Assinatura ficou inválida depois de editar ou comprimir

Uma assinatura digital com certificado ICP-Brasil ou gov.br fica inválida quando o arquivo é alterado depois de assinado. Juntar, comprimir (o que fazer ao comprimir um PDF assinado), achatar formulário e remover páginas são alterações desse tipo. A assinatura desenhada no AjustaPDF é só uma imagem e não sofre esse problema. A regra prática é editar primeiro, assinar por último e conferir o resultado no fim.

Duas assinaturas com nomes parecidos

Muita gente chama de “assinatura digital” qualquer assinatura feita num PDF, mas elas são coisas diferentes. A assinatura desenhada ou digitada é uma imagem colocada sobre a página. Ela serve como assinatura eletrônica simples, aceita em muitos contratos entre particulares. A assinatura digital é um cálculo criptográfico ligado a um certificado, gravado dentro do arquivo, e é ela que quebra quando o arquivo muda.

O que invalida a assinatura digital

Qualquer ferramenta que regrave o PDF assinado quebra a assinatura digital, salvo as atualizações incrementais que a própria assinatura prevê, como uma segunda assinatura. Isso inclui os passos mais comuns de preparação de documentos. Juntar dois arquivos cria um documento novo, e a assinatura de cada origem não acompanha o resultado. Comprimir reescreve as imagens e grava o arquivo de novo. Achatar formulários transforma os campos em conteúdo fixo. Remover ou organizar páginas também altera a estrutura do arquivo.

Até uma edição pequena, como trocar um parágrafo, altera os bytes. Por isso o leitor de PDF mostra um aviso do tipo “documento modificado após a assinatura”, mesmo quando o conteúdo visível parece igual.

Ordem de trabalho que evita o problema

1. Junte os arquivos. Confira a ordem das páginas e o conteúdo de cada parte antes de seguir.
2. Comprima, se for preciso. Escolha o nível de compressão que o destino aceita e confira a legibilidade.
3. Organize, remova ou corrija páginas. Faça todas as alterações de estrutura nesta etapa.
4. Proteja com senha, se o destino exigir. Como a proteção também regrava o arquivo, ela deve vir antes da assinatura digital.
5. Assine por último. Com o documento fechado, aplique a assinatura digital e confira o painel de assinaturas.

Esse é o mesmo raciocínio do guia sobre a ordem certa de juntar, comprimir e proteger um PDF. A diferença é que aqui o último passo, a assinatura, não pode ser seguido de nenhuma outra alteração. Se você recebeu um PDF já assinado e precisa alterá-lo, a alteração gera um documento novo, e quem assinou precisa assinar de novo.

Assinar com certificado: o que o AjustaPDF faz e o que não faz

A ferramenta de assinar PDF cria a assinatura desenhando com o dedo ou o mouse, digitando o nome ou enviando uma foto dela, e posiciona a imagem na página. Ela pode ser repetida em todas as páginas, como rubrica. Essa assinatura é eletrônica simples. A ferramenta não aplica certificado ICP-Brasil nem faz a assinatura gov.br, e não valida assinaturas digitais de terceiros. Como ela também regrava o arquivo, desenhar uma assinatura num PDF que já tem assinatura digital invalida a assinatura que existia. Se o documento precisa das duas, a digital vai por último.

Quando o documento precisa de assinatura digital, use o assinador gov.br ou um certificado ICP-Brasil no próprio sistema de assinatura. Para conferir se uma assinatura ICP-Brasil ainda é válida, o validador do ITI, em validar.iti.gov.br, é a referência. O guia sobre assinatura gov.br e ICP-Brasil explica quando a diferença importa, o de como validar um PDF assinado mostra a conferência, e o de PDF assinado digitalmente explica por que ele não pode ser editado.

Quando a assinatura desenhada basta

A assinatura desenhada serve para recibos, documentos internos e contratos entre particulares que aceitam esse formato. Se a lei ou quem recebe exige assinatura qualificada, como em cartórios, processos judiciais e muitos órgãos públicos, ela não atende. Antes de assinar, confirme a exigência com quem vai receber o documento.

Como verificar se a assinatura quebrou

Abra o arquivo final num leitor que mostre o painel de assinaturas. Se a assinatura aparece com aviso de alteração, o arquivo foi modificado depois de assinado e precisa ser refeito na ordem certa. Se a assinatura aparece como válida, confira também se o certificado é de confiança para o destino. Em versões recentes do Acrobat Reader, o painel de assinaturas fica na barra lateral de ferramentas. Para entender como o PDF guarda e verifica a assinatura, veja PAdES.

O aviso de alteração não diz qual alteração foi feita. Se você não lembra o que mudou, compare o arquivo assinado com a versão anterior, página por página, antes de assinar de novo. Para entender por que um único byte alterado basta para quebrar a assinatura, leia como o hash detecta uma alteração no PDF.

O caso de juntar arquivos já assinados é detalhado em juntar PDFs já assinados sem invalidar a assinatura. Para ler cada aviso do leitor, veja o painel de assinaturas do Adobe.