Como validar a autenticidade de uma assinatura digital em documento anexado

Validar a autenticidade de uma assinatura digital em documento anexado significa confirmar, antes de aceitar o protocolo ou avançar a análise, que o certificado ou a assinatura eletrônica registrada no arquivo pertence a quem diz assiná-lo, que o documento não foi alterado depois de assinado e que a assinatura ainda é válida — em vez de aceitar como prova suficiente uma imagem de carimbo, um código impresso ou a palavra do requerente. Um PDF com “assinatura digital” no rodapé não é, por si só, prova de nada: a validação só existe quando alguém confere isso numa ferramenta própria para esse fim.

Este guia cobre os tipos de assinatura eletrônica que aparecem em documentos anexados a um processo público, o passo a passo para validar cada um antes de aceitar o protocolo, o que a legislação exige e os indicadores que mostram se esse controle está de fato acontecendo.

O que é validação de assinatura digital em documento anexado

É a conferência formal — feita numa ferramenta certificadora, não a olho nu — de que uma assinatura eletrônica aposta num arquivo (procuração, contrato, laudo técnico, declaração) é íntegra e pertence ao signatário declarado. Isso é diferente de olhar o documento e ver um carimbo com os dizeres “assinado digitalmente”: esse carimbo pode ser apenas uma imagem colada, sem nenhum certificado por trás, especialmente quando o arquivo já passou por impressão e novo escaneamento.

Por que essa validação importa

Um documento assinado eletronicamente só tem o valor jurídico de uma assinatura de próprio punho quando a assinatura em si pode ser verificada — é essa verificabilidade, não a aparência do carimbo, que sustenta a validade jurídica prevista na legislação. Quando o servidor aceita um documento pela aparência, três riscos concretos aparecem:

• O documento pode ter sido alterado depois de assinado, e a assinatura original não cobre mais o conteúdo que está sendo protocolado.
• A pessoa que assinou pode não ser quem o processo presume — problema comum em procurações e contratos anexados por terceiros.
• Numa auditoria, num recurso administrativo ou numa ação judicial, o órgão não tem como provar que aquele documento específico foi de fato verificado no momento do protocolo, e não apenas aceito por boa-fé.

O problema fica mais visível quando o documento passou por um caminho manual: alguém assina digitalmente num sistema de origem, imprime o arquivo para juntar a outros papéis, e depois escaneia o conjunto de volta para o formato digital. Esse PDF final não carrega mais a assinatura eletrônica original — carrega só a imagem dela. Nesse caso, a validação exige o arquivo assinado eletronicamente na origem, não a versão reimpressa.

Passo a passo para validar a assinatura

1. Identifique o tipo de assinatura declarada no documento

Confira se o documento indica assinatura por certificado digital ICP-Brasil, assinatura pela conta gov.br (login único) ou uma assinatura eletrônica de outra plataforma. Cada tipo tem sua própria via de verificação, e tratar todas como equivalentes é o primeiro erro.

2. Exija o arquivo assinado eletronicamente, não a versão impressa e reescaneada

Quando o requerente ou o parceiro externo só tem em mãos uma cópia impressa com a assinatura reproduzida, peça o arquivo original em formato eletrônico (PDF assinado, por exemplo) ou o link de verificação gerado no momento da assinatura. Sem o arquivo original, não existe assinatura para validar — existe só a imagem dela.

3. Valide certificados ICP-Brasil no Verificador de Conformidade do ITI

Para documentos assinados com certificado digital no padrão ICP-Brasil, submeta o arquivo no Verificador de Conformidade do padrão ICP-Brasil, serviço mantido pelo Instituto Nacional de Tecnologia da Informação (ITI), a Autoridade Certificadora Raiz da Infraestrutura de Chaves Públicas Brasileira. O serviço confirma se o certificado do signatário era válido no momento da assinatura e se o conteúdo do arquivo permanece íntegro.

4. Valide assinaturas feitas pela conta gov.br pelo código verificador

Documentos assinados pelo portal de assinatura eletrônica do gov.br trazem um código verificador (geralmente impresso no rodapé ou disponível como QR code). Use esse código no próprio portal gov.br para confirmar quem assinou, quando e se o documento permanece inalterado desde então.

5. Registre o resultado da validação dentro do processo, não à parte

Anote no processo — não numa planilha paralela ou num e-mail interno — que a assinatura foi conferida, com data e responsável pela conferência. Um “ok” verbal ou um aceite tácito não sustenta a decisão diante de qualquer questionamento posterior.

6. Trate divergência como pendência formal, nunca como bom-senso

Se a validação falhar — certificado expirado, arquivo alterado, código verificador inválido — devolva o processo ao requerente pedindo o arquivo correto ou nova assinatura. Aceitar “porque parece estar tudo certo” transfere para o órgão público o risco que a validação deveria eliminar.

