PDF alterado após a assinatura: como verificar a assinatura e o histórico de revisões

Um PDF alterado após a assinatura se revela em dois lugares: o painel de assinaturas, que indica se os bytes cobertos pela assinatura ainda correspondem ao resumo original, e o histórico de revisões, que lista cada versão acrescentada ao arquivo. Se o painel avisar que o documento foi alterado desde a assinatura, o conteúdo que você lê não é o que o signatário aprovou. Se indicar apenas «alterações após a assinatura», é preciso abrir a versão assinada e compará-la com a atual.

Este guia é para quem recebe o arquivo: analista de compliance e PLD, administrador de locação, responsável por contratos, analista de RH. Basta um leitor de PDF gratuito. Ele explica o que cada mensagem significa e o que pedir em seguida ao remetente. Esta verificação detecta vestígios de alteração. Ela não prova que um documento é autêntico.

Como uma assinatura digital protege um PDF e onde essa proteção termina

Uma assinatura PDF guarda o resumo criptográfico (hash) de um intervalo de bytes definido, de modo que qualquer mudança nesse intervalo invalida a assinatura. O formato está descrito na norma ISO 32000-2. A assinatura é um contêiner dentro do arquivo. Ela declara um intervalo de bytes que cobre todo o arquivo, exceto o espaço reservado ao próprio valor da assinatura.

Um PDF pode crescer legitimamente depois de assinado, porque o formato admite atualizações incrementais acrescentadas após os bytes assinados. Um segundo signatário junta sua assinatura, preenche-se um campo de formulário, insere-se um comentário. Os bytes originais não mudam e a primeira assinatura continua válida. Se a atualização é aceitável depende das permissões definidas pelo autor.

No Brasil, a Medida Provisória 2.200-2/2001 instituiu a ICP-Brasil e presume verdadeiras, em relação aos signatários, as declarações em documentos assinados com certificado ICP-Brasil. A Lei 14.063/2020 classifica as assinaturas eletrônicas em simples, avançada e qualificada, e esta última, baseada em certificado ICP-Brasil, tem o maior peso. Uma imagem de assinatura colada na página não se valida.

O Instituto Nacional de Tecnologia da Informação (ITI) mantém o Verificador de Conformidade, que valida assinaturas ICP-Brasil em PDF sem depender do seu leitor. Por receber o arquivo, use-o apenas com documentos que você pode compartilhar, atentando à LGPD.

Passo 1: ler o painel de assinaturas, não só o selo

Abra o painel de assinaturas e leia o texto completo do status, porque o visto verde da barra resume menos do que parece. No Adobe Acrobat Reader, abra o painel Assinaturas (Exibir, Mostrar/Ocultar, Painéis de navegação). Cada assinatura aparece com um status e, se existirem revisões posteriores, com uma nota como «Revisão 1 de 3». A opção «Exibir versão assinada» abre o arquivo como estava quando essa pessoa assinou.

Anote para cada assinatura:

• o nome do signatário e o emissor do certificado;
• o horário da assinatura, e se vem de um carimbo do tempo confiável ou apenas do relógio do computador do signatário;
• a linha de status, palavra por palavra.

Nos fóruns repete-se a pergunta: «Assinei um PDF e alguém diz que o editou depois, como verifico?». O painel responde às duas coisas. Se um programa obriga a remover a assinatura para editar o arquivo, o original assinado sumiu do ponto de vista do editor: peça o arquivo assinado de origem, não a cópia retocada.

Passo 2: contar as revisões e extrair a versão assinada

Cada gravação incremental acrescenta uma seção terminada por uma marca %%EOF, de modo que o número de marcas aproxima o número de revisões. Em um terminal, grep -a -c '%%EOF' arquivo.pdf devolve o valor. Um arquivo recém-gerado costuma ter uma marca, um otimizado para web duas. Três marcas em um documento assinado por uma só pessoa merecem uma pergunta.

Para ler o que o arquivo dizia na assinatura, use «Exibir versão assinada» no Acrobat ou corte o arquivo no deslocamento em que termina o intervalo assinado. Ferramentas como qpdf e pdfsig (Poppler) mostram o intervalo assinado e validam o resumo na linha de comando: pdfsig arquivo.pdf lista cada assinatura, seu intervalo de bytes e se o resumo coincide.

Compare então as duas versões, visualmente e por texto. Procure:

• valores, datas, nomes ou números de conta alterados;
• páginas acrescentadas, removidas ou reordenadas;
• um bloco de texto novo posto sobre um antigo (o texto antigo continua no arquivo sob a camada nova);
• anotações ou carimbos que cobrem o conteúdo original.

Com muitas páginas, a ferramenta Comparar arquivos do Acrobat destaca as diferenças de texto. Trabalhe em uma cópia local.

Passo 3: conhecer os ataques que deixam a assinatura válida

Algumas edições deixam a assinatura como válida, por isso um status verde não basta. Um estudo de 2019 da Universidade do Ruhr em Bochum sobre ataques de gravação incremental mostrou que vários leitores apresentavam assinaturas válidas em arquivos cujo conteúdo visível havia sido alterado por uma revisão acrescentada. Os «Shadow Attacks» (2020) descreveram um documento preparado com conteúdo oculto que se revela por uma atualização permitida, como preencher um campo. Ambos estão publicados em pdf-insecurity.org, e os fabricantes corrigiram boa parte das falhas originais.

