As três camadas
Trilha de evidência
Por assinante: e-mail, código de verificação de uso único, endereço de IP, navegador, token do link e data com hora. É o registro que responde “não fui eu”.
Carimbo e página de log
Rodapé em todas as páginas e uma página final com o SHA-256 do arquivo original. Um caractere diferente muda o número inteiro — é como se confere, anos depois, que nada mudou.
Selo ICP-Brasil
Assinatura adbe.pkcs7.detached com certificado e-CNPJ A1, cadeia
completa embutida. É esta camada que enquadra o conjunto como assinatura
eletrônica avançada.
Como funciona para quem assina
- Recebe um link — sem cadastro, sem instalar nada, sem senha.
- Lê o documento na própria tela, com o SHA-256 de cada arquivo à vista. Um envio pode levar vários documentos, e a assinatura vale para todos.
- Aceita os Termos, que ficam presos à versão exata que estava publicada naquele dia.
- Confirma um código de seis dígitos e assina.
Em que pé está
Duas peças faltam, e nenhuma delas é detalhe:
- Login — a área interna só abre na máquina de quem desenvolve;
- Envio de e-mail — sem provedor, o código de verificação não tem como chegar a ninguém, e o sistema recusa gerá-lo em vez de fingir que mandou.
O que já funciona e está provado: a montagem do PDF com carimbo e página de log, e o selo PKCS#7 com o certificado ICP-Brasil real — cadeia completa, até a Autoridade Certificadora Raiz Brasileira do ITI.