O que é assinatura digital: validade no Brasil

Assinatura digital é um mecanismo criptográfico que associa um arquivo ou mensagem a uma chave privada do signatário, de modo que qualquer pessoa com a chave pública correspondente possa verificar a autoria alegada e detectar alteração posterior do conteúdo. No Brasil, quando amparada por certificado da ICP-Brasil, ela costuma ser tratada como assinatura eletrônica qualificada, com presunção forte de autenticidade.

Você precisa enviar um contrato, um laudo ou um pedido ao poder público e a outra parte exige “assinatura digital”, porém o aplicativo da conta gov.br, o carimbo de imagem no PDF e o certificado em token não são a mesma coisa. Misturar esses caminhos gera atraso, rejeição do arquivo e discussão sobre validade jurídica depois que o prazo já passou.

Além disso, o custo não está só no preço do certificado. Há renovação, equipamento, biometria na emissão, risco de perda do token e a obrigação de guardar a chave privada longe de phishing e de malware. Este verbete organiza o mecanismo técnico, a classificação legal brasileira e os cuidados que evitam assinar errado.

Como a assinatura digital funciona na prática?#

Ela funciona com um par de chaves assimétricas e um resumo criptográfico do documento. O signatário usa a chave privada para gerar a assinatura sobre o conteúdo, enquanto qualquer verificador usa a chave pública correspondente para checar se aquele resumo bate com o arquivo recebido. Se uma vírgula do PDF mudar depois, a verificação falha, e isso é justamente o sinal de integridade quebrada.

Na geração, o sistema quase sempre calcula primeiro um hash do arquivo e só então aplica o algoritmo de assinatura sobre esse resumo, porque assinar bit a bit um PDF grande seria inviável. O Digital Signature Standard (FIPS 186-5), publicado pelo NIST em fevereiro de 2023, descreve esse modelo com chave privada na geração e chave pública na verificação, e deixa claro que a chave privada precisa permanecer secreta. Em navegadores modernos, a mesma ideia aparece na API Web Crypto, em que o método sign produz a assinatura com a chave privada e o verify confere com a pública, conforme a documentação do SubtleCrypto.sign na MDN.

O papel do certificado digital#

A chave pública sozinha não diz quem é a pessoa no mundo real. O certificado digital amarra essa chave a um nome, CPF, CNPJ ou identificação de sistema, e é assinado por uma autoridade certificadora. No Brasil, o caminho mais conhecido para o nível mais alto de confiança perante o Estado é o certificado digital ICP-Brasil, emitido na cadeia da Infraestrutura de Chaves Públicas Brasileira. Sem esse vínculo, você ainda pode ter matemática correta de assinatura, porém a prova de identidade fica mais fraca ou depende do que as partes aceitaram no contrato.

Um exemplo concreto ajuda. Ana envia um PDF de 2 MB a um cliente. O software calcula o hash, assina com a chave privada dela e anexa o certificado. O cliente abre o arquivo no validador, confere a cadeia até a autoridade raiz, vê o nome de Ana e recebe o resultado de integridade intacta. Se alguém trocar uma cláusula depois, o hash muda e a assinatura deixa de validar, mesmo que a imagem da “assinatura escaneada” continue igual no canto da página.

Há um custo escondido nesse fluxo. A assinatura prova vínculo com a chave e, quando o certificado é confiável, com a identidade cadastrada, porém não prova sozinha que a pessoa entendeu cada cláusula ou que o negócio é justo. Além disso, se a chave privada vazar, um atacante pode produzir assinaturas que parecem legítimas até a revogação do certificado. Por isso criptografia de chave pública e gestão de segredo andam juntas, e não são detalhes “só de TI”.

Na prática, o que eu vejo com mais frequência é gente confundir “apareceu um carimbo verde no leitor de PDF” com prova completa. O carimbo visual é apresentação. O que importa é a verificação criptográfica da assinatura, do certificado e, quando o caso exige, da lista de revogação.

