Verificação Pública de Assinaturas Digitais: Como Construir Confiança via API

Sua empresa investiu em uma plataforma de assinatura digital. Os contratos são assinados eletronicamente, com certificados ICP-Brasil, carimbo de hora do servidor e pacotes de evidências robustos. Do ponto de vista interno, tudo está resolvido. Mas existe uma pergunta que raramente é feita — e que pode minar toda a confiança construída: como o destinatário do documento sabe que a assinatura é válida?

Esse é o gap de confiança dos documentos digitais. Quando um cliente recebe um contrato assinado em PDF, quando um auditor analisa documentação de compliance, quando um juiz precisa avaliar a autenticidade de uma prova digital — nenhum deles tem, por padrão, uma forma simples e independente de verificar que aquele documento é autêntico, íntegro e que as assinaturas são válidas.

No mundo físico, esse problema era resolvido (de forma imperfeita) por reconhecimento de firma em cartório. No mundo digital, a solução é muito mais poderosa: endpoints de verificação pública — APIs e portais que permitem que qualquer pessoa, em qualquer lugar, valide uma assinatura digital sem precisar de conta, software especial ou conhecimento técnico.

Este artigo é um guia técnico e estratégico sobre como implementar, consumir e aproveitar a verificação pública de assinaturas digitais. Se você já entende o que é uma API de assinatura digital e conhece os padrões criptográficos PAdES e CAdES, aqui vamos dar o próximo passo: transformar a verificação em um ativo de confiança para o seu negócio.

Endpoints de Verificação Pública: Como APIs Expõem Validação para Terceiros

Um endpoint de verificação pública é, na essência, uma rota de API que não requer autenticação (ou requer autenticação mínima) e permite que qualquer pessoa submeta um código de verificação ou um hash de documento para obter informações sobre a validade das assinaturas contidas nele.

A arquitetura típica de um sistema de verificação pública envolve três camadas:

1. Camada de identificação — o documento é identificado por um identificador único de evidência — no SignDocs, o evidenceId (um ULID) retornado na finalização da transação, junto com o evidenceHash.
2. Camada de validação criptográfica — o servidor executa as verificações técnicas: integridade do hash SHA-256, validade dos certificados, status de revogação (OCSP/CRL) e conferência da trilha de auditoria e do carimbo de hora do servidor.
3. Camada de apresentação — os resultados são formatados em JSON (para consumo via API) ou em HTML (para o portal visual de verificação).

Diferentemente dos endpoints de criação e gestão de transações — que exigem autenticação OAuth 2.0 ou API key — o endpoint de verificação é deliberadamente aberto. Isso é intencional: a verificação precisa ser independente do emissor. Se o destinatário precisasse de uma conta na plataforma do remetente para verificar um documento, a confiança seria circular e autodependente.

Modelo de dados da verificação

Um endpoint de verificação bem projetado retorna informações estruturadas sobre cada assinatura encontrada no documento:

• Status geral — válido, inválido ou indeterminado.
• Integridade do documento — se o conteúdo foi alterado após a assinatura.
• Informações de cada signatário — nome, CPF/CNPJ, método de autenticação utilizado, data/hora da assinatura.
• Detalhes do certificado — autoridade certificadora emissora, validade, status de revogação.
• Carimbo de hora do servidor — data/hora ISO-8601 registrada pelos servidores do SignDocs no momento da assinatura e conclusão.
• Trilha de auditoria — referência ao registro append-only de eventos vinculados ao documento.
• Nível de conformidade — o SignDocs gera o nível baseline (equivalente a PAdES-B / CAdES-B): assinatura + certificado + carimbo de hora do servidor + trilha de auditoria.

Verificação Programática: Chamadas de API para Verificar Assinaturas

Para integrações sistema-a-sistema, a verificação programática via API é o caminho. Vamos examinar como consumir o endpoint de verificação pública do SignDocs, incluindo exemplos de requisição e resposta.

Verificação pelo evidenceId

Cada transação finalizada no SignDocs recebe um evidenceId único, retornado por POST /v1/transactions/{id}/finalize junto com o evidenceHash. É esse identificador que qualquer terceiro usa para verificar o documento — sem autenticação.

A resposta traz os metadados de verificação: o estado da transação, os hashes, a política exigida e as etapas concluídas, além da identificação do emissor (tenant). O conteúdo do documento nunca é exposto; apenas metadados de assinatura são retornados.

