Uma fiduciária em Zug abre uma pasta de cliente de 2026: um contrato de compra e venda de ações assinado e o certificado que veio com ele. É 2036, a outra parte quer a prova de que o contrato existia exatamente nesta forma antes de uma deliberação contestada do conselho de administração, e o certificado que assinou o PDF expirou há anos. Se ainda se verifica depende do que foi colocado dentro dele no dia em que foi selado.
Por que uma assinatura pode deixar de se verificar
Uma assinatura criptográfica é verificada contra um certificado, e os certificados têm data de fim. Depois que o certificado de assinatura expira, um leitor de PDF que precisa buscar na internet a cadeia de certificados e o seu estado de revogação pode descobrir que esses serviços já não respondem. A assinatura era válida quando foi feita. O que desapareceu foi o material necessário para provar isso.
Por trás há um segundo problema, mais lento. Ao longo de um período muito longo, um algoritmo criptográfico pode envelhecer, e uma assinatura feita com um algoritmo envelhecido é mais fácil de contestar do que quando era recente.
A validação de longo prazo responde aos dois problemas com antecedência, guardando as provas dentro do documento enquanto ainda estão disponíveis.
Os quatro níveis da norma
A norma europeia para assinaturas PDF, ETSI EN 319 142-1, define quatro níveis de base na cláusula 6.
B-B é a assinatura em si, com os atributos assinados no momento da geração.
B-T acrescenta um token confiável que prova que a assinatura existia numa certa data e hora.
B-LT acrescenta ao próprio documento todo o material necessário para validar a assinatura: os certificados e as informações de revogação. Dez anos depois, ninguém precisa buscar nada num servidor que talvez tenha sido desligado.
B-LTA acrescenta mais carimbos de tempo eletrónicos que permitem a validação muito depois da geração. As notas da norma dizem que os níveis B-LT e B-LTA são adequados quando a validade precisa ser preservada depois de o certificado expirar ou ser revogado, ou depois de o algoritmo ficar obsoleto, e que o B-LTA pode ajudar a validar uma assinatura para além da fraqueza dos algoritmos usados ou da expiração dos dados de validação.
Em termos simples: o B-LT guarda as provas junto com o arquivo. O B-LTA volta a carimbar as provas repetidamente para que as próprias provas não envelheçam.
O que um documento selado carrega hoje
Isto é o que a Swiss Trust Layer produz, lido no código de assinatura e não numa brochura.
Quando você sela uma pasta, uma impressão digital criptográfica de cada documento é calculada, e essa impressão, não o arquivo, é enviada à Swisscom Trust Services, o prestador qualificado de serviços de confiança. A Swisscom assina-a com uma chave que nunca sai do seu hardware. A assinatura já contém um carimbo de tempo RFC 3161 da Swisscom, e é incorporada de volta no PDF. O arquivo original não é alterado.
Depois da assinatura, os certificados e as informações de revogação necessários para validá-la são incorporados no document security store do PDF. Um leitor de PDF mostra a assinatura como LTV-enabled. Nos termos da norma, isso corresponde ao nível B-LT.
O produto não acrescenta um carimbo de tempo de arquivo separado por cima, por isso hoje não é B-LTA. O que isso significa na prática: a expiração do certificado de assinatura está coberta, porque a prova de que ele era válido no momento da assinatura viaja dentro do arquivo. O lento envelhecimento dos algoritmos criptográficos ao longo de períodos muito longos é exatamente aquilo para que os carimbos de tempo de arquivo existem, e o selo sozinho não trata disso. A lista de verificação abaixo mostra como colocar você mesmo uma nova prova datada sobre o mesmo arquivo.
O que o carimbo de tempo prova
Um carimbo de tempo qualificado prova que aquele arquivo exato existia naquele momento e não mudou desde então. Não prova quem escreveu o arquivo. Não diz nada sobre se o conteúdo é verdadeiro, nem sobre quem detém os direitos. Segundo o artigo 41.º, n.º 2, do Regulamento eIDAS, um selo temporal qualificado beneficia da presunção de exatidão da data e da hora que indica e da integridade dos dados aos quais essa data e hora estão associadas. O artigo 41.º, n.º 1, acrescenta que não podem ser negados efeitos jurídicos nem admissibilidade como prova a um selo temporal pelo simples facto de se apresentar em formato eletrónico ou de não ser qualificado.
A lista de verificação para dez anos
Nada disto funciona se o próprio arquivo for perdido ou alterado. Uma impressão digital corresponde aos bytes exatos e a nada mais.
- Guarde o PDF selado e o seu certificado sem alterações, em dois lugares. Não uma cópia salva de novo, e não uma versão com um comentário acrescentado.
- Verifique-o uma vez por ano e depois de cada migração. Carregue o PDF selado no validador público. Ele aceita um PDF assinado sem conta, verifica a cadeia de assinatura, a autoridade certificadora emissora, a expiração do certificado e a integridade do carimbo de tempo, e diz se o conteúdo foi modificado depois da assinatura. Não armazena o documento. Para registos comerciais suíços, a Ordenança sobre os livros comerciais (GeBüV) já exige no artigo 10 que os suportes armazenados sejam verificados regularmente quanto à integridade e legibilidade, e que qualquer migração seja registada. Uma passagem anual pelo validador é uma forma simples de produzir esse registo.
- Escreva uma nota em cada versão; o portal permite anexar uma a cada versão. Uma década depois, "cópia contra-assinada, selada antes da assembleia geral de 2026" vale mais do que um nome de arquivo.
- Quando precisar de uma nova prova datada, sele uma cópia de novo como nova versão. A nova versão recebe um novo carimbo de tempo desse dia e o seu próprio certificado. O carimbo de tempo antigo continua válido como era, e nada de uma versão emitida é reescrito.
Um passo esta semana
Escolha o documento que menos gostaria de ter de explicar em 2036, talvez um contrato de compra e venda de ações ou um manuscrito, e passe-o hoje pelo validador. Se nunca foi selado, sele-o agora. Um carimbo de tempo não pode ser acrescentado para trás, e um selo desta semana é a data mais antiga que alguma vez poderá mostrar para ele.
Sele o seu primeiro documento na Swiss Trust Layer ou leia o mecanismo completo em como funciona.
