PDF alterado após a assinatura: como verificar a assinatura e o histórico de revisões

Um PDF alterado após a assinatura trai-se em dois sítios: o painel de assinaturas, que indica se os bytes cobertos pela assinatura ainda correspondem ao resumo original, e o histórico de revisões, que lista cada versão acrescentada ao ficheiro. Se o painel avisar que o documento foi alterado desde a assinatura, o conteúdo que está a ler não é o que o signatário aprovou. Se indicar apenas «alterações após a assinatura», tem de abrir a versão assinada e compará-la com a atual.

Este guia destina-se a quem recebe o ficheiro: analista de compliance, gestor de arrendamentos, responsável de contratos, técnico de recursos humanos. Basta um leitor de PDF gratuito. Explica o que significa cada mensagem e o que pedir a seguir ao remetente. Esta verificação deteta vestígios de alteração. Não prova que um documento é autêntico.

Como uma assinatura digital protege um PDF e onde essa proteção termina

Uma assinatura PDF guarda o resumo criptográfico (hash) de um intervalo de bytes definido, pelo que qualquer alteração nesse intervalo invalida a assinatura. O formato está descrito na norma ISO 32000-2 e o perfil europeu de PDF assinados chama-se PAdES (ETSI EN 319 142). A assinatura é um contentor dentro do ficheiro. Declara um intervalo de bytes que cobre todo o ficheiro, exceto o espaço reservado ao próprio valor da assinatura.

Daqui resulta algo que se ignora com frequência. Um PDF pode crescer legitimamente depois de assinado, porque o formato admite atualizações incrementais acrescentadas a seguir aos bytes assinados. Um segundo signatário junta a sua assinatura, preenche-se um campo de formulário, insere-se um comentário. Os bytes originais não mudam e a primeira assinatura continua válida. Se a atualização é aceitável depende das permissões definidas pelo autor.

Uma âncora jurídica ajuda a explicá-lo internamente. Segundo o artigo 26.º do Regulamento (UE) n.º 910/2014 (eIDAS), uma assinatura eletrónica avançada tem de estar ligada aos dados de tal modo que qualquer alteração posterior seja detetável. É nessa deteção que se apoia. Em Portugal, o Decreto-Lei n.º 12/2021 assegura a execução do eIDAS e designa o Gabinete Nacional de Segurança como entidade supervisora dos prestadores de serviços de confiança. Uma imagem de assinatura colada numa página, em contrapartida, não se valida.

Passo 1: ler o painel de assinaturas, não só o selo

Abra o painel de assinaturas e leia o texto completo do estado, porque o visto verde da barra resume menos do que parece. No Adobe Acrobat Reader, abra o painel Assinaturas (Ver, Mostrar/Ocultar, Painéis de navegação). Cada assinatura aparece com um estado e, se existirem revisões posteriores, com uma nota como «Revisão 1 de 3». A opção «Ver versão assinada» abre o ficheiro tal como estava quando essa pessoa assinou.

Anote para cada assinatura:

• o nome do signatário e o emitente do certificado;
• a hora da assinatura, e se vem de um selo temporal de confiança ou apenas do relógio do computador do signatário;
• a linha de estado, palavra por palavra.

Nos fóruns repete-se a pergunta: «Assinei um PDF e alguém diz que o editou depois, como é que verifico?». O painel responde às duas coisas. Se um programa o obriga a remover a assinatura para editar o ficheiro, o original assinado desapareceu do ponto de vista do editor: peça o ficheiro assinado de origem, não a cópia retocada.

Passo 2: contar as revisões e extrair a versão assinada

Cada gravação incremental acrescenta uma secção terminada por uma marca %%EOF, pelo que o número de marcas aproxima o número de revisões. Num terminal, grep -a -c '%%EOF' ficheiro.pdf devolve o valor. Um ficheiro acabado de gerar costuma ter uma marca, um otimizado para web duas. Três marcas num documento assinado por uma só pessoa merecem uma pergunta.

Para ler o que o ficheiro dizia na assinatura, use «Ver versão assinada» no Acrobat ou corte o ficheiro no deslocamento onde termina o intervalo assinado. Ferramentas como qpdf e pdfsig (Poppler) mostram o intervalo assinado e validam o resumo na linha de comandos: pdfsig ficheiro.pdf lista cada assinatura, o seu intervalo de bytes e se o resumo coincide.

Compare depois as duas versões, visualmente e por texto. Procure:

• montantes, datas, nomes ou números de conta alterados;
• páginas acrescentadas, removidas ou reordenadas;
• um bloco de texto novo colocado sobre um antigo (o texto antigo continua no ficheiro sob a camada nova);
• anotações ou carimbos que tapam o conteúdo original.

Com muitas páginas, a ferramenta Comparar ficheiros do Acrobat destaca as diferenças de texto. Trabalhe sobre uma cópia local.

Passo 3: conhecer os ataques que deixam a assinatura válida

Algumas edições deixam a assinatura como válida, por isso um estado verde não chega. Convém conhecer dois trabalhos de investigação. Um estudo de 2019 da Universidade do Ruhr em Bochum sobre ataques de gravação incremental mostrou que vários leitores apresentavam assinaturas válidas em ficheiros cujo conteúdo visível tinha sido alterado por uma revisão acrescentada. Os «Shadow Attacks» (2020) descreveram um documento preparado com conteúdo oculto que se revela através de uma atualização permitida, como preencher um campo. Ambos estão publicados pelo grupo de investigação em pdf-insecurity.org, e os fabricantes corrigiram boa parte das falhas originais.

