Como saber se um PDF assinado foi modificado?

Compare o hash SHA-256 do arquivo com o registrado na assinatura. Para assinaturas ICP-Brasil e gov.br, use o Validador de Assinaturas do ITI ou o painel de assinaturas do leitor de PDF.

O que é hash SHA-256?

É uma impressão digital de 64 caracteres calculada a partir de todo o arquivo. Qualquer alteração, por menor que seja, gera um hash completamente diferente.

Por que o leitor mostra "validade desconhecida"?

Normalmente porque o leitor não tem a cadeia de certificados da ICP-Brasil instalada. Confira no validador do ITI antes de concluir qualquer coisa.

Se eu comprimir o PDF assinado, a assinatura continua válida?

Não para fins de verificação: a compressão gera outro arquivo, com outro hash. Guarde e envie sempre o original assinado.

Como saber se um PDF assinado foi alterado

Resposta curta: para saber se um PDF assinado foi alterado, compare a impressão digital do arquivo (o hash, geralmente SHA-256) com a registrada no momento da assinatura. Se forem iguais, o arquivo é exatamente o mesmo, bit a bit. Assinaturas com certificado ICP-Brasil podem ser conferidas no Validador de Assinaturas do ITI ou no painel de assinaturas de leitores de PDF. Assinaturas feitas em plataformas, como a do Convertajá, são conferidas pelo relatório de auditoria e pela página de verificação da plataforma.

O que é um hash e por que ele prova a integridade

Um hash é um número calculado a partir de todo o conteúdo de um arquivo. O SHA-256 gera uma sequência de 64 caracteres hexadecimais, algo como 9f2c…e41a. Ele tem três propriedades que interessam aqui:

é sempre o mesmo para o mesmo arquivo, em qualquer computador;
muda completamente se um único caractere, pixel ou byte do arquivo mudar;
não dá para fazer o caminho inverso, nem criar, na prática, outro arquivo com o mesmo hash.

Por isso, quando uma plataforma registra o hash do documento no momento da assinatura, qualquer pessoa pode, depois, recalcular o hash do arquivo que tem em mãos e comparar. Iguais: é o mesmo documento. Diferentes: algo mudou.

Um detalhe importante: o hash não diz o que mudou. Abrir o PDF e salvar de novo, imprimir em PDF ou passar por um compressor gera um arquivo diferente, com outro hash, mesmo que o texto pareça igual. Guarde sempre o arquivo original assinado.

Três formas de verificar, conforme o tipo de assinatura

Tipo de assinatura	Como verificar
Certificado ICP-Brasil (qualificada) ou gov.br	Validador de Assinaturas do ITI (validar.iti.gov.br) ou painel de assinaturas de um leitor de PDF compatível.
Plataforma de assinatura eletrônica	Relatório de auditoria e página de verificação da própria plataforma, comparando o hash.
Imagem da assinatura colada no PDF	Não há verificação técnica. A imagem pode ser copiada para qualquer outro documento.

1. Assinaturas ICP-Brasil e gov.br: validador do ITI

O Instituto Nacional de Tecnologia da Informação (ITI), que coordena a ICP-Brasil, mantém o Validador de Assinaturas. Você envia o PDF assinado e o sistema informa se as assinaturas digitais embutidas são válidas, quem assinou, quando e se o documento foi modificado depois. É o caminho para conferir documentos assinados com e-CPF, e-CNPJ ou pelo gov.br.

2. Painel de assinaturas do leitor de PDF

Leitores como o Adobe Acrobat Reader mostram um painel de assinaturas quando o PDF tem assinatura digital embutida. Ele indica se o documento foi alterado depois da assinatura e se o certificado é confiável. Se aparecer "validade desconhecida", geralmente significa que o leitor não tem a cadeia de certificados da ICP-Brasil instalada, e não que o documento é falso: nesse caso, prefira o validador do ITI.

3. Plataformas de assinatura: relatório e página de verificação

Plataformas de assinatura eletrônica costumam anexar ao documento um relatório de auditoria com a identificação de cada signatário, data e hora das etapas e o hash do documento. Algumas oferecem também uma página pública de verificação: você envia o arquivo ou informa o código, e a página diz se ele corresponde ao que foi assinado.

