robustez:

• Assinatura eletrônica simples: permite identificar o signatário e anexa ou associa dados a outros dados em formato eletrônico do próprio signatário.
• Assinatura eletrônica avançada: utiliza certificados não emitidos pela ICP-Brasil ou outro meio de comprovação da autoria e da integridade de documentos eletrônicos, desde que admitido pelas partes como válido ou aceito pela pessoa a quem for oposto o documento — associada ao signatário de maneira unívoca e capaz de detectar qualquer modificação posterior.
• Assinatura eletrônica qualificada: utiliza certificado digital ICP-Brasil, nos termos da MP 2.200-2/2001. É a de maior força probatória, com presunção legal de autenticidade.

Vale destacar um princípio que orienta toda a decisão de nível: os três níveis têm validade jurídica. A lei não diz que apenas a qualificada "vale". Ela reserva a exigência da qualificada a hipóteses específicas e deixa às partes a liberdade de escolher, para os demais casos, o nível proporcional ao risco. Aprofundamos a mecânica probatória no artigo sobre o pacote de evidências como prova jurídica.

Os três níveis em detalhe

Assinatura simples

A assinatura simples identifica o signatário e registra sua manifestação de vontade, mas não emprega mecanismos criptográficos vinculando exclusivamente o ato àquela pessoa. O exemplo clássico é o clickwrap: o usuário marca uma caixa de seleção ou clica em "Li e aceito", e o sistema registra esse aceite junto a metadados como data, hora, IP e identificador da sessão.

É o nível adequado para documentos de baixo risco e alto volume: termos de uso, políticas de privacidade, consentimentos de cookies, aceites de propostas comerciais simples. A força probatória vem da trilha de auditoria que acompanha o aceite, não de criptografia atrelada ao signatário.

Assinatura avançada

A assinatura avançada eleva o rigor sem exigir certificado ICP-Brasil. Ela precisa estar associada ao signatário de maneira unívoca e ser capaz de detectar qualquer alteração posterior do documento. Na prática, isso é alcançado combinando autenticação multimétodo — códigos OTP enviados por SMS/e-mail, verificação biométrica facial com prova de vida — a uma trilha de auditoria robusta e à selagem criptográfica do documento (hash SHA-256 e carimbo de hora do servidor registrados na trilha de auditoria).

Esse é o "ponto ideal" para a esmagadora maioria dos contratos privados: locação, prestação de serviços, contratos de trabalho, termos de adesão. O signatário não precisa possuir nem instalar um certificado digital — ele apenas recebe um código ou faz um selfie —, mas o conjunto de evidências produzido é robusto o suficiente para sustentar a autoria em eventual disputa. Para entender como compor esses fatores, veja o guia sobre autenticação multimétodo na API de assinatura.

Assinatura qualificada (ICP-Brasil)

A assinatura qualificada usa um certificado digital ICP-Brasil — emitido por uma Autoridade Certificadora credenciada — para assinar o documento. É a única das três que goza de presunção legal de autenticidade: presume-se verdadeira em relação ao signatário, invertendo o ônus da prova para quem eventualmente contestar.

Os certificados ICP-Brasil se dividem em duas classes principais quanto à mídia de armazenamento:

• A1: a chave privada fica em um arquivo (no computador ou em cofre/KMS). Mais prático para fluxos automatizados e servidores.
• A3: a chave privada fica em hardware dedicado — token USB ou cartão inteligente —, nunca saindo do dispositivo. Maior segurança, exige a presença física do dispositivo no momento da assinatura.

Tanto A1 quanto A3 produzem assinatura qualificada; a diferença é operacional, não de nível legal. Na API da SignDocs, a assinatura qualificada usa o certificado A1 do próprio signatário; para certificados A3, o titular assina pelo assinador desktop da SignDocs (Windows/macOS/Linux), que conversa com o token via PKCS#11. Detalhamos o ecossistema de certificados no artigo sobre a API de assinatura digital brasileira com ICP-Brasil.

Mapeando cada nível para os perfis da API

A teoria jurídica precisa virar configuração. Na API da SignDocs, o nível de assinatura é determinado pelo campo profile da política de assinatura, combinado com os métodos de autenticação (steps) que aquele perfil exige. A tabela abaixo é o coração deste guia: ela traduz cada nível legal em parâmetros concretos da API.

Por que a avançada usa um perfil composto

Diferente da simples e da qualificada, que mapeiam para um único conceito (um clique ou um certificado), o nível avançado é definido por resultado: vínculo unívoco e detecção de alteração. Há muitas formas de chegar lá. Por isso, na API, a assinatura avançada se expressa em perfis que combinam métodos: CLICK_PLUS_OTP (aceite + código OTP), BIOMETRIC (prova de vida + comparação facial) ou BIOMETRIC_PLUS_OTP (biometria somada a OTP). Você escolhe os fatores de acordo com o equilíbrio desejado entre segurança e fricção, tema aprofundado no guia de autenticação multimétodo.

