Verificação de assinatura digital e arquivos P7S

O arquivo .p7s (ou .sig) é uma assinatura eletrônica no formato CMS (PKCS#7) — é nele que se baseiam as assinaturas CAdES da ICP-Brasil. Arraste-o para esta página: se a assinatura for anexada, o documento que está dentro dela pode ser aberto e salvo; se for destacada, adicione ao lado o próprio documento, e a verificação mostra se ele foi alterado. Não é preciso instalar nenhum programa.

É assim que funciona a assinatura destacada: ela guarda só o hash do documento e o certificado, e o documento continua em um arquivo separado — normalmente com o mesmo nome, sem o .p7s, por exemplo “Contrato.pdf” e “Contrato.pdf.p7s”. Adicione os dois arquivos: o par é encontrado sozinho, mesmo que os nomes sejam diferentes.

Sim. A página funciona no navegador do Android e do iPhone, sem plugins e sem instalar programa de assinatura: assinaturas RSA e ECDSA são conferidas pelo WebCrypto, embutido no navegador, e as GOST, pelo código da própria página. Só o carimbo de tempo confiável opcional, na hora de assinar, passa pelo nosso servidor: o servidor de tempo recebe o hash da assinatura.

Não. Aqui se verifica que o documento não foi alterado, que a assinatura foi feita com a chave do certificado e que o certificado estava válido no momento da assinatura. A revogação do certificado e a confiança na cadeia da ICP-Brasil não são verificadas. Para a validação oficial de uma assinatura qualificada, use o verificador do ITI (validar.iti.gov.br).

A data e a hora da assinatura são gravadas no arquivo pelo computador de quem assina, e o relógio dele pode estar ajustado para qualquer horário. Se a assinatura tiver um carimbo de tempo confiável, o horário é confirmado por um servidor independente — isso aparece como um item separado da verificação.

Não como assinatura qualificada: a assinatura com a sua própria chave não é uma assinatura ICP-Brasil, e onde a lei exige assinatura qualificada (Lei 14.063/2020) ela não basta. Ela serve quando as partes aceitam esse meio de comprovação — a MP 2.200-2/2001, art. 10, § 2º, admite nesse caso certificados de fora da ICP-Brasil — e para provar que o arquivo não foi alterado depois de assinado.

Carregue o PDF — as assinaturas dentro dele são encontradas automaticamente, inclusive as feitas pelo gov.br. Para cada uma aparecem o signatário, a data e se algo foi acrescentado ao arquivo depois dela; a versão assinada pode ser baixada à parte. A validação oficial de um PDF assinado pelo gov.br ou com certificado ICP-Brasil é feita em validar.iti.gov.br.