Como verificar a assinatura digital de outra pessoa

Passar um documento pelo validador e ver “aprovada” no resultado responde uma pergunta — o registro é íntegro e não foi alterado. Não responde outra, que é a que normalmente importa quando alguém te manda um contrato assinado: foi mesmo a pessoa certa quem assinou? As duas perguntas parecem a mesma coisa, mas a segunda exige olhar além do selo verde. Este guia parte de onde o passo a passo de validação termina — se você ainda não sabe como rodar o validador, comece por lá.

O validador confirma dado técnico, não a sua suspeita

O validador oficial, em validar.iti.gov.br, refaz o cálculo criptográfico do documento e devolve três coisas possíveis: aprovada, indeterminada ou inválida. Isso prova integridade — nenhum byte mudou depois da assinatura — e aponta o CPF vinculado à conta que autorizou. Não prova, por si só, que aquele CPF pertence mesmo a quem deveria assinar, nem que a pessoa não teve a conta usada por outra sem saber.

Para a maioria dos documentos do dia a dia, essa distinção não importa. Importa quando o que está em jogo é um contrato de valor, uma procuração, ou qualquer documento em que alguém tem motivo para forjar autoria.

O que conferir no relatório além do “aprovado”

Abra o relatório de conformidade gerado pelo validador e confira, item por item:

• O nome completo e o CPF parcial — precisam bater exatamente com quem você espera que tenha assinado, não só “parecer” o nome certo.
• A data e o horário da assinatura — compare com o combinado. Uma assinatura feita de madrugada num contrato negociado em horário comercial é motivo para perguntar.
• O IP ou dispositivo, quando o relatório traz esse dado — nem sempre traz, mas quando traz e diverge do que a pessoa normalmente usa, vale uma checagem extra.

Nenhum desses itens sozinho prova fraude. Juntos, formam o quadro que o resultado “aprovada” não mostra.

Assinatura escaneada não é assinatura digital — e isso é um sinal de alerta

Um documento impresso, assinado à caneta e escaneado de volta, ou uma imagem de assinatura colada num PDF, não carrega registro criptográfico nenhum. O validador simplesmente não encontra nada para conferir — o resultado é erro, não “inválida” no sentido de fraude detectada, porque tecnicamente não existe assinatura digital ali para avaliar.

Isso importa como sinal de alerta: se alguém te envia como “documento assinado digitalmente” um arquivo que é, na prática, uma foto de assinatura, essa pessoa não passou pelo assinador oficial — seja por não saber, seja por evitar de propósito o registro que o processo deixa.

Quando o documento não veio do gov.br

O validador do ITI lê assinaturas feitas pelo gov.br, por certificado digital ICP-Brasil e por acordos internacionais de reconhecimento mútuo. Documentos assinados em outras plataformas de assinatura eletrônica — cada uma com seu próprio sistema — não aparecem ali, e isso não é sinal de problema: cada plataforma opera sua própria verificação.

O jeito de identificar é procurar, no próprio documento recebido, um link ou QR code de conferência apontando para a página oficial daquela plataforma. A ausência completa de qualquer mecanismo de checagem — nenhum link, nenhum QR code, nenhum registro que uma página externa consiga confirmar — é o padrão mais comum de assinatura forjada: o documento parece assinado, mas não existe lugar nenhum para verificar isso de fora.

Quando o valor em jogo pede mais segurança que o validador sozinho

Para transações de baixo risco, conferir o relatório do validador resolve. Para contrato de valor relevante, venda de bem, ou qualquer documento em que uma fraude custaria caro, a segurança maior não vem de examinar melhor uma assinatura gov.br — vem de exigir que a outra parte assine com certificado digital ICP-Brasil. O art. 10, § 1º, da MP 2.200-2/2001 dá presunção de veracidade às declarações feitas com esse tipo de certificado, o que desloca o ônus da prova: quem quer contestar é quem precisa provar que a assinatura é falsa, não o contrário. A assinatura gratuita do gov.br não tem essa mesma presunção — ela vale porque as partes aceitam como válida, conforme o § 2º do mesmo artigo.

Resumindo: “aprovada” no validador confirma integridade do arquivo, não identidade de quem assinou — para isso, confira nome, CPF parcial e data no relatório contra o que você esperava. Foto de assinatura escaneada não passa pelo validador porque não existe registro para conferir, e é o principal sinal de alerta de documento forjado. Para documentos de outra plataforma, procure o link de verificação próprio dela. E quando o risco é alto, a segurança de verdade está em pedir certificado digital ICP-Brasil, não em examinar com mais cuidado uma assinatura gratuita.

Perguntas frequentes

Como sei se a assinatura de um documento que recebi é verdadeira?

Passe o arquivo pelo validador oficial em validar.iti.gov.br e confira, no relatório gerado, se o nome e o CPF parcial batem com quem deveria ter assinado. O resultado 'aprovada' sozinho não basta — ele confirma que o registro é íntegro, não que a pessoa certa foi quem assinou.

Um PDF com foto de assinatura escaneada tem validade digital?

Não. Uma imagem de assinatura à caneta colada num PDF, ou um documento impresso, assinado à mão e escaneado de volta, não carrega nenhum registro criptográfico — o validador oficial não encontra nada para conferir. É a mesma diferença entre carimbo visual e assinatura real explicada no guia de como validar.

Como verificar se foi realmente a pessoa que assinou um contrato?

O validador confirma autoria dentro do sistema — o CPF vinculado à conta que autorizou a assinatura. Ele não investiga se alguém usou a conta gov.br de outra pessoa sem permissão. Para contratos de valor alto, o nível de segurança maior vem do certificado digital ICP-Brasil, que tem presunção legal de veracidade — não da assinatura gratuita do gov.br.

O que fazer se o validador do gov.br não reconhece a assinatura de outra plataforma?

É esperado. O validador do ITI lê assinaturas gov.br, certificado ICP-Brasil e acordos internacionais de reconhecimento mútuo — não lê o formato interno de outras plataformas de assinatura eletrônica. Nesse caso, a conferência é feita na página oficial de verificação daquela própria plataforma, geralmente indicada por um link ou QR code no documento recebido.

Este conteúdo é informativo e não constitui aconselhamento jurídico. Cada caso é único — para uma situação específica, consulte o canal oficial do gov.br ou um profissional habilitado.