Assinatura digital e assinatura eletrônica são a mesma coisa?#

Não. Assinatura eletrônica é o gênero, e a assinatura digital com certificado é uma espécie técnica e, no Brasil, costuma ocupar o topo da classificação legal quando usa a ICP-Brasil. Em outras palavras, todo uso de assinatura digital em sentido estrito é uma forma de assinatura eletrônica, porém nem toda assinatura eletrônica é digital no sentido criptográfico com par de chaves e certificado.

A Lei nº 14.063, de 23 de setembro de 2020, organiza três níveis para interações com o poder público. A assinatura eletrônica simples identifica o signatário e associa dados. A avançada exige associação unívoca, controle exclusivo dos dados de criação e detecção de mudança posterior, e pode usar certificado fora da ICP-Brasil ou outro meio admitido. A assinatura eletrônica qualificada é a que usa certificado nos termos do § 1º do art. 10 da Medida Provisória nº 2.200-2/2001, ou seja, o caminho ICP-Brasil.

O portal de Governo Digital sobre assinatura eletrônica resume a mesma escala e aponta a assinatura GOV.BR como exemplo de avançada, enquanto a qualificada fica com o certificado ICP-Brasil. Assim, quando um edital ou um cartório pede “assinatura digital com ICP-Brasil”, a conta prata ou ouro no gov.br, sozinha, pode não bastar, ainda que sirva para muitos serviços federais de menor exigência.

E se a outra parte aceitar um meio mais simples?#

Entre particulares, a Medida Provisória nº 2.200-2/2001 não impede outros meios de comprovar autoria e integridade, inclusive com certificados fora da ICP-Brasil, desde que admitidos pelas partes ou aceitos por quem recebe o documento. Porém “aceitar” precisa estar claro no contrato, no regulamento da plataforma ou na prática inequívoca das partes. Se o banco, o órgão ou o edital exige nível qualificado, a aceitação genérica de um clique com login fraco não resolve o requisito.

Imagine um fornecedor que assina um contrato de prestação de serviço numa plataforma privada com código enviado por SMS. Isso pode ser assinatura eletrônica avançada ou até simples, conforme o desenho. Já um ato de transferência de imóvel perante o Estado pode exigir assinatura eletrônica qualificada. O erro caro é usar o caminho mais cômodo e descobrir a rejeição só no protocolo final.

Se fosse comigo, eu leria primeiro o requisito escrito do destinatário e só depois escolheria ferramenta. Começar pelo app mais rápido e torcer para “valer igual” é o caminho que mais gera retrabalho.

O que a legislação brasileira define sobre assinatura digital?#

A base estrutural é a Medida Provisória nº 2.200-2, de 24 de agosto de 2001, que institui a ICP-Brasil para garantir autenticidade, integridade e validade jurídica de documentos eletrônicos e de transações que usem certificados digitais. O art. 10 trata os documentos eletrônicos previstos na norma como documentos públicos ou particulares para fins legais. O § 1º estabelece que as declarações em documentos eletrônicos produzidos com certificação da ICP-Brasil presumem-se verdadeiras em relação aos signatários, na forma do Código Civil então referido. O § 2º deixa espaço para outros meios de prova de autoria e integridade.

A Lei nº 14.063/2020 não “inventa” a ICP-Brasil, porém classifica os níveis de assinatura eletrônica e deixa explícito que a qualificada é a de maior confiabilidade regulada nesse arranjo. O Decreto nº 10.543/2020, por sua vez, define níveis mínimos para interações com a administração pública federal direta, autárquica e fundacional. Nele, a assinatura eletrônica qualificada é aceita em qualquer interação eletrônica com entes públicos e é obrigatória em hipóteses como atos de transferência e registro de bens imóveis, ressalvados atos perante juntas comerciais, além de atos do Presidente da República e dos Ministros de Estado e outras hipóteses legais.

O que isso muda no seu dia a dia#

Se você só precisa protocolar um pedido simples num serviço federal que admite assinatura simples ou avançada, pode bastar a conta gov.br no nível exigido, com o custo de tempo de validação da conta e o risco de não atingir o nível prata ou ouro. Se o ato está na lista de obrigatoriedade de qualificada, ou se a autoridade máxima do órgão elevou o patamar, o certificado digital ICP-Brasil deixa de ser “diferencial” e vira requisito. A validade jurídica, portanto, não é um selo mágico único, e sim o encontro entre o nível da assinatura, o tipo de ato e a regra do destinatário.

