Câmera com data e hora que qualquer pessoa pode conferir

Prova o horário: nosso servidor assinou a impressão da foto no momento indicado, e um arquivo original não mudou desde então nem um byte. O local é o informado pelo aparelho — o GPS pode ser falsificado, por isso o carimbo diz «segundo o aparelho» e mostra a precisão. O carimbo não prova quando a cena aconteceu: a foto de uma impressão antiga recebe a hora de hoje.

A hora grande do carimbo é a do nosso servidor, no fuso horário do seu celular. O relógio do próprio celular aparece no relatório ao lado, com a diferença («o relógio do celular está 3 min adiantado»), então um relógio errado não muda o carimbo e ninguém precisa adivinhar qual hora é qual.

Uma foto da galeria foi tirada antes de chegar à página, e só pelo arquivo ninguém consegue confirmar quando: a data dentro do arquivo pode ser editada. Por isso o carimbo confirma o que é certo — a foto existia no momento em que foi adicionada — e a data do arquivo entra no relatório como informação do próprio arquivo.

Sim, em parte. O mensageiro recomprime a foto, então a conferência byte a byte do arquivo deixa de ser possível. A página lê o QR da imagem e compara a cena com a impressão assinada: «confere», «parecida, mas alterada» ou «não confere». Para a verificação exata, peça o arquivo original ou o relatório PDF.

A foto fica salva no aparelho com a hora do celular e espera. Quando a rede volta, ela recebe o carimbo sozinha; o carimbo passa a dizer «no máximo até» o momento da confirmação e mantém ao lado a hora da foto pelo relógio do celular, marcada como não verificada.

Sim. A assinatura é ECDSA P-256 com uma chave pública publicada, e o PDF traz anexado o token do serviço independente de carimbo do tempo (timestamp.tsr), exatamente os bytes que ele assinou e uma instrução curta para o OpenSSL. Nenhuma das duas verificações precisa do nosso servidor.