Hash, criptografia e assinatura digital resolvem problemas diferentes. Um hash permite comparar os bytes de arquivos; criptografia pode proteger o acesso ao conteúdo; uma assinatura digital envolve mecanismos criptográficos para verificar uma assinatura. Nenhuma dessas camadas, sozinha, confirma que todas as condições de um contrato são válidas ou foram cumpridas.
Hash não esconde o documento
Uma função de hash produz um resumo a partir dos dados de entrada. O NIST descreve no Secure Hash Standard algoritmos usados para gerar resumos e detectar mudanças nas mensagens. SHA-256 é um desses algoritmos. O resultado não é uma versão cifrada da qual se recupera o texto com uma senha. [NIST FIPS 180-4: Secure Hash Standard]
Se duas cópias que deveriam ser idênticas têm hashes diferentes calculados pelo mesmo algoritmo, seus bytes diferem. Isso não informa sozinho qual é a cópia correta, quem alterou o arquivo ou se a mudança foi legítima. Regravar um PDF pode mudar bytes sem que a pessoa perceba diferença visual.
A comparação só ajuda quando existe uma referência confiável. Se alguém substituir ao mesmo tempo o documento e o hash publicado ao lado dele, os dois podem continuar combinando. Por isso, preserve o contexto em que o resumo foi obtido. Um código digitado em uma página não se transforma automaticamente em prova de autoria.
Criptografia não equivale a assinatura
Na proteção de documentos, cifrar o conteúdo limita sua leitura a quem dispõe do meio de decifrá-lo. Assinar digitalmente tem outra finalidade: permitir verificações relacionadas à assinatura e à integridade do conteúdo abrangido por ela. O padrão de assinaturas digitais FIPS 186-5 descreve esse uso de mecanismos criptográficos. Um arquivo pode ser assinado sem estar cifrado, assim como pode ter senha sem conter assinatura digital. [NIST FIPS 186-5: Digital Signature Standard]
Essa diferença muda perguntas de contratação. Em vez de aceitar apenas "usamos criptografia", pergunte como o acesso é controlado, como a assinatura é verificada e quais evidências podem ser exportadas. Este é um roteiro editorial de perguntas, não uma avaliação técnica de um produto.
O que o certificado acrescenta
Um certificado digital associa dados de validação a uma identidade segundo a infraestrutura que o emite. A Lei 14.063/2020 distingue assinaturas simples, avançadas e qualificadas para seus efeitos; a qualificada utiliza certificado ICP-Brasil. O Capítulo II tem âmbito específico e não deve ser tratado como regra geral de todo contrato privado. [Lei 14.063/2020: texto atualizado, Câmara dos Deputados]
Não deduza a classificação da assinatura só pela aparência da marca no PDF. Nome, desenho de rubrica e imagem de selo podem ser elementos visuais. A análise exige o arquivo eletrônico e os mecanismos e registros utilizados, não apenas uma impressão ou captura de tela.
Data digitada e carimbo do tempo também são diferentes
Segundo o ITI, o carimbo do tempo associa o resumo do documento à data e hora do seu registro pela entidade emissora. Isso não equivale à data de criação do arquivo. Tampouco significa que todo evento listado em uma trilha recebeu um carimbo individual. [ITI: perguntas frequentes sobre carimbo do tempo]
Ao ler o relatório, confira qual assinatura ou objeto recebeu o carimbo e qual serviço o emitiu. Para preservação prolongada, mantenha o documento original e os elementos de validação disponíveis. Não edite o arquivo final apenas para acrescentar uma capa ou uma observação.
Uma leitura prática em três perguntas
- Preciso saber se as cópias são idênticas? Compare os hashes obtidos de fontes confiáveis.
- Preciso restringir leitura? Examine proteção de acesso, cifragem e gestão das chaves.
- Preciso verificar uma assinatura? Utilize um verificador compatível e leia seu relatório.
O VALIDAR, do ITI, explica seus formatos e infraestruturas suportados. Seu resultado técnico não deve ser interpretado como aprovação da veracidade do conteúdo ou das condições do negócio. Essa distinção é importante para não ampliar o significado do relatório. [ITI: dúvidas sobre o VALIDAR] Este guia não garante validade jurídica de documentos nem substitui avaliação do caso.