Há armadilha de linguagem. Muita comunicação oficial e de mercado chama de “assinatura digital” tanto a qualificada com ICP-Brasil quanto a assinatura eletrônica da conta gov.br. Tecnicamente e legalmente os níveis diferem. Por isso vale ler o texto legal ou o manual do serviço e procurar as palavras “simples”, “avançada” e “qualificada”, em vez de confiar só no marketing da tela.

O erro que mais custa caro aqui é assinar um pacote inteiro de documentos no nível errado e só descobrir na recusa do cartório, do tribunal ou do sistema do órgão. Refazer biometria, reemitir certificado e recolher assinaturas de várias partes consome dias, e o prazo administrativo não espera a sua curva de aprendizado.

Quando o certificado digital ICP-Brasil é necessário?#

Ele é necessário quando a lei, o decreto, o edital ou o destinatário exigem assinatura eletrônica qualificada, ou quando você quer a presunção forte associada à ICP-Brasil e a aceitação ampla em sistemas que só confiam nessa cadeia. Também é comum em obrigações empresariais, sistemas fiscais e fluxos privados que escolheram o certificado como padrão de autenticação forte, ainda que em tese outro meio pudesse ser pactuado.

Segundo a página do Instituto Nacional de Tecnologia da Informação sobre certificado digital, o certificado ICP-Brasil é a identidade digital que permite identificação segura e assinaturas eletrônicas qualificadas nos termos da Lei nº 14.063/2020, com efeitos da MP nº 2.200-2/2001. A emissão passa por Autoridade Certificadora credenciada e por validação em Autoridade de Registro, presencial ou por videoconferência, com coleta de biometria facial e digitais no fluxo descrito pelo ITI. Os tipos mais citados ali são o A1, armazenado no computador ou no celular com validade de 1 ano, e o A3, em cartão, token ou nuvem, com validade de 1 a 5 anos.

O benefício é claro. Você ganha um meio padronizado, auditável e amplamente aceito para atos que pedem o nível máximo. O custo aparece em taxa de emissão e renovação, possível compra de token, deslocamento ou agenda de videoconferência, e na disciplina de uso. Certificado em arquivo A1 no notebook compartilhado da família é um risco operacional alto. Token A3 sem senha pin fraca ou deixado na USB da recepção também.

E se eu já uso conta gov.br?#

A conta gov.br prata ou ouro habilita a assinatura eletrônica avançada em vários serviços, e o Governo Digital a trata como alternativa gratuita em muitos fluxos. Porém ela não substitui automaticamente o certificado ICP-Brasil quando o ato exige qualificada. A pergunta útil não é “tenho login no governo?”, e sim “qual nível mínimo este ato exige?”. Se a resposta for qualificada, o caminho é AC credenciada, e não só o aplicativo.

Quem acompanha emissão de certificado costuma notar que o gargalo quase nunca é “entender RSA”. O gargalo é escolher o tipo certo, agendar validação com documento correto e instalar o certificado no computador que de fato será usado para assinar. Perder essa sequência gera certificado emitido e inutilizado no prazo crítico.

Quais cuidados protegem a chave privada e a validade?#

O cuidado central é tratar a chave privada como segredo de alto impacto, porque quem a controla assina em seu nome até a revogação. Isso vale para arquivo A1 exportável, para token A3 e para certificado em nuvem cujo fator de desbloqueio seja fraco. A assinatura digital bem feita não perdura se o segredo vazar.

Comece pelo ambiente. Mantenha o sistema operacional atualizado, evite instalar programas de origem duvidosa e desconfie de e-mails que peçam “renovação urgente do certificado” com link. Golpes de phishing contra titulares de certificado existem porque o prêmio do ataque é assinar declarações, procurações e movimentações com aparência legítima. Malware que rouba arquivos de certificado ou captura a senha do token tem o mesmo efeito prático. Em contas e painéis ligados à assinatura, autenticação de dois fatores e, quando disponível, passkey reduzem o risco de captura só de senha, embora não substituam a proteção física do token.

