Trilha de auditoria da assinatura: o que é e como conferir o hash
O que é a página de registro de uma assinatura eletrônica, quais dados ela traz, como calcular o SHA-256 do PDF enviado e conferir com o registro, e por que guardar os dois.
A trilha de auditoria de uma assinatura eletrônica é o registro do que aconteceu com o documento: quando foi enviado, quem assinou, quando e de qual endereço. No PDF do AjustaPDF, ela aparece como uma página de registro no fim do arquivo, com o SHA-256 do documento enviado. Para ela servir como prova, guarde o PDF final e o arquivo original juntos.
O que a trilha registra
Uma trilha de auditoria é uma lista de fatos com data e origem. Em assinaturas eletrônicas, os fatos mais usados são o envio do pedido, a assinatura de cada pessoa, eventual recusa e o resumo criptográfico do arquivo. Cada serviço escolhe o que mostra, e isso muda o que você pode provar depois; para avaliar a trilha de qualquer plataforma antes de usá-la, veja como avaliar se uma plataforma de assinatura eletrônica é confiável.
No pedido de assinatura do AjustaPDF, a página de registro traz o título do documento, o número do pedido, a data de criação e a de conclusão. Depois vem o SHA-256 do documento enviado, antes de qualquer assinatura. Para cada pessoa, aparecem o nome, o e-mail se foi informado, o estado (assinou, recusou ou ainda não assinou), a data e a hora, o endereço de origem com o último número oculto e o navegador.
Trilha, certificado e assinatura digital
A página de registro não é a assinatura. Ela é um relatório que acompanha a assinatura e descreve quem fez o quê, como na ata de uma reunião assinada por link (ata de reunião em PDF). Com ela, dá para mostrar a sequência de eventos e comparar o arquivo com o original. Ela não substitui um certificado ICP-Brasil, que grava uma assinatura verificável dentro do próprio arquivo. A diferença entre os dois está no glossário, e o guia sobre assinar sozinho ou pedir assinatura explica quando cada caminho serve; se a assinatura foi usada sem autorização, os passos estão em alguém usou minha assinatura digital.
Os campos da página, um por um
| Campo | O que significa | Para que serve |
|---|---|---|
| Pedido | Identificador do pedido | Liga o registro ao pedido no painel |
| Criado e concluído | Data e hora do envio e da última assinatura | Mostra o intervalo do processo |
| SHA-256 do documento enviado | Impressão digital do arquivo original | Permite confirmar que as páginas são as mesmas |
| Assinou em | Data e hora da assinatura de cada pessoa | Mostra o momento de cada assinatura |
| Origem e navegador | Endereço mascarado e tipo de navegador | Ajuda a relacionar a assinatura ao dispositivo |
Uma ressalva: a página registra as assinaturas e recusas, não cada vez que alguém abriu o link. Esse acompanhamento aparece no painel enquanto o pedido existe. Se você precisa provar que a pessoa abriu o documento antes de assinar, guarde a mensagem em que enviou o link.
Como conferir o hash, passo a passo
- Abra o arquivo original que você enviou, sem as assinaturas. Se não tiver mais esse arquivo, o hash não confirma nada.
- Calcule o SHA-256 pelo comando do seu sistema: certutil no Windows, shasum no Mac, sha256sum no Linux.
- Compare o resultado, caractere por caractere, com o código da página de registro do PDF final.
- Se os códigos forem iguais, o documento enviado é o que você tem. O PDF final ganhou a página de registro e as assinaturas, então o seu hash não bate com o registrado, e isso é esperado.
O guia sobre o hash do PDF explica por que um único byte alterado muda o resultado, e o glossário define o SHA-256.
Por que guardar os dois arquivos
O PDF final sozinho mostra o conteúdo e as assinaturas, mas não diz de onde vem o registro. A página de registro sozinha diz quem assinou e quando, mas não traz o texto do contrato. O original sem assinaturas sozinho comprova o conteúdo, sem provar quem assinou. Juntos, os três formam a prova: o texto, a sequência e a conferência do hash.
Como o pedido é apagado do servidor no prazo de guarda, o link do painel some depois. Por isso, baixe o PDF final assim que a última assinatura sair e guarde-o com o original; imprimir não substitui isso, como explica assinatura digital impressa ainda vale? O que não estiver no seu computador ou no seu e-mail deixa de existir do lado do serviço.
O que a trilha não resolve
A trilha mostra como o processo aconteceu, mas a força jurídica depende do tipo de assinatura e do que quem recebe exige. Para contrato entre particulares que aceitam assinatura eletrônica simples, o registro costuma ser um bom conjunto de prova. Para cartório, órgão público e processo que exigem certificado, a trilha é complemento, não substituto. Quem compara serviços encontra os critérios em como escolher uma plataforma de assinatura eletrônica e, para uma plataforma internacional, DocuSign é seguro?
Perguntas frequentes
Mandei o contrato de locação para o fiador assinar e ele diz que já assinou: onde vejo o registro?
No painel do pedido, que aparece quando você cria o pedido. Ele mostra, para cada pessoa, se ainda não abriu o link, se abriu e não assinou, ou se já assinou. Depois que todos assinam, a última página do PDF final traz o nome, a data e a hora de cada assinatura.
Como calculo o SHA-256 do contrato que mandei para conferir com a página de registro?
Use o arquivo original, sem assinaturas, que você enviou ao pedido. No Windows, rode certutil -hashfile contrato.pdf SHA256 no Prompt de Comando; no Mac, shasum -a 256 contrato.pdf no Terminal; no Linux, sha256sum contrato.pdf. Compare o resultado com o código da página de registro.
A página de registro do meu pedido de assinatura mostra o e-mail do fiador ou só o nome?
Mostra o nome e, se você preencheu o campo ao criar o pedido, o e-mail. Também aparecem a data e a hora da assinatura, o endereço de origem com o último número oculto e o navegador usado. O registro não guarda o que a pessoa fez entre abrir o link e assinar.
Por que preciso guardar o PDF final se o pedido já tinha o registro no painel?
Porque o pedido é apagado do servidor 7 dias depois da última assinatura, ou 30 dias depois do envio se ficou incompleto, e com ele o link do painel deixa de funcionar. O PDF final, com a página de registro, é a prova que você precisa manter.