Verificação a partir do próprio arquivo (PDF)

Para cenários em que você possui o arquivo, mas não tem o evidenceId — um contrato recebido de um fornecedor, por exemplo — a API aceita o próprio PDF e detecta as assinaturas digitais embutidas nele. Esse endpoint é autenticado (escopo verification:write):

Exemplo de integração em Python

Veja como uma aplicação pode verificar um documento programaticamente em poucas linhas:

Verificação Visual: Portais Web e QR Codes nos Documentos

A verificação programática resolve o problema para sistemas automatizados. Mas e para seres humanos? Quando um cliente recebe um contrato, quando um advogado analisa um documento em juízo, quando um auditor verifica compliance — essas pessoas precisam de uma forma visual e intuitiva de confirmar a autenticidade.

Portal de verificação pública

O verificador.signdocs.com.br é o portal público de verificação do SignDocs. Ele oferece duas formas de verificação:

1. Identificador de evidência — o usuário informa o evidenceId do documento e obtém o resultado da validação na hora.
2. Verificação a partir do arquivo — para conferir um PDF recebido sem o identificador, a API de Verificação de PDF detecta as assinaturas digitais embutidas no próprio arquivo.

O resultado é apresentado em uma página clara, com indicadores visuais de status (verde para válido, vermelho para inválido), detalhes de cada signatário e informações sobre o certificado, o carimbo de hora do servidor e a trilha de auditoria. Não é necessário login, conta ou qualquer software adicional — basta um navegador web.

QR codes de verificação: gere o seu

QR codes encurtam o caminho entre o papel (ou a tela) e a verificação: quem escaneia cai direto na consulta daquele documento. A API não gera a imagem — e não precisa: o evidenceId retornado na finalização é estável e público, então basta codificar a consulta dele (o verificador público ou GET /v1/verify/{evidenceId}) em um QR code com qualquer biblioteca e posicioná-lo no layout do documento antes do envio, ou nos materiais que acompanham o contrato.

Comparativo: métodos de verificação

Para um guia prático sobre como validar assinaturas diretamente no Adobe Reader sem usar a API, consulte nosso artigo sobre como validar assinatura digital em PDF.

Integração em Fluxos de Trabalho: Verificação Embutida em Processos

A verificação pública ganha seu verdadeiro valor quando é incorporada nos fluxos de trabalho do negócio — não como uma etapa extra que alguém precisa lembrar de fazer, mas como uma verificação automática e transparente. Vamos examinar três cenários práticos.

Onboarding de clientes

Em fintechs, seguradoras e empresas de serviços, o onboarding de clientes envolve documentos assinados — termos de adesão, contratos de prestação de serviços, declarações de ciência de risco. A verificação pode ser embutida no fluxo:

1. O cliente assina o contrato via link do SignDocs.
2. O webhook TRANSACTION.COMPLETED notifica o sistema backend.
3. O backend faz uma chamada GET /v1/verify/{evidenceId} para confirmar independentemente que a assinatura é válida.
4. Somente após verificação positiva, o sistema libera o acesso do cliente à plataforma.

Essa "dupla verificação" — webhook + verificação independente — é uma prática recomendada de segurança, análoga ao padrão de confirmação de pagamento em gateways financeiros. Para detalhes sobre o fluxo completo de transações, veja nosso artigo sobre o fluxo transacional da API de assinatura digital.

Procurement e supply chain

Quando sua empresa recebe documentos assinados de fornecedores — propostas comerciais, certificados de qualidade, contratos de fornecimento — a verificação automatizada garante que nenhum documento fraudado ou adulterado entre no sistema:

Revisão jurídica e auditoria

Equipes jurídicas e de compliance podem integrar a verificação no seu workflow de revisão documental. Não há um endpoint de lote — o padrão é um laço no seu backend, com controle de concorrência para respeitar os limites de taxa. Para documentos assinados na própria SignDocs, com evidenceId conhecido, prefira a consulta pública, que dispensa autenticação:

A trilha de auditoria (audit trail) registrada pelo SignDocs complementa essa verificação, fornecendo o histórico completo de interações com cada documento.

