Como validar assinatura digital em PDF: passo a passo no VALIDAR do ITI

Você recebeu um contrato em PDF com o nome do signatário, uma imagem de assinatura e a frase “assinado digitalmente”. Pode aprová-lo só por isso? Não. Para validar a assinatura digital em PDF, envie o arquivo eletrônico ao VALIDAR, serviço oficial do ITI, examine o resultado de cada assinatura e, se houver dúvida, abra o relatório de conformidade. A marca visual na página não substitui essa verificação. Fontes: serviço gov.br e guia de boas práticas do ITI.

Neste guia, você aprende a conferir um PDF recebido, reconhecer os três resultados possíveis e agir diante de erros comuns, como arquivo sem assinatura, certificado expirado ou documento alterado depois de assinado. O benefício imediato é simples: antes de encaminhar um contrato para pagamento, cadastro ou arquivo, você consegue separar uma evidência técnica de uma aparência de assinatura.

O que o VALIDAR verifica em um PDF assinado?

O VALIDAR é um serviço gratuito mantido pelo Instituto Nacional de Tecnologia da Informação, o ITI. Ele verifica a conformidade de assinaturas eletrônicas qualificadas da ICP-Brasil e de assinaturas avançadas de infraestruturas oficialmente reconhecidas, como a assinatura da plataforma gov.br. A verificação trata da autoria e da integridade da assinatura no arquivo eletrônico. Fonte: descrição oficial do serviço.

Em termos práticos, o serviço ajuda a responder: há uma assinatura eletrônica verificável? A quem ela está associada? O arquivo conserva as condições técnicas necessárias para que a assinatura seja considerada conforme? O termo de uso do ITI delimita o alcance: o VALIDAR não atesta se as declarações feitas no documento são verdadeiras. Um contrato pode ter assinatura tecnicamente conforme e ainda conter preço, prazo ou informação que a sua equipe precisa conferir.

Essa distinção é crucial. Se um fornecedor envia uma proposta assinada, o resultado técnico apoia a conferência de autoria e integridade. A equipe ainda deve verificar poderes de representação, conteúdo, anexos, versão aprovada e regras específicas do negócio. Trata-se de uma recomendação de controle documental, não de uma conclusão automática fornecida pelo validador.

Como validar assinatura digital em PDF, passo a passo

O fluxo abaixo segue a cartilha oficial de uso do VALIDAR. Use o PDF eletrônico recebido, sem transformá-lo em imagem ou imprimi-lo novamente.

1. Obtenha o arquivo assinado. Baixe a versão eletrônica enviada pelo emissor. Se recebeu apenas uma impressão, peça o arquivo digital original ou verifique se há um QR Code compatível. O ITI informa que uma folha impressa, por si só, não permite verificar a assinatura eletrônica. Fonte: dúvidas do VALIDAR.
2. Abra validar.iti.gov.br. O serviço funciona no navegador e é gratuito; não é preciso instalar um programa para consultar o portal. Fonte: dúvidas do VALIDAR.
3. Selecione “Escolher arquivo”. Localize o PDF assinado no computador ou celular. O portal também admite determinadas submissões por URL e QR Code, mas o upload do PDF costuma ser a opção direta quando o arquivo está em mãos. Fonte: página do serviço.
4. Leia os termos e clique em “Validar”. Aguarde a análise. Arquivos maiores ou com muitas assinaturas podem levar mais tempo, conforme a cartilha do ITI.
5. Examine o resultado e as assinaturas individualmente. A resposta pode ser “aprovado”, “reprovado” ou “indeterminado”. Se houver mais de um signatário, não presuma que a situação de todos é a mesma. Abra o Relatório de Conformidade para examinar os detalhes, especialmente diante de reprovação ou indeterminação. Fontes: cartilha e termo de uso.

E se a assinatura estiver em arquivo separado?

Nem toda assinatura acompanha o conteúdo no mesmo PDF. Na chamada assinatura destacada, o arquivo de assinatura pode vir como .p7s separado do documento. A cartilha do VALIDAR orienta marcar a opção “Assinatura Destacada” e anexar tanto o documento quanto o respectivo arquivo .p7s. Enviar só um dos dois pode impedir a análise adequada. O serviço também contempla assinaturas ICP-Brasil em formatos como .xml, conforme a página oficial do serviço.