Revogação, validade e armazenamento#

Certificado tem prazo. Depois do vencimento, novas assinaturas com aquele material deixam de ser o caminho regular, e sistemas podem rejeitar o uso. Se houver suspeita de comprometimento, a revogação junto à Autoridade Certificadora deve ser imediata, e os documentos já assinados antes do incidente precisam ser avaliados no contexto do caso, o que pode exigir apoio jurídico. Guardar backup cifrado do A1 em local controlado ajuda contra perda acidental, porém multiplica cópias da chave privada e, portanto, a superfície de vazamento. Token único sem contingência, por outro lado, pode travar uma operação inteira se quebrar na véspera do prazo.

Também importa o canal. Assinar e enviar o arquivo por meio que preserve o binário assinado evita a clássica falha de “salvei como impressão” ou “converteu de novo e perdeu a assinatura embutida”. Páginas de serviço do governo alertam que imprimir ou regravar o PDF do modo errado pode entregar um arquivo sem a assinatura válida. Usar HTTPS no portal em que você autentica e baixa o documento reduz interceptação da sessão, embora não substitua a verificação posterior da assinatura no arquivo.

Depois de ver vários vazamentos de token e de arquivo A1 compartilhado, eu priorizaria pin forte, aparelho dedicado quando o volume de assinaturas for alto, e um ensaio de validação num documento de teste antes do lote oficial. Assinar quinze contratos de uma vez sem testar o ambiente é economia falsa.

Como conferir se uma assinatura digital é válida?#

Você confere com um validador que recalcula a integridade, lê o certificado, verifica a cadeia de confiança e, quando aplicável, a situação de revogação. No ecossistema brasileiro, o serviço VALIDAR do ITI é a referência pública gratuita para aferir assinaturas eletrônicas qualificadas e avançadas em arquivos, inclusive fluxos gov.br e reconhecimentos internacionais previstos no serviço, conforme a página de serviço em gov.br sobre validação de assinaturas eletrônicas.

Na prática do arquivo, o caminho típico é enviar o PDF, o p7s ou o XML assinado, ou usar o QR Code quando o documento trouxer esse atalho. O resultado útil responde se a integridade se mantém e quem aparece como titular do certificado. Isso não substitui a leitura do conteúdo jurídico, porém elimina a dúvida “alguém alterou depois?” e a dúvida “este certificado ainda era válido no momento relevante?”, dentro dos limites do que o validador reporta.

O que fazer se a validação falhar#

Falha de integridade aponta alteração do arquivo ou assinatura incompleta. Falha de certificado pode ser cadeia não confiável no leitor, certificado vencido, revogado ou assinatura feita fora do perfil esperado. Nesse caso, volte à origem, peça novo arquivo assinado e evite “consertar” abrindo em editor e salvando de novo, porque isso costuma destruir a estrutura da assinatura. Se o problema for nível errado para o ato, a correção é reassinar no nível exigido, não insistir no mesmo meio.

Do lado de quem valida arquivo assinado, a rotina saudável é validar amostragem no começo do fluxo e de novo antes do protocolo final. Confiar só na tela “assinado por” do primeiro aplicativo da cadeia é como aceitar recibo sem olhar o valor.

Termos relacionados#

• Criptografia É a base matemática da assinatura digital com chaves assimétricas e hash.
• Biometria Entra na validação de identidade na emissão do certificado ICP-Brasil.
• Phishing É um dos principais vetores para roubo de senha, token ou arquivo de certificado.
• Autenticação de dois fatores (2FA) Reforça o acesso a contas e painéis ligados à emissão e ao uso da assinatura.
• Passkey (chave de acesso) Oferece autenticação resistente a phishing em serviços que a suportam, complementar ao certificado.
• HTTPS Protege o canal ao acessar portais de assinatura e download do arquivo assinado.
• Malware Pode exfiltrar a chave privada ou capturar o pin do token.
• QR Code Aparece em fluxos de validação pública de documentos assinados.

Perguntas frequentes sobre assinatura digital#

As dúvidas abaixo cobrem o vocabulário do dia a dia, a diferença entre níveis legais, o papel do certificado, a validação do arquivo e os limites do que a assinatura prova. Use-as como atalho depois de ler o mecanismo e a legislação, e volte ao corpo do verbete quando a sua situação envolver prazo ou ato específico.