Como calcular o SHA-256 no seu computador

Se você quer conferir o hash por conta própria, sem enviar o arquivo a nenhum site:

Windows (Prompt de Comando): certutil -hashfile documento.pdf SHA256
Windows (PowerShell): Get-FileHash documento.pdf -Algorithm SHA256
macOS (Terminal): shasum -a 256 documento.pdf
Linux: sha256sum documento.pdf

Compare o resultado com o hash do relatório de auditoria. Maiúsculas e minúsculas não importam; todos os 64 caracteres devem coincidir.

Na assinatura eletrônica do Convertajá

Quando você usa a Assinatura eletrônica com outras pessoas, cada signatário confirma o e-mail com um código antes de assinar. Ao final, o documento recebe um relatório de auditoria com as etapas de cada pessoa e o hash SHA-256 do arquivo, e passa a ter uma página pública de verificação. Qualquer pessoa que receber o PDF pode conferir ali se ele é o mesmo que foi assinado.

Essa assinatura tem como base o art. 10, § 2º, da MP 2.200-2/2001, que admite meios de comprovação de autoria e integridade aceitos pelas partes. Ela não é assinatura qualificada ICP-Brasil. Entenda as diferenças em assinatura eletrônica tem validade?

Passo a passo: conferindo um contrato que você recebeu

Veja que tipo de assinatura o documento tem. Há um selo ou painel de assinatura digital? Há um relatório de auditoria anexado ao final? Ou só imagens de assinaturas?
Se for ICP-Brasil ou gov.br, envie o arquivo ao validador do ITI e confira nomes, datas e o resultado da verificação de integridade.
Se for de plataforma, leia o relatório: confira se os nomes e e-mails dos signatários são os esperados e se as datas fazem sentido.
Compare o hash. Calcule o SHA-256 do arquivo que você recebeu e compare com o do relatório, ou use a página de verificação da plataforma.
Guarde o arquivo exatamente como recebeu, sem renomear dentro de editores nem salvar por cima.

O hash não revela o conteúdo

Uma dúvida comum: publicar o hash de um documento expõe o que está nele? Não. O hash é calculado a partir do conteúdo, mas não permite reconstruí-lo. Por isso, uma página de verificação pode ser pública sem revelar o contrato: ela só confirma se o arquivo que alguém tem em mãos é ou não o documento assinado. Quem não tem o arquivo não descobre nada pelo hash.

Isso também ajuda em processos judiciais e auditorias: o hash registrado no relatório funciona como um lacre. Se o arquivo apresentado depois tiver o mesmo hash, é o mesmo documento que as partes assinaram.

Boas práticas para não invalidar sem querer

Feche o texto antes de assinar. Revise, numere as páginas e junte anexos antes. Qualquer edição depois muda o hash.
Não comprima nem converta o PDF assinado. Compressão, conversão para PDF/A e "imprimir como PDF" geram outro arquivo.
Guarde o original e o relatório juntos, numa pasta com cópia de segurança.
Envie o arquivo original, não uma captura de tela ou um PDF reexportado.
Proteja com senha só antes de assinar, se precisar. Colocar senha depois também altera o arquivo.

Assinou no papel e digitalizou?

Um contrato assinado à mão e escaneado é uma cópia digital de um documento físico. O hash do PDF escaneado só prova que aquele arquivo não mudou depois de gerado; não prova a autenticidade da assinatura no papel. Para dar mais segurança a cópias digitais, veja as regras do Decreto 10.278/2020 em como digitalizar documentos da empresa com validade, ou prefira colher a assinatura já no meio eletrônico.

Erros comuns

Achar que uma imagem de assinatura colada prova alguma coisa sozinha.
Interpretar "validade desconhecida" no leitor como fraude.
Abrir o PDF assinado num editor, salvar e depois estranhar que a verificação falhou.
Guardar só o PDF e perder o relatório de auditoria.

Resumo

Hash igual, documento igual. Para ICP-Brasil e gov.br, use o validador do ITI; para plataformas, o relatório e a página de verificação; e, se quiser, calcule o SHA-256 você mesmo. Escritórios que lidam com muitos contratos encontram outras ferramentas em Convertajá para advogados e em Ferramentas de PDF.

Este texto é informativo e não substitui a orientação de um advogado ou perito.