Validar assinatura de PDF

Envie o PDF e a validação começa sozinha. Para cada assinatura, a ferramenta calcula o hash dos bytes que ela cobre, compara esse hash com o resumo armazenado dentro da assinatura e depois verifica a assinatura com a chave pública do signatário; qualquer alteração nos bytes cobertos deixa o status como Inválida, com o motivo exibido no cartão. Cada assinatura do arquivo tem seu próprio cartão, e o resumo no topo conta quantas foram encontradas.

Válida significa que a assinatura foi verificada criptograficamente, cobre o arquivo inteiro e usa um resumo seguro. Inválida significa que a verificação foi executada e falhou, por exemplo porque os bytes mudaram ou a chave não corresponde. Não verificada significa que a assinatura usa um algoritmo que a ferramenta não consegue checar, como Ed25519 ou SM2, então confirme no Adobe Acrobat ou com o openssl antes de confiar nela.

RSA com preenchimento PKCS#1 v1.5, RSA-PSS e ECDSA nas curvas P-256, P-384 e P-521, com resumos SHA-224, SHA-256, SHA-384 ou SHA-512. Assinaturas com hash MD5 ou SHA-1 são marcadas com o status Resumo inseguro e nunca são informadas como válidas, porque ambos os algoritmos têm ataques de colisão publicados.

A ferramenta não tem uma lista integrada de autoridades certificadoras, então, por conta própria, ela consegue confirmar que a assinatura está intacta, mas não quem está por trás do certificado. Envie o certificado raiz ou intermediário da sua organização como arquivo .pem, .crt, .cer ou .der e a validação é executada de novo: assinaturas cujo certificado corresponde a ele ou encadeia até ele recebem o selo Confiável, e o resumo as conta como válidas.

Significa que bytes foram acrescentados depois que esta assinatura foi aplicada. A parte assinada continua intacta, então a ferramenta mostra um aviso de Modificado após a assinatura em vez de marcar a assinatura como inválida. Isso, por si só, não prova adulteração: uma segunda assinatura ou um salvamento incremental produz o mesmo resultado, e apenas a última assinatura adicionada pode cobrir o arquivo inteiro. Trate como um motivo para olhar o que foi acrescentado.

Não. A ferramenta verifica as datas de validade do certificado, a cadeia de confiança com base em um certificado que você fornece e a integridade criptográfica da assinatura, mas não consulta respondedores OCSP nem listas de revogação de certificados. Para verificar revogação, valide o arquivo em uma ferramenta de desktop com acesso à rede.

A validade é avaliada com base na data de hoje, então um certificado que já passou da data de Válido até mostra o status Certificado expirado e não é contado como válido no resumo, mesmo que a assinatura em si seja verificada. Compare o horário de Assinado em com as datas de Válido de e Válido até no cartão para ver se o certificado estava vigente na hora da assinatura.

Não. A análise das assinaturas e as verificações criptográficas rodam no seu navegador usando node-forge e a Web Crypto API, então o documento e qualquer certificado que você adicionar permanecem no seu dispositivo.