Validação da Cadeia de Certificados ICP-Brasil

Quando um documento é assinado com certificado digital ICP-Brasil, a verificação vai além de conferir o hash SHA-256 e o carimbo de hora do servidor. É necessário validar toda a cadeia de certificados — desde o certificado do signatário até a raiz da Infraestrutura de Chaves Públicas Brasileira.

A hierarquia ICP-Brasil

A cadeia de certificados ICP-Brasil segue uma hierarquia rígida:

1. AC Raiz (ITI) — a autoridade certificadora raiz, mantida pelo Instituto Nacional de Tecnologia da Informação. É o ponto de confiança absoluto do sistema.
2. AC de 1o nível — autoridades certificadoras credenciadas diretamente pela AC Raiz (ex.: SERPRO, Certisign, SOLUTI, Serasa Experian).
3. AC de 2o nível — autoridades subordinadas às ACs de 1o nível.
4. Certificado do signatário — o certificado A1 ou A3 do usuário final, emitido por uma AC de 2o nível.

Para que uma assinatura seja considerada válida no contexto ICP-Brasil, cada elo da cadeia precisa ser verificado:

• O certificado do signatário foi emitido por uma AC credenciada?
• A AC que emitiu o certificado está com seu próprio certificado válido?
• A cadeia completa termina na AC Raiz do ITI?
• Nenhum certificado da cadeia foi revogado?

No SignDocs, essa validação hierárquica é executada no momento da assinatura — o protocolo de duas fases do DIGITAL_SIGN_A1 valida o certificado e a cadeia antes de aceitar a assinatura — e o resultado é preservado nas evidências. Na verificação pública (GET /v1/verify/{evidenceId}), os campos policy e steps mostram que a assinatura qualificada foi exigida e concluída, e a cadeia de certificados fica preservada no pacote .p7m. Para os formatos criptográficos envolvidos, consulte o glossário (PKCS#7/CMS).

Verificação ao Longo do Tempo: O Que Acontece Quando Certificados Expiram

Certificados digitais têm validade limitada — tipicamente 1 a 3 anos para certificados A1 ICP-Brasil. Mas contratos podem precisar ser verificados por 5, 10 ou até 20 anos. A questão prática é: como continuar comprovando que uma assinatura era válida muito depois de o certificado ter expirado?

O problema da verificação após expiração

Quando o certificado do signatário expira, uma validação que dependa exclusivamente de consultar o status do certificado hoje pode retornar "indeterminado" ou "inválido" — mesmo que a assinatura tenha sido perfeitamente válida no momento em que foi realizada. Isso acontece porque:

• Pode não haver como reconfirmar, em tempo real, que o certificado estava válido na data da assinatura.
• Servidores OCSP podem não guardar histórico de respostas anteriores.
• Listas CRL antigas podem ter sido removidas dos servidores das ACs.

Como o SignDocs preserva a verificabilidade: provas duráveis no servidor

A abordagem do SignDocs é registrar e preservar de forma durável, no momento da assinatura, as provas necessárias para que o documento continue verificável no futuro — sem depender de o certificado continuar válido hoje:

• Hash SHA-256 do documento — vincula a verificação ao arquivo exato que foi assinado, detectando qualquer alteração posterior.
• Carimbo de hora do servidor — timestamps ISO-8601 (serverStartedAt, serverCompletedAt, providerTimestamp) registrados pelos próprios servidores do SignDocs, comprovando quando cada etapa ocorreu.
• Trilha de auditoria append-only — pacote de evidências que liga o hash do documento à identidade do signatário, às etapas de autenticação (biometria/OTP/clickwrap), à geolocalização e ao device info.
• Resultado da validação ICP-Brasil — o status da cadeia de certificados e da revogação (OCSP/CRL) apurado na época da assinatura, preservado junto às evidências.

Em termos de níveis de assinatura, o SignDocs gera o nível baseline — equivalente a PAdES-B / CAdES-B (assinatura + certificado + carimbo de hora do servidor + trilha de auditoria). Os níveis com carimbo de tempo de uma ACT (Autoridade de Carimbo do Tempo) e com dados de validação de longo prazo embarcados — PAdES B-T/B-LT/B-LTA — não são gerados atualmente pela API.