O que é assinatura digital na linguagem do dia a dia?#

Na conversa corrente, muita gente chama de assinatura digital qualquer jeito de assinar na tela. Em sentido técnico, porém, assinatura digital é a operação criptográfica com chave privada e verificação por chave pública, em geral amparada por certificado. No Brasil, o uso mais exigente desse modelo com ICP-Brasil corresponde à assinatura eletrônica qualificada.

Assinatura com gov.br substitui certificado ICP-Brasil?#

Em vários serviços públicos a assinatura pela conta gov.br prata ou ouro basta, porque o ato admite nível avançado. Porém, quando a norma exige assinatura eletrônica qualificada, o certificado digital ICP-Brasil continua necessário. A decisão correta começa pelo requisito do destinatário, não pelo aplicativo que você já tem instalado.

PDF com imagem da minha assinatura manuscrita vale como assinatura digital?#

Em geral, não no sentido criptográfico. Uma imagem colada não cria o vínculo de chave privada nem detecta alteração do arquivo da mesma forma. Pode até fazer parte de um fluxo eletrônico mais amplo se a plataforma associar outros fatores, porém a imagem isolada não é assinatura digital.

O que acontece se eu perder o token ou vazar a chave privada?#

Trate como incidente. Contate a Autoridade Certificadora para orientar a revogação, interrompa o uso daquele material e avalie quais documentos podem ter sido assinados sem a sua vontade. Quanto mais rápido a revogação, menor a janela em que um terceiro assina com a sua identidade digital aparente.

Posso usar assinatura digital em contrato entre empresas sem ICP-Brasil?#

Sim, a MP nº 2.200-2/2001 admite outros meios de comprovação de autoria e integridade se as partes admitirem ou se quem recebe o documento aceitar. Ainda assim, se uma das partes ou um terceiro necessário ao negócio exigir ICP-Brasil, o pacto interno não obriga esse terceiro. Combine o meio por escrito antes de coletar as assinaturas.

Assinatura digital garante que o conteúdo é verdadeiro?#

Não. Ela ajuda a indicar quem assinou com determinada chave e se o arquivo mudou depois. Conteúdo falso assinado continua falso, e por isso a verificação criptográfica não dispensa leitura crítica nem, quando couber, análise jurídica do negócio.

Conclusão#

Para a maioria das pessoas e empresas no Brasil, o caminho seguro é separar três perguntas antes de assinar. Qual nível o destinatário exige, qual ferramenta atinge esse nível e como a chave privada ficará protegida até a revogação ou o vencimento. Quando o ato pede assinatura eletrônica qualificada, o certificado digital ICP-Brasil deixa de ser opcional. Quando o ato admite avançada ou simples, insistir no certificado mais caro pode ser desperdício, porém usar o meio mais fraco num ato que pede o mais forte é risco direto de rejeição.

A resposta muda se você assina volume alto, lida com imóveis, procurações sensíveis ou sistemas que só confiam na cadeia ICP-Brasil. Nesse cenário, padronizar tipo de certificado, responsável interno, teste de validação e plano de revogação importa mais do que discutir marca de token. O primeiro passo prático é pegar um documento real do seu fluxo, ler a exigência escrita e validar um arquivo de ensaio no validador oficial antes da rodada que tem prazo.

Tratar assinatura digital como carimbo bonito é o atalho que mais falha. Tratar como controle de chave, nível legal e verificação de integridade é o hábito que evita refazer o trabalho sob pressão.

Este é um conteúdo informativo sobre assinatura digital, em linguagem geral de tecnologia e direito aplicado a documentos eletrônicos. Não constitui consulta jurídica, assessoria de segurança da informação nem orientação individualizada sobre prazo, forma ou efeito de um ato concreto. Normas, sistemas e exigências de órgãos mudam; confira a regra vigente junto ao destinatário e, quando o caso exigir, procure profissional habilitado. As fontes oficiais e técnicas citadas neste verbete foram conferidas em outubro de 2026.