A assinatura eletrônica baseia-se em um tripé técnico que a maioria dos guias apenas menciona: autenticação do signatário, selagem criptográfica do documento e carimbo de data/hora qualificado. Compreender esse mecanismo permite escolher o nível adequado de segurança sem superdimensionar o dispositivo, nem subestimar as exigências regulatórias relacionadas ao regulamento eIDAS.
Infraestrutura criptográfica por trás de uma assinatura eletrônica confiável
Toda assinatura eletrônica segura baseia-se em um par de chaves assimétricas: uma chave privada, mantida exclusivamente pelo signatário, e uma chave pública integrada em um certificado. Quando um documento é assinado, um hash do arquivo é criptografado com a chave privada. O destinatário verifica a integridade do documento descriptografando esse hash com a chave pública.
Para descobrir também : Guia prático para se conectar ao Octime Courlancy e acessar seu espaço de empregado
Esse processo garante duas coisas simultaneamente: a identidade do signatário e a integridade do documento assinado. Se um único caractere do arquivo for modificado após a assinatura, o hash não corresponderá mais. A prova de falsificação é, então, imediata.
O certificado de assinatura, emitido por uma autoridade de certificação (AC), constitui o elo central. Para assinaturas avançadas e qualificadas conforme o regulamento eIDAS, esse certificado deve ser emitido por um prestador de serviços de confiança qualificado (PSCQ), inscrito na lista de confiança europeia. Recomendamos verificar sistematicamente essa inscrição antes de aderir a uma solução, pois várias ofertas comerciais reivindicam conformidade com o eIDAS sem ter esse status.
Veja também : Guia prático para acessar facilmente o CAFC online e gerenciar seus processos
Para quem deseja criar uma assinatura eletrônica com a Ideelogique, o processo começa pela escolha do nível de assinatura adequado ao contexto jurídico do documento em questão.
Níveis eIDAS: escolher entre assinatura simples, avançada e qualificada
O regulamento eIDAS define três níveis de assinatura eletrônica. Cada nível adiciona requisitos técnicos e jurídicos em relação ao anterior.
- A assinatura eletrônica simples cobre a maioria dos usos comuns (orçamentos, ordens de compra, contratos comerciais padrão). Nenhuma verificação de identidade formal é imposta. Um código OTP enviado por SMS muitas vezes é suficiente como fator de autenticação.
- A assinatura avançada exige um vínculo único com o signatário, sua criação sob seu controle exclusivo e a detecção de qualquer modificação posterior do documento. Ela é adequada para contratos de trabalho, locações ou compromissos financeiros significativos.
- A assinatura qualificada é a única que se beneficia de uma presunção de confiabilidade em direito europeu. Ela impõe um certificado qualificado emitido após verificação de identidade presencial (física ou vídeo qualificada) e um dispositivo de criação de assinatura qualificado (QSCD). Ela é obrigatória para atos autênticos, contratos públicos desmaterializados e certos documentos regulamentados.
Observamos que a maioria das micro e pequenas empresas francesas que adotam a assinatura eletrônica permanece no nível simples, o que cobre efetivamente a maioria de suas necessidades diárias. O perigo consiste em usar uma assinatura simples onde a regulamentação setorial exige um nível avançado ou qualificado, expondo a empresa a uma contestação da validade do ato em caso de litígio.
Autenticação forte e MFA nas soluções de assinatura segura
Um ponto que os guias para o público em geral negligenciam: o nível de assinatura não é suficiente para garantir a segurança do processo. A robustez da autenticação multifatorial (MFA) aplicada no momento da assinatura determina a resistência real do dispositivo frente a uma usurpação de identidade.
As soluções recentes combinam, no mínimo, dois fatores entre três categorias: conhecimento (senha, código PIN), posse (smartphone, chave USB criptográfica) e inerência (biometria facial, impressão digital). Para uma assinatura avançada, o uso de um único fator (tipicamente um código SMS) é tolerado, mas fragiliza o valor probatório do dispositivo.
Recomendamos exigir sistematicamente uma autenticação de dois fatores, mesmo para assinaturas simples, sempre que o documento envolva financeiramente a empresa. O custo adicional é insignificante em comparação ao risco de repúdio.
Carimbo de data/hora qualificado: um detalhe que muda tudo em caso de litígio
O carimbo de data/hora qualificado associa uma data e uma hora certificadas por um terceiro de confiança a cada assinatura. Sem ele, um signatário pode contestar o momento de seu compromisso. Com um carimbo de data/hora qualificado, a data da assinatura torna-se juridicamente oponível.
Nem todas as plataformas integram esse serviço por padrão. Verifique se sua solução utiliza um servidor de carimbo de data/hora conforme a norma ETSI EN 319 421, emitida por um prestador inscrito em uma lista de confiança europeia.
Impacto do eIDAS 2 e da carteira europeia de identidade digital na assinatura
A revisão do regulamento, chamada eIDAS 2, introduz a Carteira europeia de identidade digital (European Digital Identity Wallet). Essa mudança transformará a criação de assinaturas qualificadas à distância.
O princípio: cada cidadão europeu poderá armazenar em uma carteira digital seus atributos de identidade verificados uma única vez, e depois reutilizá-los para assinar documentos em poucos cliques, sem precisar passar por uma verificação de identidade a cada ato. A fricção atual da assinatura qualificada (verificação por vídeo, envio de documentos de identidade) será consideravelmente reduzida.
Para as empresas, essa evolução significa que será mais fácil exigir um nível qualificado onde antes se contentavam com uma assinatura simples por conveniência. Antecipamos um aumento gradual das práticas, particularmente nos setores bancário, imobiliário e de contratos públicos.
Critérios técnicos para avaliar uma solução de assinatura eletrônica
A escolha de uma ferramenta não se limita a comparar os preços por pacote de assinaturas. Vários critérios técnicos merecem atenção especial:
- A conformidade do prestador de serviços de confiança (verificável na Trusted List europeia), que condiciona a aceitabilidade jurídica das assinaturas produzidas.
- O formato de assinatura suportado: PAdES para PDFs, XAdES para documentos XML, CAdES para arquivos binários. Uma ferramenta que oferece apenas PAdES pode bloquear certos fluxos de trabalho.
- A capacidade de integrar um processo de MFA configurável, adaptado ao nível de risco de cada tipo de documento.
- O arquivamento com valor probatório e o carimbo de data/hora qualificado incluídos nativamente, sem módulo adicional pago.
Um último ponto frequentemente ignorado: a perenidade criptográfica. Os algoritmos de hash e criptografia utilizados hoje (SHA-256, RSA 2048) precisarão evoluir frente às capacidades de computação futuras. Uma solução séria já prevê um roteiro para algoritmos pós-quânticos.
A assinatura eletrônica não é uma simples ferramenta de conforto. É um componente da infraestrutura documental cuja solidez técnica condiciona o valor jurídico de todos os compromissos que ela suporta. É melhor investir algumas horas na avaliação do dispositivo do que descobrir suas falhas diante de um tribunal.