Verificação em duas etapas na assinatura (OTP): como funciona

Se você recebeu um documento para assinar e, antes de finalizar, apareceu um pedido de código de verificação enviado por WhatsApp, SMS ou e-mail, você passou pela verificação em duas etapas (o famoso OTP — "one-time password", ou código de uso único). Ela funciona assim: depois que você aceita os termos e desenha (ou digita) sua assinatura, a plataforma envia um código numérico de poucos dígitos para o contato que a empresa cadastrou para você. Você digita esse código na tela, e só então a assinatura é registrada como concluída.

O ponto central para entender esse mecanismo é o seguinte: o código de verificação não confirma quem você é. Ele confirma que você tem acesso ao canal (aquele e-mail ou aquele número de telefone) para o qual o código foi enviado. É uma diferença sutil, mas é exatamente o que torna esse artigo útil — e é o que qualquer pessoa avaliando uma plataforma de assinatura eletrônica precisa entender antes de escolher o nível de segurança de um documento.

Vale uma ressalva de nomenclatura: esse código não é a mesma coisa que o Código de Verificação permanente (normalmente de 12 caracteres) que identifica o documento na página pública de validação depois que a assinatura é concluída. São dois mecanismos com nomes parecidos e finalidades diferentes — um prova posse de canal durante o processo e expira em minutos; o outro identifica o documento já pronto e não expira.

O que o OTP realmente prova

Um código de verificação por SMS, WhatsApp ou e-mail prova posse do canal de contato. Em termos práticos: alguém com acesso àquele celular ou àquela caixa de entrada recebeu o código e conseguiu digitá-lo de volta na tela em poucos minutos. Isso é uma evidência real e útil — descarta, por exemplo, que um terceiro qualquer, sem qualquer relação com o destinatário, tenha simplesmente adivinhado o link e assinado no lugar dele. Também estabelece um vínculo temporal: o código expira rápido (minutos, não dias) e tem um número limitado de tentativas antes de ser bloqueado, o que reduz a janela para um ataque de força bruta.

Mas posse de um número de telefone ou de uma caixa de e-mail não é o mesmo que identidade civil verificada. Se o celular foi roubado, se a caixa de e-mail foi comprometida, ou se o próprio cadastro do contato foi feito com um dado errado, o código chega e é validado exatamente da mesma forma — e não há nenhuma etapa nesse processo que confira documento de identidade, biometria facial ou qualquer outro dado que amarre o código a uma pessoa física específica. Por isso, comparar "assinatura com OTP" a "assinatura com certificado digital ICP-Brasil" é comparar coisas de rigor bem diferente: o primeiro comprova canal, o segundo se apoia num certificado emitido por uma autoridade certificadora credenciada, com maior grau de garantia técnica sobre a autoria — mas a validade concreta de qualquer assinatura eletrônica, em qualquer nível, depende do caso e do tipo de ato.

Por que isso importa na hora de escolher o nível de segurança

Plataformas sérias de assinatura eletrônica — incluindo o e-Social Sign — organizam essa diferença em perfis de evidência, geralmente numerados (algo como P0 a P6, dependendo da plataforma), que vão desde um simples aceite de termos até a assinatura com certificado digital. Nesse tipo de escala, o código OTP tipicamente aparece em um perfil intermediário: mais forte que uma assinatura desenhada isolada, porque acrescenta prova de posse de canal, mas mais fraco que perfis que também exigem uma foto do signatário (selfie) ou que usam certificado digital A1/A3, que trazem prova adicional de quem, fisicamente, estava presente no momento da assinatura.

Isso não é um problema do OTP — é a natureza dele. Cada perfil de evidência serve a um risco diferente. Um aviso interno de baixo risco, uma confirmação de leitura, um documento informal entre partes que já se conhecem: um código de verificação já reduz bastante o risco de fraude por link vazado ou compartilhado, com pouco atrito para quem assina. Já um contrato de maior valor, uma rescisão, um documento que pode ser contestado judicialmente, tende a pedir uma camada a mais — foto do signatário, código e foto juntos, ou certificado digital — justamente porque, nesses casos, provar canal não é suficiente; é preciso reduzir também o risco de que o titular do canal não seja o titular do documento.

Uma segunda função do código: proteger documentos sigilosos

Vale notar que "código de verificação" nem sempre serve para o mesmo fim. Em algumas plataformas, um código também é usado antes de o destinatário sequer conseguir abrir o conteúdo de um documento marcado como sigiloso ou confidencial — nesse caso, o objetivo é impedir que qualquer pessoa com o link consiga ler o conteúdo, e não apenas confirmar quem assina. É um uso correlato, mas com uma finalidade distinta: um protege a visualização, o outro é evidência da assinatura em si. Vale perguntar, ao avaliar uma ferramenta, se ela distingue claramente os dois casos — não são intercambiáveis.

Boas práticas ao lidar com códigos de verificação

Como o código prova posse de canal, ele só cumpre essa função se for tratado como algo sigiloso e pessoal:

• Nunca compartilhe um código de verificação com outra pessoa, mesmo que ela diga representar a empresa que enviou o documento — nenhuma plataforma séria pede esse código por telefone ou chat.
• Desconfie de mensagens que criam urgência para você repassar um código recebido; esse é um padrão clássico de phishing.
• Se um código chegar sem que você tenha iniciado nenhuma assinatura, é sinal de que alguém tentou usar seu contato — vale avisar quem supostamente enviou o documento.

O que considerar antes de escolher uma plataforma

Se o seu processo de negócio lida com documentos de risco variado, vale procurar uma plataforma que ofereça mais de um nível de evidência — e que deixe claro, para quem cria o envelope, a diferença entre "confirmar que a pessoa recebeu o link" e "confirmar quem assinou". A validade jurídica de uma assinatura eletrônica, aliás, depende do caso concreto e do tipo de ato: a Lei 14.063/2020 organiza as assinaturas em categorias (simples, avançada e qualificada), e cada uma pede um conjunto de evidências compatível com o risco do documento. Um bom parceiro de assinatura eletrônica orienta essa escolha em vez de empurrar sempre o nível mais barato — ou sempre o mais caro.

O e-Social Sign trabalha exatamente com essa lógica de perfis de evidência, do aceite simples ao certificado digital ICP-Brasil, incluindo o código de verificação como uma das camadas disponíveis. Se você quer testar como isso funciona na prática, com controle sobre qual nível de segurança cada documento exige, crie uma conta gratuita e monte seu primeiro envelope de assinatura.