Verificar a assinatura digital: como validar de forma fiável a validade jurídica das assinaturas eletrónicas no contexto B2B

Introdução: Por que é que a «verificação» é o verdadeiro alicerce dos processos digitais

Em muitas empresas, a assinatura digital de contratos já é, há muito, a norma. No entanto, embora se invista uma enorme quantidade de energia na realização das assinaturas, uma questão fundamental no dia-a-dia do B2B fica muitas vezes por responder: como é que verificas os documentos que regressam à tua empresa já assinados?

As empresas trocam diariamente contratos confidenciais – desde contratos de trabalho nos RH, passando por acordos com fornecedores, até transações financeiras de grande volume. Quem confiar que uma assinatura digitalizada ou uma simples imagem de lugar-marcador num PDF tem validade jurídica está a correr um risco enorme em termos de conformidade e responsabilidade. Só a verificação sistemática e criptográfica te dá a garantia, com valor judicial, de que a tua contraparte é mesmo quem diz ser e de que o texto do contrato não foi alterado posteriormente.

A anatomia técnica: o que acontece quando verificas uma assinatura digital?

Quando verificas uma assinatura digital (por exemplo, através do sproof Validator, do Acrobat Reader, de serviços de validação estatais, como a Rundfunk und Telekom Regulierungs-GmbH na Áustria, ou de um software especializado), decorre em segundo plano um processo em três etapas:

1. Verificação da integridade do documento (a comparação de hash)

Ao assinar, todo o conteúdo do ficheiro é comprimido por um algoritmo, transformando-se numa impressão digital única – o chamado valor hash. A ferramenta de verificação volta a calcular esse valor hash ao abrir o ficheiro. Se o valor hash atual corresponder exatamente ao valor encriptado no momento da assinatura, fica claro: o documento não sofreu nenhuma alteração, nem mesmo um único caractere, desde a assinatura.

2. Validação do certificado digital (a identidade)

Cada assinatura eletrónica avançada (FES) ou qualificada (QES) está indissociavelmente ligada a um certificado digital. Este certificado funciona como um cartão de identidade digital. A ferramenta de verificação extrai os metadados do certificado para identificar o nome do signatário, o endereço de e-mail verificado e o emissor (Prestador de Serviços de Confiança, ou TSP).

3. Comparação com a Lista de Confiança da União Europeia (EUTL)

O Regulamento eIDAS garante o máximo valor probatório no espaço europeu. Os setores altamente regulamentados exigem, por norma, a assinatura eletrónica qualificada (QES), uma vez que só esta é juridicamente equiparada a 100 % à assinatura manuscrita. Ao verificar uma QES, o software compara o TSP emissor com a lista oficial de entidades de confiança da Comissão Europeia (EUTL). Se o prestador não estiver acreditado nessa lista, a assinatura perde o seu estatuto de QES.

Por que é que algumas assinaturas são consideradas «inválidas» em ferramentas de verificação europeias

Um fenómeno comum nos departamentos jurídicos europeus: um contrato assinado através de uma ferramenta norte-americana é carregado no serviço oficial de verificação da RTR (Áustria) e é imediatamente classificado como «inválido» ou «tecnicamente não verificável».

Há uma razão para isso: a falta de acreditação EUTL. Muitos hyperscalers globais utilizam, para as suas assinaturas padrão, cadeias de certificados próprias que, embora sejam marcadas como «verdes» em listas comerciais (como a Adobe Approved Trust List – AATL), não cumprem os rigorosos critérios regulamentares das autoridades de supervisão europeias.

Passo a passo: como verificar uma assinatura digital na prática

Para as empresas, existem basicamente três formas comprovadas de validar assinaturas de forma a garantir a conformidade com os requisitos de auditoria:

• Método 1: Validação automatizada através de software e API (para grandes empresas) As grandes organizações não conseguem verificar manualmente os documentos que recebem. É aqui que entram em ação módulos como o sproof Validate. Através de uma API REST, os contratos são digitalizados automaticamente assim que chegam, verificados criptograficamente e arquivados no teu sistema de gestão de documentos (DMS) com um registo de auditoria (trail de auditoria) imutável.
  
• Opção 2: Validação diretamente na plataforma sproof sign. Se gerires documentos no teu painel central do sproof sign, basta um simples clique. Passa o rato por cima do cartão de assinatura no editor de documentos. A ferramenta mostra-te imediatamente, numa sobreposição, se a assinatura é válida, qual é a norma de segurança (EES, FES, QES) e qual o Prestador de Serviços de Confiança que emitiu o certificado.
  
• Método 3: A verificação manual através do Adobe Acrobat Reader Graças à norma mundial PAdES, as assinaturas compatíveis com LTV (Long-Term Validation) também podem ser verificadas offline no Adobe Reader. Para isso, a Adobe usa os dados de revogação incorporados (CRL/OCSP) para confirmar a validade histórica da assinatura ao longo de décadas.

Acaba com as incertezas jurídicas na gestão de documentos

Automatiza os teus processos de verificação e protege a tua empresa contra violações de conformidade. Com o sproof Sign e o sproof Validate, estás a apostar numa solução 100 % europeia – sem qualquer ligação aos EUA, totalmente em conformidade com o RGPD e certificada segundo a norma ISO 27001.

Marca já uma sessão de demonstração sem compromisso ou experimenta o sproof sign de graça

FAQs sobre o tema