Matriz de decisão: do risco ao perfil de API

A pergunta operacional para o time de produto é direta: dado um documento, qual nível exigir? A matriz abaixo cruza o risco/valor do documento com o nível recomendado e o perfil de API correspondente. Use-a como ponto de partida — a decisão final deve considerar exigências legais específicas do seu setor.

Selecionando o perfil na prática: o JSON

Vamos ao código. Os exemplos abaixo usam a Assinatura Expressa (POST /v1/signing-sessions), em que uma única chamada cria a sessão de assinatura. O mesmo objeto policy se aplica à API de Transações e aos envelopes de múltiplos signatários, em que cada sessão carrega a sua própria política. Para o passo a passo da chamada completa, consulte o fluxo transacional da API.

Nível simples — CLICK_ONLY

Nível avançado — OTP + biometria

Aqui o profile já traz os fatores embutidos: BIOMETRIC_PLUS_OTP resolve para os steps BIOMETRIC_LIVENESS, BIOMETRIC_MATCH, OTP_CHALLENGE e OTP_VERIFY. O signatário passa por prova de vida e confirma um código, sem precisar de certificado — e o canal do OTP é escolhido no campo otpChannel do signatário, não em uma lista de steps.

Nível qualificado — DIGITAL_CERTIFICATE (ICP-Brasil)

Para a assinatura qualificada, o profile é DIGITAL_CERTIFICATE. O perfil resolve para dois steps — CLICK_ACCEPT e DIGITAL_SIGN_A1 — e a assinatura é feita com o certificado A1 do próprio signatário; a chave privada nunca passa pela plataforma.

A resposta de criação (201) traz a URL da página hospedada e o clientSecret que compõem o link de assinatura. Os steps aparecem ao consultar a transação (GET /v1/transactions/{transactionId}): a etapa de certificado tem step.type igual a DIGITAL_SIGN_A1 — esse é o naming do passo, não do perfil. Após a conclusão, os dados do certificado (titular, emissor, tipo e OID da política ICP-Brasil, como certificateType e certificatePolicyOid) ficam registrados no pacote de evidências:

Da assinatura à prova: o pacote de evidências

Independentemente do nível escolhido, o valor jurídico de uma assinatura eletrônica se sustenta na qualidade da prova que ela gera. Cada nível produz um conjunto de evidências proporcional ao seu rigor, e a SignDocs sela esse conjunto em formatos padronizados.

• Simples: registro do aceite com data/hora, IP, geolocalização (quando disponível), user-agent e hash do documento, consolidados na trilha de auditoria.
• Avançada: tudo da simples, mais os artefatos dos fatores usados — confirmação de OTP, captura biométrica e resultado da prova de vida — vinculados ao signatário.
• Qualificada: a própria assinatura criptográfica com o certificado ICP-Brasil, cadeia de certificação e carimbo de hora do servidor, com presunção legal de autenticidade.

Esses elementos são empacotados em containers PAdES (para PDF) ou CAdES (para qualquer arquivo) no nível baseline — equivalente a PAdES-B / CAdES-B (assinatura, certificado, hash SHA-256, carimbo de hora do servidor e trilha de auditoria append-only). O padrão PAdES define ainda níveis superiores (B-T, B-LT, B-LTA) que agregam carimbo de tempo de uma ACT e validação de longo prazo (LTV); esses níveis com carimbo de tempo de terceiro e LTV não são gerados atualmente pela API da SignDocs. Para entender a engenharia por trás desses formatos, veja o artigo técnico sobre PKCS#7/CMS, PAdES e CAdES. O pacote final pode ser conferido por qualquer pessoa no verificador público da SignDocs, sem depender da plataforma de origem.

Por que o nível não basta: a importância do provedor

Suportar os três níveis é o mínimo. O que diferencia uma API de assinatura na prática é como ela coleta as evidências, sela os documentos, expõe esses recursos por uma interface limpa e mantém aderência ao arcabouço legal brasileiro. A SignDocs é ICP-Brasil nativa, com suporte e produto em português, e LGPD-first no tratamento dos dados pessoais coletados em cada nível — especialmente relevante para os fatores biométricos do nível avançado.

Vale lembrar que a SignDocs opera em infraestrutura AWS multirregião (sa-east-1 e us-east-1); a força do produto está na aderência ICP-Brasil e à legislação nacional, não em uma promessa de que "os dados nunca saem do Brasil". Se você está comparando provedores para decidir onde construir, o guia da melhor API de assinatura digital reúne os critérios que importam — incluindo cobertura dos três níveis, SDKs oficiais e modelo de evidências.

SDKs e integração

O profile é o mesmo independentemente da linguagem. A SignDocs oferece SDKs oficiais para TypeScript/Node, Python, Go, Java, PHP e C#/.NET, e a API REST é agnóstica de linguagem — qualquer cliente HTTP (cURL incluso) seleciona o nível pelo mesmo campo. Você pode começar pelo ambiente de homologação em api-hml.signdocs.com.br antes de ir para produção.