Um certificado de prova é uma página, um PDF de uma pasta que você mesmo selou ou de uma contraparte que quer que confie num ficheiro. Cada linha responde a uma pergunta diferente, e cada linha tem um limite. Aqui está a página de cima a baixo, com o que cada entrada prova e o que deixa em aberto.
O cabeçalho
Diz "CERTIFICATE" (certificado) e, por baixo, "Copyright Original" (original com direitos de autor). Isso nomeia o tipo de documento: um certificado para uma versão selada de uma pasta. Não decide nada sobre quem detém os direitos de autor dos ficheiros listados. Segundo o artigo 6 da Lei suíça de direitos de autor (URG), o autor é a pessoa singular que criou a obra, e um cabeçalho não pode resolver isso.
"Sealed for" e o nome
"Sealed for" (selado para) é o titular da conta, a pessoa cuja conta continha a pasta quando a versão foi selada. Prova qual conta selou estes ficheiros. Não prova que a pessoa nomeada os escreveu. O artigo 8, n.º 1, da Lei de direitos de autor (URG) presume que o autor é a pessoa cujo nome figura nos exemplares ou na publicação da própria obra. Um certificado é um registo separado, por isso leia o nome como titular da conta e nada mais.
A data e hora de selagem
Escritas como YYYY-MM-DD HH:MM:SS, em UTC, para que um mesmo instante se leia da mesma forma em qualquer fuso horário em que o PDF seja aberto.
A hora vem do momento da selagem. Uma impressão digital criptográfica do ficheiro foi enviada à Swisscom Trust Services, o prestador qualificado de serviços de confiança, que a assinou com uma chave que nunca sai do seu hardware. A assinatura traz um selo temporal RFC 3161 e é incorporada de volta no PDF. Segundo o artigo 41, n.º 2, do Regulamento eIDAS, um selo temporal eletrónico qualificado beneficia da presunção de exatidão da data e hora que indica e de integridade dos dados a que está ligado.
Esta linha prova, portanto, que os ficheiros existiam exatamente nesta forma naquele momento e não mudaram desde então. Não prova quando foram escritos nem quem os escreveu, e não prova que o que dizem é verdade.
O bloco de identidade
Alguns certificados trazem "Surname" (apelido), "Name" (nome), "DOB" (data de nascimento), "Country" (país) e "Passport No" (número de passaporte), com o número mascarado por asteriscos. Outros não. O bloco aparece quando essa versão foi selada depois de o titular da conta ter passado a verificação de identidade, uma verificação de passaporte através da DIDIT, fornecida via Swisscom Trust Services. Sem ela, o bloco está ausente.
O bloco é um instantâneo tirado na selagem; uma alteração posterior ao registo de identidade do titular nunca reescreve um certificado emitido. Prova que uma pessoa verificada detinha esta conta quando esta versão foi selada, não que essa pessoa seja o autor.
A tabela "Copyright-sealed documents"
"Copyright-sealed documents" (documentos selados com direitos de autor): uma linha por ficheiro, lida da esquerda para a direita.
"File name" (nome do ficheiro). O nome que o ficheiro tinha quando foi selado. Renomear a sua cópia mais tarde não quebra nada; a prova assenta na entrada seguinte.
"Hash" (impressão digital). Uma impressão digital criptográfica do conteúdo do ficheiro. Qualquer pessoa com o ficheiro e uma ferramenta de hash pode calcular a mesma impressão e comparar. Uma correspondência significa que o ficheiro em mãos é o ficheiro selado; um único carácter alterado dá uma impressão diferente. A selagem nunca altera o original, por isso a sua cópia deve corresponder. O hash prova a identidade do conteúdo, nada sobre o seu significado.
ISCC Codehash e ISCC. Um código de conteúdo segundo a ISO 24138:2024, mostrado quando o formato do ficheiro é suportado. Um ficheiro cujo formato não pode receber esta impressão continua selado e com selo temporal, e continua a ter o seu hash; a sua linha simplesmente não tem entrada ISCC. Os códigos ISCC e as etiquetas de conteúdo exigem verificação de identidade.
"AI Declaration" (declaração de IA). Quando o ficheiro traz uma declaração, as suas etiquetas aparecem aqui. Há seis etiquetas de conteúdo, e cada conteúdo e cada versão traz exatamente uma etiqueta de IA. HUMAN AUTHORED anda junto com AI FREE e com nenhuma outra etiqueta de IA. HUMAN APPROVED pode estar com qualquer etiqueta de IA e tem de vir de uma pessoa diferente do autor. As duas etiquetas HUMAN estão ligadas a uma identidade verificada. Uma etiqueta é uma declaração do titular da conta. O selo fixa-a no tempo e não a verifica.
"Human authors" (autores humanos), "Approved by" (aprovado por), "Rights claimed" (direitos reivindicados), "Other rights holders" (outros titulares de direitos). O que o titular declarou na selagem. Segundo o artigo 7 da Lei de direitos de autor (URG), quando duas ou mais pessoas contribuíram como autores, os direitos de autor pertencem a todas em conjunto, pelo que "Other rights holders" merece uma leitura atenta. Cada entrada aqui é autodeclarada: o certificado prova que a declaração foi feita, e quando, não que seja verdadeira.
O código QR, o Cert ID e as marcas
O código QR abre a página pública de verificação dessa pasta e dessa versão, sem login. A linha "Cert ID" (identificador do certificado) é o id da pasta a que essa página pertence.
No fundo estão as marcas: Swiss, ZertES, eIDAS, UAE PASS e ProLitteris. ZertES é a lei suíça sobre a assinatura eletrónica, eIDAS o seu equivalente na UE, e a ProLitteris o parceiro de custódia (escrow) no Registo Suíço de Direitos de Autor. O rodapé diz "Issued by Swiss Trust Layer" (emitido pela Swiss Trust Layer). Uma marca é uma marca, não um veredicto sobre os ficheiros acima.
Duas formas de o verificar
O certificado é um resumo. A prova pode ser verificada de duas formas, e nenhuma precisa de conta. Leia o código QR e compare a página com o papel. Ou carregue o próprio PDF selado no validador público: sem registo, e mostra quem assinou, quando, com que certificado, e se o conteúdo foi modificado após a assinatura. Reconhece assinaturas qualificadas segundo o eIDAS e a ZertES, processa os metadados da assinatura e não armazena o documento.
Se uma contraparte enviar o certificado sem o ficheiro selado, peça o ficheiro. Um certificado sozinho pode ser lido, não validado.
O que pode mudar depois, e o que não pode
Um certificado pode ser atualizado para a mesma versão, com os dados ISCC dos seus ficheiros e a identidade verificada do titular, sem que seja criada uma nova versão. Os hashes e as etiquetas declaradas de uma versão emitida nunca mudam numa nova selagem. Ficheiros novos ou declarações novas significam uma nova versão selada com o seu próprio certificado.
Um passo esta semana
Pegue num certificado, o seu ou um que lhe tenham enviado, e percorra-o com esta página aberta. Leia o código QR e depois carregue o PDF selado no validador. Se ambos coincidirem com o papel, sabe o que tem em mãos. Para as perguntas que a outra parte fará a qualquer PDF, leia dez perguntas que um advogado fará sobre o seu PDF. Para entregar a página de verificação a outros, veja o link de verificação na sua assinatura de e-mail.
Sele o seu primeiro documento na Swiss Trust Layer ou leia o mecanismo completo em como funciona.
