P7S: o que é o arquivo de assinatura e como conferir
O que é um arquivo P7S, a assinatura destacada que acompanha o PDF, como conferir com o validador do ITI e por que a assinatura visual não substitui essa conferência.
P7S é a extensão de uma assinatura digital destacada, feita no padrão PKCS#7 ou CAdES. O arquivo não contém o documento; ele guarda só a assinatura, que aponta para o arquivo original. Para conferir, é preciso ter os dois, o documento e o .p7s, e um validador que leia a assinatura. O validador do ITI faz isso para assinaturas ICP-Brasil.
O que é uma assinatura destacada
Uma assinatura digital é um cálculo feito sobre o conteúdo do arquivo com a chave privada de quem assina. O resultado é um bloco de dados que só a chave pública correspondente confirma. Na assinatura destacada, esse bloco vai para um arquivo separado, o .p7s, e o documento original fica intacto.
Por isso o .p7s depende do arquivo original. Ele registra um resumo matemático do documento no momento da assinatura. Se o documento mudar um único byte, o resumo não bate mais, e a verificação falha. É essa propriedade que dá a garantia de que o conteúdo não foi alterado depois de assinado.
Onde o P7S aparece
O formato é comum em sistemas que trocam documentos assinados com certificado digital, sobretudo em órgãos públicos, sistemas de protocolo e troca de arquivos entre empresas. Um sistema pode exigir o PDF e o .p7s juntos, em uma pasta, ou pode gerar um .zip com os dois. Quem recebe precisa conferir os dois antes de aceitar o documento.
Vale notar que existe outra forma de assinar PDF, em que a assinatura fica dentro do próprio arquivo, sem um .p7s separado. O padrão chama PAdES (para distinguir os dois no seu arquivo, veja PAdES ou CAdES: como saber qual assinatura seu PDF tem). Nesse caso, o leitor de PDF mostra as assinaturas no painel próprio, e a conferência é feita pelo mesmo arquivo.
Como conferir uma assinatura .p7s
A verificação tem três respostas que importam: quem assinou, se o certificado era válido na data da assinatura e se o documento é o mesmo que foi assinado. Um validador de assinaturas responde as três de uma vez.
- Guarde os dois arquivos juntos. A conferência precisa do PDF exatamente como foi assinado e do .p7s, e falha se um deles estiver faltando ou tiver sido alterado.
- Use o validador do ITI. O portal validar.iti.gov.br confere assinaturas no padrão ICP-Brasil e mostra o titular e a validade do certificado.
- Confirme que o PDF não foi alterado. Se o validador reclamar que o documento não corresponde à assinatura, peça o arquivo original ao emissor. Uma alteração posterior, mesmo pequena, causa essa falha.
Um programa de assinatura digital instalado no computador também pode verificar o arquivo. Para entender a assinatura gov.br e a ICP-Brasil no dia a dia, veja o guia sobre a assinatura gov.br e ICP-Brasil. Os nomes dos programas e das telas mudam entre versões, então siga a instrução do próprio emissor sobre qual programa usar.
O que a ferramenta de assinar PDF faz
| Tipo de assinatura | Onde fica | Como conferir |
|---|---|---|
| .p7s destacada (CAdES) | Arquivo separado do PDF | Validador do ITI, com os dois arquivos |
| Assinatura digital dentro do PDF (PAdES) | No próprio PDF | Painel de assinaturas do leitor de PDF |
| Assinatura visual, como a da ferramenta de assinar | Uma imagem na página | Não há verificação; é uma assinatura eletrônica simples |
A ferramenta de assinar PDF do AjustaPDF coloca uma assinatura visual na página, desenhada, digitada ou em imagem. Ela não cria um .p7s e não tem certificado ICP-Brasil. Serve para contratos entre particulares que aceitam esse formato, recibos e documentos internos. Quando o destinatário exige assinatura digital com certificado, a assinatura visual não resolve, e é preciso assinar com o certificado ou com o assinador do gov.br.
Cuidados com o .p7s e com o PDF
Mexer no PDF depois de assinado quebra a verificação, seja ao juntar, comprimir, girar ou apagar páginas. A ordem certa é juntar, organizar e comprimir primeiro, e só então assinar a versão final. Se você precisa de uma alteração depois, a assinatura precisa ser refeita.
Outro cuidado é renomear os arquivos. O .p7s e o PDF se ligam pelo conteúdo, e não pelo nome, mas alguns sistemas esperam o nome exato do documento. Mudar o nome de um deles pode levar o destinatário a conferir o arquivo errado. Mantenha os nomes originais e, se for enviar uma cópia, envie os dois juntos.
Quando usar cada tipo
Use o .p7s quando o destinatário pede a assinatura separada, como em sistemas de protocolo ou em trocas que já funcionam assim. Use a assinatura dentro do PDF quando você quer que o documento carregue a própria prova. Use a assinatura visual quando o acordo é entre particulares e a forma aceita é uma assinatura eletrônica simples.
Para o caso de uma nota fiscal, o guia sobre o XML da NF-e mostra o que é o documento fiscal e o que é a representação em PDF.
Para conferir um PDF assinado pelo gov.br, veja como validar PDF assinado pelo gov.br. Se o validador acusa que o arquivo mudou, o guia assinatura inválida depois de editar explica o motivo.
Perguntas frequentes
Como abrir um arquivo .p7s que veio junto com um PDF?
Um .p7s não é um documento que se lê; ele é a assinatura do arquivo original. Para conferir, você precisa dos dois arquivos, o PDF e o .p7s, no mesmo lugar. Use o validador de assinaturas do ITI ou um programa de assinatura digital, que mostra quem assinou e se o arquivo foi alterado.
Consigo validar o .p7s pelo AjustaPDF?
Não. O AjustaPDF não valida assinaturas ICP-Brasil nem gera um arquivo .p7s. A ferramenta de assinar PDF desenha uma assinatura visual, que é uma imagem na página. Para conferir uma assinatura digital de verdade, use o validador do ITI, em validar.iti.gov.br.
Se eu juntar o PDF com outro arquivo, a assinatura do .p7s continua valendo?
Não. A assinatura destacada cobre o arquivo exato que foi assinado, byte a byte. Qualquer mudança no PDF, como juntar, comprimir ou girar páginas, faz a verificação falhar. Se precisar alterar o documento, peça uma nova assinatura sobre a versão final.
Qual a diferença entre um .p7s e a assinatura dentro de um PDF?
No .p7s, a assinatura fica num arquivo separado do documento. Na assinatura dentro do PDF, ela fica no próprio arquivo, e o leitor de PDF a mostra no painel de assinaturas. Os dois podem ser válidos; o que muda é onde a assinatura está guardada e como o destinatário confere.