A lição para o revisor é prática:

• uma assinatura válida com revisão posterior é motivo para comparar, não para relaxar;
• uma assinatura em documento cujo autor permitiu preencher formulários ou anotar é prova mais fraca do que uma assinatura de certificação com «nenhuma alteração permitida»;
• abra o arquivo em um segundo leitor: uma discrepância entre dois leitores já é um sinal.

Verifique também o nível de certificação. Uma assinatura de certificação traz uma configuração de permissões (nenhuma alteração, preencher formulários e assinar, anotações permitidas). Se o autor escolheu «nenhuma alteração» e existe uma revisão, o leitor deve sinalizar.

Passo 4: validar o signatário, não só o arquivo

Uma assinatura pode ser matematicamente válida e não valer nada se o certificado for autoassinado, estiver vencido ou tiver sido emitido por quem ninguém reconhece. Veja quem emitiu o certificado. Os certificados ICP-Brasil são emitidos por autoridades certificadoras credenciadas na cadeia da AC Raiz, e o ITI publica essa cadeia. A Adobe mantém a própria lista aprovada, e as duas nem sempre coincidem, o que explica muitos avisos de «validade desconhecida» em assinaturas legítimas ICP-Brasil quando a cadeia não está instalada no leitor.

Para uma opinião independente do seu leitor, a Comissão Europeia oferece uma ferramenta web gratuita de validação DSS que mostra a cadeia de certificados, o carimbo do tempo e a coincidência do resumo. Como o arquivo é enviado, use-a só com documentos de teste. A ANPD esclarece as regras da LGPD (Lei 13.709/2018) sobre transferência internacional de dados pessoais.

O risco vizinho dos certificados inventados é tratado no artigo sobre certificados de assinatura eletrônica falsos.

Passo 5: cruzar o conteúdo assinado

Compare os valores e identificadores da versão assinada com uma fonte que o remetente não controle. Mesmo uma assinatura perfeita só prova que o signatário aprovou esses bytes. Não prova que os valores eram verdadeiros. Em uma declaração de empregador assinada, confira a empresa pelo CNPJ no site da Receita Federal. Em um contrato assinado, verifique as partes e o CPF dos signatários. Em um holerite assinado, concilie o líquido com o crédito na conta.

Os solicitantes fazem uma pergunta simples: «Já assinei, por que o banco quer o original do portal?». Porque o banco verifica a origem e a coerência do documento, não só a integridade. O guia para saber se um PDF foi editado e o de adulteração de metadados PDF cobrem as verificações no nível do arquivo que complementam esta.

O que pedir ao remetente e quando escalar

Peça o arquivo assinado original diretamente à plataforma de assinatura ou ao signatário e guarde a versão recebida. Não reconstrua nem «conserte» o arquivo você mesmo. Um remetente de boa-fé quase sempre consegue baixar de novo a cópia selada ou enviar a trilha de auditoria do serviço de assinatura.

• O painel indica alteração desde a assinatura: peça o original e não processe a cópia.
• Existe revisão posterior mas o painel é válido: compare e pergunte por que a atualização foi necessária.
• Validade desconhecida: verifique o emissor do certificado e valide em uma segunda ferramenta antes de concluir.
• Não há assinatura embora anunciada: peça a versão assinada.

Escale quando uma alteração coincide com uma incoerência, por exemplo um valor mudado e uma revisão criada dias após a assinatura. O diretor responsável pela PLD decide se há comunicação a fazer ao COAF; o revisor de primeira linha não acusa ninguém. A Circular Bacen 3.978/2020 exige que as instituições autorizadas pelo Banco Central identifiquem e qualifiquem clientes com base em documentos, e a Lei 9.613/1998 estrutura o sistema de prevenção à lavagem de dinheiro. Usar documento falso é crime previsto no art. 304 do Código Penal, e a falsificação de documento particular, no art. 298.

Para o processo completo, consulte o guia de verificação de documentos. Se você recebe arquivos assinados em volume, os sinais de geração por IA e adulteração da CheckFile complementam seus controles atuais, e a solução para bancos e KYC descreve o que uma verificação compara: campos, datas e registros. A página de preços lista os planos.

Perguntas frequentes

Um PDF pode ser alterado depois de assinado?

Sim, de duas formas. Uma alteração dentro do intervalo de bytes assinado quebra a assinatura, e o leitor sinaliza. Uma alteração acrescentada como nova revisão deixa válida a primeira assinatura, então é preciso abrir a versão assinada e compará-la com a atual.

Como vejo a versão que foi assinada?

No Adobe Acrobat Reader, abra o painel Assinaturas, clique com o botão direito na assinatura e escolha «Exibir versão assinada». Na linha de comando, pdfsig (Poppler) lista cada assinatura e seu intervalo de bytes, e qpdf pode extrair revisões anteriores.

Por que meu PDF mostra «validade desconhecida»?

Em geral, o leitor não tem o emissor na lista de confiança ou não consegue verificar a revogação offline. Isso não significa que o arquivo mudou. Valide o mesmo arquivo em uma segunda ferramenta, como o Verificador de Conformidade do ITI, antes de concluir.

Uma assinatura válida prova que o conteúdo é verdadeiro?

Não. Prova que os bytes não mudaram desde que a assinatura foi aplicada e os liga a um certificado. A exatidão de valores, nomes e datas se verifica cruzando com registros ou outros documentos.

Posso remover a assinatura e assinar de novo um PDF corrigido?

Pode, mas o resultado é um documento novo com assinatura nova. Quem se apoiou na versão assinada anterior deve receber também o original, para que a cadeia de versões continue visível.