O que significam “aprovado”, “reprovado” e “indeterminado”?

Os termos descrevem a conformidade técnica da assinatura, não uma auditoria do conteúdo ou uma sentença sobre todo o negócio. O ITI define os resultados assim:

Um exemplo: sua equipe recebe um contrato assinado por duas pessoas. A tela de resultado merece leitura por assinatura e o relatório pode revelar componentes distintos. Uma aprovação associada a um signatário não dispensa examinar o outro nem substitui a conferência do texto contratado. A cartilha do ITI detalha os resultados e recomenda consultar o relatório quando uma assinatura aparece como reprovada ou indeterminada.

“Indeterminado” significa que o documento é falso?

Não necessariamente. O ITI explica que a informação disponível pode ser insuficiente, inclusive em casos em que o certificado expirou; por isso orienta examinar o relatório antes de decidir se aceita ou não o documento. O serviço também alerta para situações envolvendo modificações posteriores em PDF e a forma como o software assinador implementou mecanismos de detecção de alterações. Nenhuma dessas hipóteses deve ser atribuída ao seu arquivo sem ler o resultado específico. Fontes: dúvidas do VALIDAR e termo de uso.

Se o relatório apontar um problema técnico, peça à origem o arquivo eletrônico originalmente assinado e investigue como ele foi produzido e compartilhado. Em um fluxo de alto impacto, encaminhe a análise técnica e jurídica a quem responde por ela. O resultado “indeterminado” é um sinal para apurar, não uma autorização para ignorar o alerta.

Por que a imagem de assinatura e o carimbo desenhado não bastam?

Uma fotografia de assinatura manuscrita colada no PDF é apenas uma imagem. O ITI esclarece que o VALIDAR reconhece assinaturas eletrônicas verificáveis, e não transforma uma assinatura digitalizada em assinatura criptográfica. O guia de boas práticas também distingue a aparência visual da assinatura que está vinculada ao arquivo.

Imagine um contrato que exiba um selo vistoso no rodapé. Ele pode facilitar a leitura humana, mas não comprova sozinho quem assinou nem se o conteúdo foi alterado. O teste relevante recai sobre o arquivo eletrônico e as informações de assinatura que o validador consegue examinar. Pelo mesmo motivo, repetir uma rubrica visual em cada página não substitui a verificação de integridade do documento completo. Fonte: guia de boas práticas do VALIDAR.

O que fazer quando o VALIDAR não reconhece a assinatura?

Comece pelo erro exibido, em vez de concluir imediatamente que o remetente agiu de má-fé. O termo de uso do ITI enumera mensagens como “documento sem assinatura ou com assinatura corrompida”, formato não suportado e problemas de QR Code.

Arquivo sem assinatura ou assinatura corrompida

Confirme que você enviou o arquivo efetivamente assinado, não uma prévia, captura de tela ou PDF recomposto. O ITI recomenda solicitar ao emissor um novo documento assinado quando houver indicação de ausência ou corrupção da assinatura. Um arquivo pode se tornar inadequado à verificação pela forma como foi produzido, baixado ou compartilhado; a mensagem, sozinha, não identifica qual etapa causou o problema.

PDF impresso, escaneado ou “salvo como” depois da assinatura

Uma cópia em papel não carrega necessariamente os dados eletrônicos necessários. Além disso, o guia do ITI alerta que usar “Imprimir em PDF” ou certas opções de “Salvar como” em um documento já assinado pode alterar o arquivo e comprometer sua integridade. Para repassar uma cópia, preserve o arquivo eletrônico e faça a duplicação pelo gerenciador de arquivos, sem reconstruir o PDF.

QR Code que não funciona

Um QR Code impresso só ajuda se estiver preparado para o fluxo aceito pelo VALIDAR. Se a leitura falhar, tente obter e enviar o PDF assinado. Quando o problema é do código, o ITI orienta contatar o responsável pela geração do documento ou da plataforma. Não trate qualquer QR Code como prova automática de autenticidade.

Como guardar a prova e organizar o fluxo de recebimento?