Padrão PAdES: os níveis definidos pela norma

A título de contexto, o padrão PAdES define quatro níveis de conformidade. A tabela abaixo é educação sobre o padrão — o SignDocs gera apenas o nível baseline (PAdES-B):

OCSP vs. CRL: mecanismos de verificação de revogação

A verificação de revogação é uma das partes mais críticas da validação de certificados. Dois mecanismos coexistem:

• OCSP (Online Certificate Status Protocol) — consulta em tempo real ao servidor da AC sobre o status de um certificado específico. Resposta rápida e precisa, mas depende de conexão com o servidor da AC.
• CRL (Certificate Revocation List) — lista completa de certificados revogados, publicada periodicamente pela AC. Pode ser armazenada localmente, mas pode estar desatualizada entre publicações.

No momento da assinatura, o SignDocs apura o status de revogação (OCSP e/ou CRL) e preserva esse resultado junto à trilha de auditoria. Assim, mesmo anos depois, a verificação consulta o registro durável para confirmar que o certificado não estava revogado naquela data específica.

Construindo Confiança com Stakeholders: O Valor Estratégico da Verificação Pública

Até aqui, discutimos a verificação pública do ponto de vista técnico. Mas a decisão de implementar verificação pública é, acima de tudo, uma decisão de negócio. Vamos examinar como ela impacta diferentes stakeholders.

Confiança com clientes e parceiros

Quando sua empresa envia um contrato assinado digitalmente junto com a instrução "Você pode verificar a autenticidade deste documento em verificador.signdocs.com.br", você está dizendo: "Não precisa confiar apenas em nós — verifique por conta própria."

Esse gesto de transparência radical é particularmente poderoso em contextos de:

• Primeiros negócios com novos clientes — onde ainda não há histórico de confiança estabelecido.
• Transações de alto valor — contratos imobiliários, M&A, investimentos, onde o risco percebido é alto.
• Relações internacionais — parceiros estrangeiros que não conhecem a legislação brasileira podem verificar independentemente.
• Setores regulados — saúde, financeiro, jurídico — onde a comprovação de autenticidade é requisito operacional.

Confiança com auditores e reguladores

Em processos de auditoria, o auditor precisa validar a autenticidade dos documentos apresentados pela empresa auditada. Sem verificação pública, ele depende da própria empresa para fornecer "provas" de autenticidade — um conflito de interesse evidente.

Com verificação pública via API, o auditor pode:

1. Receber os documentos da empresa auditada.
2. Verificar cada documento de forma independente, via API ou portal, sem qualquer envolvimento da empresa.
3. Gerar relatório de verificação com timestamps próprios, comprovando quando e como a validação foi feita.

Isso reduz significativamente o tempo de auditoria e elimina questionamentos sobre a autenticidade da documentação.

Confiança no Judiciário

Quando um documento digital precisa ser apresentado como prova em juízo, a verificação pública oferece ao magistrado uma forma objetiva e independente de confirmar a autenticidade. O juiz (ou perito) pode acessar o verificador.signdocs.com.br, inserir o código de verificação e obter confirmação imediata de que o documento é autêntico, íntegro e foi assinado pelas partes indicadas.

A trilha de auditoria complementa essa verificação com detalhes forenses: IPs, geolocalização, biometria e timeline de eventos.

ROI da verificação pública

Embora a verificação pública não gere receita diretamente, ela impacta métricas de negócio críticas:

• Redução de ciclo de vendas — clientes que podem verificar documentos independentemente fecham negócios mais rápido.
• Redução de disputas contratuais — a verificabilidade pública reduz contestações sobre autenticidade.
• Aceleração de auditorias — auditores que verificam automaticamente via API completam processos semanas mais rápido.
• Diferencial competitivo — em RFPs e processos de seleção de fornecedores, a verificação pública é um critério cada vez mais frequente.

Perguntas Frequentes (FAQ)

Qualquer pessoa pode verificar uma assinatura digital sem ter conta na plataforma?

Sim. O conceito de verificação pública significa exatamente isso: qualquer pessoa — destinatário, auditor, juiz, regulador — pode verificar a autenticidade e integridade de um documento assinado sem precisar de login ou cadastro. O SignDocs oferece o portal verificador.signdocs.com.br, onde basta informar o identificador de evidência (evidenceId) do documento para obter o resultado completo da validação. Para verificar um PDF recebido de terceiros a partir do próprio arquivo, a API oferece o endpoint POST /v1/verify/document.