7. Audite periodicamente uma amostra de documentos já aceitos

Revisar, por amostragem, se a rotina de validação está sendo seguida por todos os setores que recebem documento assinado externamente evita que o controle exista só no papel da norma interna e não na prática do dia a dia.

O que a legislação exige

A Medida Provisória nº 2.200-2/2001 instituiu a Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) justamente para garantir autenticidade, integridade e validade jurídica a documentos eletrônicos assinados com certificado digital nesse padrão — e é essa mesma infraestrutura que o Verificador do ITI usa para conferir um certificado.

Já a Lei nº 14.063/2020 dispõe especificamente sobre o uso de assinaturas eletrônicas nas interações entre pessoas e instituições privadas com os entes públicos, e entre os próprios órgãos e entidades públicas. A lei classifica a assinatura eletrônica em três níveis — simples, avançada e qualificada — e é a partir dessa classificação que cada órgão deve definir, para cada tipo de documento, qual nível de assinatura é aceitável: um requerimento de baixo risco pode admitir assinatura simples, enquanto um contrato ou uma procuração tende a exigir avançada ou qualificada.

Como o Aprova resolve isso

• Documentos produzidos e assinados dentro do próprio fluxo do processo dispensam essa verificação externa: a assinatura nasce vinculada ao processo e ao signatário, sem depender de impressão, reenvio ou conferência manual posterior.
• A leitura automática de documentos anexados por IA confere legibilidade e prazo de emissão do arquivo antes de liberar a etapa seguinte, reduzindo a chance de um documento com problema passar despercebido até a análise humana.
• O histórico de visualização e de movimentação registra quem acessou e quando cada peça do processo, sustentando a comprovação de que a conferência aconteceu no momento certo, e não depois de questionada.
• Quando a validação de um documento anexado falha, o processo pode ficar formalmente pendente até a correção, em vez de avançar com um “aceite” informal que ninguém assume.

Indicadores para medir o controle

• Percentual de documentos assinados externamente que passam por validação formal registrada antes do protocolo avançar.
• Tempo médio entre o recebimento do documento e o registro da validação no processo.
• Volume de documentos devolvidos por falha na conferência de assinatura, por tipo de processo.
• Número de contestações administrativas ou judiciais relacionadas à autenticidade de documento, antes e depois de o controle formal existir.

FAQ sobre validação de assinatura digital

Uma assinatura digital impressa e depois escaneada continua válida?

Não da mesma forma. O arquivo final carrega apenas a imagem da assinatura, sem o certificado ou o código que permite a verificação eletrônica. Para validar, é necessário o arquivo assinado originalmente em formato eletrônico ou o link/código gerado no momento da assinatura.

Qual a diferença entre assinatura eletrônica simples, avançada e qualificada?

A Lei nº 14.063/2020 usa esses três níveis para classificar o grau de identificação do signatário e de segurança da assinatura. Cada órgão deve definir, por tipo de documento, qual nível exigir — quanto maior o risco jurídico do ato, maior o nível recomendado.

O Verificador do ITI serve para qualquer tipo de assinatura eletrônica?

Serve especificamente para conferir a conformidade de assinaturas no padrão ICP-Brasil. Assinaturas feitas por outras plataformas — como a conta gov.br — têm seu próprio mecanismo de verificação, geralmente por código verificador no portal de origem.

Quem responde se o órgão aceitar um documento com assinatura falsa ou inválida?

A responsabilidade recai sobre quem tinha o dever de conferir a assinatura antes de aceitar o documento como válido para instruir o processo. É exatamente esse o motivo para registrar formalmente o resultado da validação, e não apenas presumir a autenticidade.

Todo documento anexado a um processo público precisa desse nível de validação?

Não necessariamente. Documentos de baixo risco — como um formulário preenchido pelo próprio requerente dentro do sistema — não exigem o mesmo rigor que uma procuração ou um contrato assinado fora da plataforma e anexado como arquivo externo.

Conclusão

Aceitar um documento pela aparência da assinatura é abrir mão, sem perceber, da própria proteção jurídica que a assinatura eletrônica deveria oferecer. Formalizar o passo a passo de validação — identificar o tipo de assinatura, exigir o arquivo correto, conferir na ferramenta própria e registrar o resultado dentro do processo — é o que transforma uma assinatura digital de detalhe visual em prova que resiste a qualquer questionamento posterior. Para ver como isso se encaixa num fluxo de assinatura eletrônica nativo do processo, conheça a solução de processo eletrônico da Aprova ou agende uma demonstração.