Para um contrato, autorização ou documento recebido de um parceiro, uma rotina interna curta reduz retrabalho:

1. Guarde o arquivo eletrônico exatamente como foi recebido, identificando remetente, data de recebimento e versão no seu sistema de documentos.
2. Valide o arquivo e examine todas as assinaturas. Quando houver alerta, consulte o Relatório de Conformidade e registre o resultado da verificação com o contexto necessário ao seu processo. O relatório traz informações técnicas do arquivo, das assinaturas e do próprio validador. Fonte: cartilha do ITI.
3. Confira conteúdo, anexos e poderes de quem assinou com os critérios da sua operação. Esse controle complementa a validação técnica.
4. Compartilhe o arquivo eletrônico preservado com as partes autorizadas. O ITI orienta a evitar reimprimir ou recriar o PDF para produzir uma suposta “segunda via”.

Esse procedimento é especialmente útil quando o documento passa por comercial, jurídico, financeiro e atendimento. Todos precisam saber qual arquivo foi avaliado e qual assinatura recebeu determinado status; um print isolado da tela pode perder esse contexto. Defina retenção e acesso conforme a política documental e de dados da empresa.

Onde entra o carimbo do tempo?

O ITI define o carimbo do tempo como um selo emitido por uma Autoridade Certificadora do Tempo que comprova a existência de determinada informação digital em uma data e hora. Ele registra o momento associado ao resumo criptográfico apresentado à entidade emissora, não a data em que o conteúdo do documento foi redigido.

Na prática, evidências temporais podem ser relevantes para a verificação posterior de assinaturas, inclusive quando o certificado do titular já expirou. Isso depende das características da assinatura e das evidências disponíveis; não há motivo para prometer que todo PDF com um símbolo de relógio continuará válido indefinidamente. A orientação do ITI sobre certificados expirados reforça a importância de examinar o relatório concreto.

Quem assina também deve testar o arquivo final?

Sim, como boa prática operacional. Após concluir a assinatura, baixe a versão final, confira se é a mesma que pretende enviar e submeta uma cópia ao VALIDAR antes de distribuí-la. Assim, um erro de exportação ou de compartilhamento pode ser percebido enquanto ainda há tempo para corrigir o fluxo. Essa é uma recomendação de controle de qualidade derivada das orientações do ITI sobre arquivos corrompidos e preservação do PDF.

Para quem usa certificado ICP-Brasil em aplicações integradas, a GoSigner apresenta soluções de assinatura qualificada e disponibiliza uma página específica do plugin. A solução usada para assinar e o serviço usado para verificar têm funções diferentes: depois de gerar e receber o arquivo final, a conferência independente pode ser feita no VALIDAR do ITI. A GoSigner não substitui o ITI nem a análise do resultado oficial.

Perguntas frequentes

É possível validar um PDF assinado sem certificado ICP-Brasil?

Depende da infraestrutura da assinatura. O VALIDAR também verifica assinaturas avançadas produzidas na plataforma gov.br e outras infraestruturas oficialmente reconhecidas, conforme a descrição oficial do serviço. Não pressuponha que toda assinatura oferecida por qualquer plataforma será reconhecida no portal.

O certificado venceu depois que o documento foi assinado. A assinatura perde automaticamente o valor?

O vencimento posterior, por si só, não autoriza uma conclusão automática sobre um documento específico. O ITI informa que a verificação pode aparecer como indeterminada quando o certificado expirou e orienta examinar o relatório. Evidências de tempo e validação também importam; avalie o caso com base no arquivo e nas informações disponíveis.

Posso validar uma foto de contrato assinado à mão?

Não como assinatura eletrônica qualificada ou avançada pelo VALIDAR. Uma foto de assinatura manuscrita não contém, apenas por existir no PDF, os elementos de uma assinatura eletrônica verificável. Fonte: dúvidas do VALIDAR.

Próximo passo: se você recebe um documento assinado hoje, conserve o PDF eletrônico e confira-o no VALIDAR do ITI. Se precisa preparar um fluxo de assinatura qualificada com seu certificado, conheça o plugin da GoSigner e valide o arquivo resultante antes de compartilhá-lo.

Fontes primárias consultadas em 23/09/2026: serviço VALIDAR em gov.br; portal VALIDAR; cartilha oficial; dúvidas; guia de boas práticas; termo de uso do ITI; carimbo do tempo no ITI. Páginas da GoSigner e do plugin conferidas para os links internos e descrições do produto.