O que acontece quando o certificado digital do signatário expira após a assinatura?

A verificação no SignDocs não depende apenas do certificado continuar válido hoje. Cada assinatura é ancorada por um conjunto de provas que o SignDocs preserva de forma durável: o hash SHA-256 do documento, o carimbo de hora do servidor (timestamps ISO-8601 gerados pelos próprios servidores do SignDocs no momento da assinatura), a trilha de auditoria append-only com identidade do signatário e etapas de autenticação, além do registro da validação da cadeia ICP-Brasil e do status de revogação (OCSP/CRL) apurado na época. Assim, mesmo após a expiração do certificado, o verificador continua confirmando que aquele arquivo é autêntico e íntegro e que a assinatura era válida quando foi realizada. O SignDocs gera o nível baseline (assinatura + certificado + carimbo de hora do servidor + trilha de auditoria); níveis com carimbo de tempo de uma ACT e LTV (PAdES B-T/B-LT/B-LTA) não são gerados atualmente pela API.

Como integrar o QR code de verificação nos documentos gerados pela minha aplicação?

A API não gera QR codes — mas gerar o seu é simples: ao finalizar a transação, guarde o evidenceId retornado e codifique a consulta pública dele (o verificador público ou o endpoint GET /v1/verify/{evidenceId}) em um QR code com a biblioteca da sua preferência. Posicione a imagem no layout do documento antes do envio para assinatura, ou nos materiais que acompanham o contrato — quem escaneia cai direto na verificação daquele documento.

O endpoint de verificação pública da API tem limite de requisições (rate limit)?

Sim. Os endpoints de verificação têm limites de taxa para proteger o serviço contra abuso. A verificação pública por evidenceId é aberta (sem autenticação); já o endpoint de verificação de PDF (POST /v1/verify/document) exige token OAuth2 com o escopo verification:write e devolve cabeçalhos de limite de taxa na resposta. Requisições acima do limite recebem HTTP 429 — implemente backoff exponencial no seu cliente. Para volumes altos e contínuos, dimensione o caso com o time comercial no plano sob medida.

A verificação pública expõe o conteúdo do documento para terceiros?

Não. A verificação pública retorna apenas metadados da assinatura: status de validade, nome dos signatários, data/hora da assinatura, tipo de certificado utilizado e resultado da validação da cadeia de confiança. O conteúdo do documento em si nunca é exposto pelo endpoint de verificação. Apenas quem já possui o arquivo PDF consegue visualizar o conteúdo — a verificação confirma se aquele arquivo específico é autêntico e íntegro.

Como a verificação pública ajuda em processos de auditoria e compliance?

Em auditorias, o auditor precisa confirmar que os documentos apresentados são autênticos, não foram alterados e foram assinados por quem alega tê-los assinado. Com verificação pública, o auditor pode validar cada documento de forma independente, sem depender da empresa auditada para fornecer provas de autenticidade. Sistemas de compliance podem automatizar essa verificação via API, validando centenas de documentos em segundos.

Qual a diferença entre verificação via portal web e verificação via API?

O portal web (verificador.signdocs.com.br) é voltado para usuários finais que precisam verificar documentos individualmente de forma visual e intuitiva. A verificação via API (endpoint GET /v1/verify/{evidenceId}) é voltada para sistemas que precisam validar documentos programaticamente, em lote ou como parte de um fluxo automatizado. Ambos retornam as mesmas informações de validação — a diferença está na interface: humana (portal) versus máquina (API).

Próximos Passos

A verificação pública de assinaturas digitais não é apenas uma funcionalidade técnica — é um pilar de confiança que diferencia empresas que levam segurança documental a sério. Se você está avaliando plataformas de assinatura digital para sua empresa, a capacidade de verificação pública deve ser um critério eliminatório.

Recomendamos continuar sua jornada com estes recursos:

• Verificador SignDocs — teste a verificação pública agora, sem cadastro.
• O Que É uma API de Assinatura Digital — entenda a fundação da integração.
• Evidence Pack e Prova Jurídica via API — como o pacote de evidências complementa a verificação.
• Glossário de Assinatura Digital — todos os termos criptográficos e jurídicos, de ACT a XAdES.
• Fluxo Transacional da API — domine o ciclo de vida completo de uma transação.