PAdES ou CAdES: como saber qual assinatura seu PDF tem
Diferença entre PAdES e CAdES em PDF: onde fica a assinatura, como ver se ela aparece no painel do leitor e como reconhecer um arquivo .p7s.
PAdES é a assinatura digital gravada dentro do próprio PDF, e o leitor a mostra no painel de assinaturas. CAdES é uma assinatura em arquivo separado, com extensão .p7s ou .p7m, que acompanha o documento. Para saber qual você tem, veja se há assinatura listada no painel do PDF e se existe um arquivo .p7s ao lado dele.
O que cada sigla significa
Os dois formatos usam assinatura digital, feita com certificado. O PAdES, de PDF Advanced Electronic Signatures, é o padrão pensado para o PDF. O CAdES, de CMS Advanced Electronic Signatures, serve para qualquer tipo de arquivo, como PDF, XML ou imagem. A ICP-Brasil define os dois, e a escolha costuma depender do sistema que vai gerar ou receber o documento. Para saber o que um destinatário específico aceita, como um cartório, veja se o cartório aceita assinatura do gov.br; para os níveis de assinatura, simples, avançada e qualificada.
Como o arquivo guarda a assinatura
No PAdES, a assinatura vira um objeto dentro do PDF. Quem abre o arquivo vê o painel de assinaturas, com o nome do signatário e a situação. Se alguém alterar uma página depois de assinar, o leitor avisa que a assinatura não confere mais.
No CAdES destacado, o PDF fica intacto e a assinatura vai no arquivo .p7s, um envelope binário com a verificação. Para conferir, é preciso ter os dois arquivos juntos: o original e o .p7s. No CAdES envelopado, de extensão .p7m, o próprio documento vai dentro do envelope, e é preciso extraí-lo antes de ler o conteúdo, como mostra arquivo P7M que não abre.
PAdES x CAdES, lado a lado
| Característica | PAdES | CAdES |
|---|---|---|
| Onde fica a assinatura | Dentro do PDF | Arquivo .p7s ou envelope .p7m |
| Aparece no painel do leitor | Sim | Não, precisa de validador |
| Serve para qualquer tipo de arquivo | Só PDF | Sim |
| Alterar o PDF depois de assinar | O leitor marca a assinatura como inválida | O .p7s deixa de conferir com o arquivo alterado |
| Sinal típico para você | Assinatura listada no painel | Arquivo .p7s ou .p7m ao lado do PDF |
Como saber qual você tem, em três passos
- Abra o PDF no Acrobat Reader gratuito e procure o painel de assinaturas, que costuma ficar na barra lateral. Se houver uma assinatura listada, o arquivo tem PAdES.
- Veja se há um arquivo .p7s ou .p7m com o mesmo nome do PDF, ou na mesma pasta. Isso indica CAdES.
- Se o painel mostra a assinatura como inválida ou não verificada, confirme se o PDF foi alterado, salvo de novo ou impresso depois de assinado.
Um painel vazio, sozinho, não prova que o arquivo não tem assinatura. Se nada aparece e também não há um .p7s, o arquivo provavelmente não tem assinatura digital, e pode ter apenas uma imagem da assinatura; o guia como ver quem assinou um PDF e se o certificado é de verdade mostra a diferença.
Para conferir a validade
A verificação de assinatura ICP-Brasil é feita pelo validador do ITI, em validar.iti.gov.br. Ele recebe o arquivo assinado e mostra o resultado. Não confie na aparência do PDF: uma assinatura pode parecer correta na página e falhar na verificação. Quando o destinatário pede o relatório, guarde o resultado junto com o arquivo. O validador lê o arquivo, não o papel: veja assinatura digital impressa ainda vale?.
O que o AjustaPDF assina e o que não assina
O assinar PDF grava uma imagem da sua assinatura na página. Ela não é PAdES nem CAdES: não há certificado nem verificação criptográfica. Serve para uma assinatura eletrônica simples, como um documento interno ou um contrato entre particulares que aceita esse formato. Quando o destinatário pede assinatura com certificado, a imagem não basta. O AjustaPDF também não valida assinaturas ICP-Brasil.
Vale saber que imprimir como PDF, ou salvar de novo num editor, costuma apagar a assinatura digital, porque o arquivo sai reconstruído. Por isso, o PDF assinado deve ser o último a sair da sua mão, e qualquer ajuste precisa ser feito antes de assinar.
Quando a assinatura quebra
- Editar depois de assinar. Qualquer alteração na página invalida a assinatura PAdES. O caso típico está em assinatura inválida depois de editar.
- Regravar o arquivo. Ferramentas que reescrevem o PDF, como compressão ou conversão, mudam os bytes que a assinatura cobre. Confira a assinatura depois de qualquer uma delas.
- Assinatura só visual. Quem recebe pode achar que a imagem é prova suficiente. Se o caso exige certificado, a imagem não substitui a assinatura digital. Veja também assinatura visível ou invisível.
Para entender a parte técnica do PAdES, o guia sobre como o PDF guarda e verifica uma assinatura cobre o que vai dentro do arquivo, e o arquivo P7S explica o envelope separado.
Perguntas frequentes
Meu PDF assinado veio com um arquivo .p7s junto: é PAdES ou CAdES?
É CAdES, com a assinatura num arquivo separado. O PDF pode estar sem nenhuma marca de assinatura dentro dele. Para conferir, use o PDF e o .p7s juntos no validador do ITI e não edite o documento antes.
Como saber se a assinatura do PDF é de verdade e não só uma imagem colada?
Uma assinatura de imagem aparece na página, mas não entra no painel de assinaturas do leitor, que só lista assinaturas com certificado. Se o painel mostra um nome e a situação da assinatura, há assinatura criptográfica, do tipo PAdES. Imagem colada não tem como ser verificada.
Dá para transformar uma assinatura PAdES em CAdES para mandar em outro formato?
Não existe conversão simples. A assinatura é gerada no momento da assinatura, com o certificado do signatário. Se o destinatário pede outro formato, peça a ele o formato exato antes e, se precisar, assine de novo com o programa do seu certificado.
Onde conferir uma assinatura ICP-Brasil de um PDF que chegou por e-mail?
No validador do ITI, em validar.iti.gov.br, enviando o arquivo assinado. O resultado mostra quem assinou e se a assinatura confere com o arquivo. Se o PDF foi alterado depois de assinado, a verificação falha, e isso não se corrige no próprio arquivo.