# Trilha de auditoria da assinatura: o que é e como conferir o hash

O que é a página de registro de uma assinatura eletrônica, quais dados ela traz, como calcular o SHA-256 do PDF enviado e conferir com o registro, e por que guardar os dois.

URL canônica: https://ajustapdf.com/blog/trilha-de-auditoria-da-assinatura-eletronica

Publicado em 2026-11-04 · 4 min de leitura · por [AjustaPDF](https://ajustapdf.com/sobre#editorial)

A trilha de auditoria de uma assinatura eletrônica é o registro do que aconteceu com o documento: quando foi enviado, quem assinou, quando e de qual endereço. No PDF do AjustaPDF, ela aparece como uma página de registro no fim do arquivo, com o SHA-256 do documento enviado. Para ela servir como prova, guarde o PDF final e o arquivo original juntos.

## O que a trilha registra

Uma trilha de auditoria é uma lista de fatos com data e origem. Em assinaturas eletrônicas, os fatos mais usados são o envio do pedido, a assinatura de cada pessoa, eventual recusa e o resumo criptográfico do arquivo. Cada serviço escolhe o que mostra, e isso muda o que você pode provar depois; para avaliar a trilha de qualquer plataforma antes de usá-la, veja [como avaliar se uma plataforma de assinatura eletrônica é confiável](/blog/plataforma-de-assinatura-eletronica-e-confiavel-como-avaliar).

No pedido de assinatura do AjustaPDF, a página de registro traz o título do documento, o número do pedido, a data de criação e a de conclusão. Depois vem o SHA-256 do documento enviado, antes de qualquer assinatura. Para cada pessoa, aparecem o nome, o e-mail se foi informado, o estado (assinou, recusou ou ainda não assinou), a data e a hora, o endereço de origem com o último número oculto e o navegador.

## Trilha, certificado e assinatura digital

A página de registro não é a assinatura. Ela é um relatório que acompanha a assinatura e descreve quem fez o quê, como na ata de uma reunião assinada por link (ata de reunião em PDF). Com ela, dá para mostrar a sequência de eventos e comparar o arquivo com o original. Ela não substitui um certificado ICP-Brasil, que grava uma assinatura verificável dentro do próprio arquivo. A diferença entre os dois está no [glossário](/glossario#assinatura-eletronica-simples), e o [guia sobre assinar sozinho ou pedir assinatura](/blog/assinar-sozinho-ou-pedir-assinatura-por-link) explica quando cada caminho serve; se a assinatura foi usada sem autorização, os passos estão em alguém usou minha assinatura digital.

## Os campos da página, um por um

| Campo | O que significa | Para que serve |
| --- | --- | --- |
| Pedido | Identificador do pedido | Liga o registro ao pedido no painel |
| Criado e concluído | Data e hora do envio e da última assinatura | Mostra o intervalo do processo |
| SHA-256 do documento enviado | Impressão digital do arquivo original | Permite confirmar que as páginas são as mesmas |
| Assinou em | Data e hora da assinatura de cada pessoa | Mostra o momento de cada assinatura |
| Origem e navegador | Endereço mascarado e tipo de navegador | Ajuda a relacionar a assinatura ao dispositivo |

Uma ressalva: a página registra as assinaturas e recusas, não cada vez que alguém abriu o link. Esse acompanhamento aparece no painel enquanto o pedido existe. Se você precisa provar que a pessoa abriu o documento antes de assinar, guarde a mensagem em que enviou o link.

## Como conferir o hash, passo a passo

1.  Abra o arquivo original que você enviou, sem as assinaturas. Se não tiver mais esse arquivo, o hash não confirma nada.
2.  Calcule o SHA-256 pelo comando do seu sistema: certutil no Windows, shasum no Mac, sha256sum no Linux.
3.  Compare o resultado, caractere por caractere, com o código da página de registro do PDF final.
4.  Se os códigos forem iguais, o documento enviado é o que você tem. O PDF final ganhou a página de registro e as assinaturas, então o seu hash não bate com o registrado, e isso é esperado.

O [guia sobre o hash do PDF](/blog/hash-do-pdf-para-provar-integridade) explica por que um único byte alterado muda o resultado, e o [glossário](/glossario#hash-sha-256) define o SHA-256.

## Por que guardar os dois arquivos

O PDF final sozinho mostra o conteúdo e as assinaturas, mas não diz de onde vem o registro. A página de registro sozinha diz quem assinou e quando, mas não traz o texto do contrato. O original sem assinaturas sozinho comprova o conteúdo, sem provar quem assinou. Juntos, os três formam a prova: o texto, a sequência e a conferência do hash.

Como o pedido é apagado do servidor no prazo de guarda, o link do painel some depois. Por isso, baixe o PDF final assim que a última assinatura sair e guarde-o com o original; imprimir não substitui isso, como explica [assinatura digital impressa ainda vale?](/blog/assinatura-digital-impressa-tem-validade) O que não estiver no seu computador ou no seu e-mail deixa de existir do lado do serviço.

## O que a trilha não resolve

A trilha mostra como o processo aconteceu, mas a força jurídica depende do tipo de assinatura e do que quem recebe exige. Para contrato entre particulares que aceitam assinatura eletrônica simples, o registro costuma ser um bom conjunto de prova. Para cartório, órgão público e processo que exigem certificado, a trilha é complemento, não substituto. Quem compara serviços encontra os critérios em [como escolher uma plataforma de assinatura eletrônica](/blog/plataformas-brasileiras-de-assinatura-eletronica) e, para uma plataforma internacional, [DocuSign é seguro?](/blog/docusign-e-seguro)

## Perguntas frequentes

### Mandei o contrato de locação para o fiador assinar e ele diz que já assinou: onde vejo o registro?

No painel do pedido, que aparece quando você cria o pedido. Ele mostra, para cada pessoa, se ainda não abriu o link, se abriu e não assinou, ou se já assinou. Depois que todos assinam, a última página do PDF final traz o nome, a data e a hora de cada assinatura.

### Como calculo o SHA-256 do contrato que mandei para conferir com a página de registro?

Use o arquivo original, sem assinaturas, que você enviou ao pedido. No Windows, rode certutil -hashfile contrato.pdf SHA256 no Prompt de Comando; no Mac, shasum -a 256 contrato.pdf no Terminal; no Linux, sha256sum contrato.pdf. Compare o resultado com o código da página de registro.

### A página de registro do meu pedido de assinatura mostra o e-mail do fiador ou só o nome?

Mostra o nome e, se você preencheu o campo ao criar o pedido, o e-mail. Também aparecem a data e a hora da assinatura, o endereço de origem com o último número oculto e o navegador usado. O registro não guarda o que a pessoa fez entre abrir o link e assinar.

### Por que preciso guardar o PDF final se o pedido já tinha o registro no painel?

Porque o pedido é apagado do servidor 7 dias depois da última assinatura, ou 30 dias depois do envio se ficou incompleto, e com ele o link do painel deixa de funcionar. O PDF final, com a página de registro, é a prova que você precisa manter.