Como comprovar que um documento assinado não foi alterado

Se um documento foi assinado eletronicamente, como saber se ele continua exatamente igual a quando foi assinado? A resposta está em um recurso de criptografia chamado hash SHA-256: uma espécie de impressão digital matemática do arquivo, gerada no momento da assinatura e comparada sempre que alguém precisa verificar o documento depois. Se uma única vírgula do PDF for alterada, o hash muda por completo — e a adulteração fica evidente.

Isso é diferente de "confiar na palavra de quem assinou". A comprovação de integridade não depende de boa fé: é matemática. E é justamente esse o problema que plataformas de assinatura eletrônica sérias — regidas pela Lei 14.063/2020 — existem para resolver.

O que é o hash SHA-256, em termos simples

Pense no SHA-256 como um triturador de texto: você joga um arquivo inteiro (por menor ou maior que seja) lá dentro, e ele devolve uma sequência fixa de 64 caracteres, sempre do mesmo tamanho, não importa se o documento tem 1 página ou 500. Esse resultado é chamado de "hash" ou "resumo criptográfico".

As propriedades que importam para quem quer provar integridade são duas:

• É determinístico: o mesmo arquivo, processado de novo, sempre gera o mesmo hash. Isso permite comparar "hash de hoje" com "hash de quando foi assinado".
• É sensível a qualquer mudança: alterar um espaço, trocar uma data, mudar um valor em uma cláusula — qualquer edição, por menor que seja, produz um hash completamente diferente. Não existe "quase igual" no hash: ou é idêntico, ou o documento mudou.

Por isso o hash funciona como prova de integridade sem que ninguém precise reler o documento inteiro palavra por palavra para desconfiar de uma alteração. Basta comparar duas sequências de caracteres.

Como a integridade é garantida em camadas

Uma assinatura eletrônica confiável não se apoia em um único hash solto — ela constrói uma cadeia de evidências. No caso de uma plataforma como o e-Social Sign, isso normalmente envolve mais de uma camada: cada evidência coletada do signatário (aceite dos termos, código de verificação, foto, dados de acesso) recebe seu próprio hash; a assinatura em si consolida esses dados em outro hash; e o PDF final, já com todo o conteúdo assinado, recebe o seu.

Essa estrutura em camadas importa porque separa "o que foi assinado" de "como foi assinado". Não basta provar que o arquivo final não mudou — é preciso também provar que as evidências de quem assinou (identidade, canal de contato, momento da assinatura) também não foram forjadas ou alteradas depois do fato.

Como qualquer pessoa consegue validar um documento

Na prática, ninguém que recebe um documento assinado precisa entender criptografia para conferir sua integridade. O fluxo comum de validação em plataformas desse tipo é:

1. O documento assinado traz um Código de Verificação único e permanente — geralmente de 12 caracteres, diferente do código OTP de uso único enviado por SMS/e-mail durante a assinatura — também disponível como QR Code impresso no próprio PDF.
2. Qualquer pessoa acessa a página pública de validação da plataforma e informa esse código — sem precisar enviar o arquivo de volta.
3. O sistema recalcula o hash do documento armazenado e confirma se ele bate com o hash registrado no momento da assinatura, exibindo os dados e evidências do processo.

Note o detalhe importante: a validação não depende de reenviar o PDF para "conferência manual". O código de verificação já aponta para o registro original — é a plataforma que garante que aquele registro não foi alterado desde a conclusão da assinatura.

O documento final não é só o PDF assinado

Quando todos os signatários concluem sua parte, o resultado costuma ser um único arquivo que reúne três coisas: as páginas originais do documento, uma folha com o traço (ou evidência equivalente) de cada assinatura, e uma página de auditoria — muitas vezes chamada de manifesto de evidências — que lista, para cada signatário, os dados coletados durante o processo (como confirmação de identidade, informações de acesso e carimbo de data e hora).

Esse conjunto é o que dá substância à comprovação: não é apenas "o hash bate", mas "aqui está toda a trilha de quem assinou, quando, e com que evidências, e o hash confirma que nada disso foi editado depois".

Isso garante validade jurídica automática?

Não existe garantia jurídica automática e universal para qualquer documento assinado eletronicamente — isso depende do tipo de ato, do contexto e, em uma eventual disputa, do entendimento de quem julga o caso. A Lei 14.063/2020 organiza as assinaturas eletrônicas em diferentes classificações (da mais simples à que usa certificado digital), e o nível de segurança recomendado varia conforme o risco do documento. O que a integridade por hash garante é outra coisa, igualmente essencial: que, seja qual for o nível de segurança escolhido, ninguém consiga alterar o conteúdo depois da assinatura sem que isso seja detectável. Em caso de dúvida sobre o enquadramento jurídico de um documento específico, o caminho correto é consultar a equipe jurídica da sua organização.

Comece a assinar com segurança verificável

Se sua empresa ainda envia contratos por e-mail ou assina em papel torcendo para que ninguém edite uma cláusula depois, vale conhecer uma alternativa que constrói a prova de integridade desde o primeiro clique. Crie sua conta gratuita no e-Social Sign e experimente na prática como funciona um documento assinado que se comprova sozinho.