A lição para o revisor é prática:

• uma assinatura válida com uma revisão posterior é motivo para comparar, não para descansar;
• uma assinatura num documento cujo autor permitiu preencher formulários ou anotar é uma prova mais fraca do que uma assinatura de certificação com «sem alterações permitidas»;
• abra o ficheiro num segundo leitor: uma discrepância entre dois leitores é já um sinal.

Verifique também o nível de certificação. Uma assinatura de certificação traz uma definição de permissões (sem alterações, preencher formulários e assinar, anotações permitidas). Se o autor escolheu «sem alterações» e existe uma revisão, o leitor deve assinalá-lo.

Passo 4: validar o signatário, não só o ficheiro

Uma assinatura pode ser matematicamente válida e não valer nada se o certificado for autoassinado, estiver caducado ou tiver sido emitido por quem ninguém reconhece. Veja quem emitiu o certificado. Os prestadores qualificados constam do navegador das listas de confiança da UE; em Portugal, o Gabinete Nacional de Segurança supervisiona-os. A Adobe mantém a sua própria lista aprovada; as duas sobrepõem-se sem serem idênticas, o que explica muitos avisos de «validade desconhecida».

Para uma opinião independente do seu leitor, a Comissão Europeia disponibiliza uma ferramenta web gratuita de validação DSS. Indica o nível da assinatura, a cadeia de certificados, o selo temporal e se o resumo do documento coincide. Como carrega o ficheiro, use-a apenas com documentos de teste ou dentro do seu enquadramento de proteção de dados.

Verifique também as datas:

O risco vizinho dos certificados inventados é tratado no artigo sobre certificados de assinatura eletrónica falsos.

Passo 5: cruzar o conteúdo assinado

Compare os montantes e identificadores da versão assinada com uma fonte que o remetente não controle. Mesmo uma assinatura perfeita só prova que o signatário aprovou esses bytes. Não prova que os montantes eram verdadeiros. Numa declaração de entidade patronal assinada, confirme a sociedade no registo comercial. Num contrato assinado, verifique as partes e o NIPC. Num recibo de vencimento assinado, concilie o líquido com o crédito bancário.

Os requerentes fazem uma pergunta simples: «Já assinei, porque é que o banco quer o original do portal?». Porque o banco verifica a origem e a coerência do documento, não apenas a integridade. O guia para saber se um PDF foi editado e o de adulteração de metadados PDF cobrem as verificações ao nível do ficheiro que complementam esta.

O que pedir ao remetente e quando escalar

Peça o ficheiro assinado original diretamente à plataforma de assinatura ou ao signatário e guarde a versão recebida. Não reconstrua nem «arranje» o ficheiro por si. Um remetente de boa-fé quase sempre consegue descarregar de novo a cópia selada ou enviar o registo de auditoria do serviço de assinatura.

• O painel indica alteração desde a assinatura: peça o original e não trate a cópia.
• Existe uma revisão posterior mas o painel é válido: compare e pergunte por que foi necessária a atualização.
• Validade desconhecida: verifique o emitente do certificado e valide numa segunda ferramenta antes de concluir.
• Não há assinatura apesar de anunciada: peça a versão assinada.

Escale quando uma alteração coincide com uma incoerência, por exemplo um montante mudado e uma revisão criada dias depois da assinatura. A decisão seguinte cabe ao responsável pelo cumprimento normativo; o revisor de primeira linha não acusa ninguém. A Lei n.º 83/2017 (publicada no Diário da República) exige a identificação e a verificação da identidade do cliente com base em documentos comprovativos, e o Banco de Portugal supervisiona o seu cumprimento pelas instituições financeiras.

Para o processo completo, consulte o guia de verificação de documentos. Se recebe ficheiros assinados em volume, os sinais de geração por IA e adulteração da CheckFile complementam os seus controlos atuais, e a solução para banca e KYC descreve o que uma verificação compara: campos, datas e registos. A página de preços lista os planos.

Perguntas frequentes

Um PDF pode ser alterado depois de assinado?

Sim, de duas formas. Uma alteração dentro do intervalo de bytes assinado quebra a assinatura, e o leitor assinala-o. Uma alteração acrescentada como nova revisão deixa válida a primeira assinatura, pelo que deve abrir a versão assinada e compará-la com a atual.

Como vejo a versão que foi assinada?

No Adobe Acrobat Reader, abra o painel Assinaturas, clique com o botão direito na assinatura e escolha «Ver versão assinada». Na linha de comandos, pdfsig (Poppler) lista cada assinatura e o seu intervalo de bytes, e qpdf pode extrair revisões anteriores.

Porque é que o meu PDF mostra «validade desconhecida»?

Em regra, o seu leitor não tem o emitente na lista de confiança ou não consegue verificar a revogação offline. Não significa que o ficheiro tenha mudado. Valide o mesmo ficheiro numa segunda ferramenta, como o validador DSS da Comissão Europeia, antes de concluir.

Uma assinatura válida prova que o conteúdo é verdadeiro?

Não. Prova que os bytes não mudaram desde que a assinatura foi aplicada e liga-os a um certificado. A exatidão de montantes, nomes e datas verifica-se cruzando com registos ou outros documentos.

Posso remover a assinatura e voltar a assinar um PDF corrigido?

Pode, mas o resultado é um documento novo com uma assinatura nova. Quem se apoiou na versão assinada anterior deve receber também o original, para que a cadeia de versões continue visível.

Para situar este risco na oferta CheckFile, consulte a nossa abordagem de deteção IA e deepfake.