Certificados

Quando o último signatário assina, o MySign produz a peça final: o documento selado mais a folha de verificação, num PDF único, assinado digitalmente com o certificado digital da empresa. Esse é o arquivo que o cliente baixa, guarda e apresenta. A assinatura com certificado é da empresa, não dos signatários: ela atesta que aquele conjunto de páginas saiu do MySign daquela organização e não foi alterado depois.

O ganho prático é a conferência fora do sistema. Um PDF assinado no padrão PAdES pode ser aberto em qualquer leitor que valide assinatura digital, meses ou anos depois, sem acesso à plataforma: o leitor confirma que o arquivo não mudou desde a certificação e que veio do titular do certificado. É o caminho de verificação mais forte justamente porque não depende do MySign.

A peça final leva ainda uma marca d'água informando que o documento foi assinado eletronicamente, com a citação legal aplicável (MP 2.200-2/2001 e Lei 14.063/2020).

O que a certificação não faz

• Ela não eleva o nível de prova de nenhum signatário. O nível de cada um é o que ele provou ao assinar (simples, avançada ou qualificada) e está impresso na folha de verificação.
• Ela não substitui o carimbo do tempo. Sem uma autoridade de carimbo, a data registrada é a do servidor, e a folha diz isso.
• Ela não é condição para as assinaturas valerem. Se a unidade não tem certificado vigente, o documento conclui normalmente e as assinaturas colhidas continuam válidas; o que não sai é a peça final certificada.

Como o certificado é da organização, o MySign guarda um por unidade: cada filial emite com identidade própria, e é o certificado da unidade emissora que assina a peça final.

O certificado se administra em Configurações, seção Certificados digitais. O MySign trabalha com o certificado A1 da unidade: o arquivo .pfx ou .p12 e a senha desse arquivo.

Cadastrar

O cadastro vale para a unidade ativa da barra do topo; sem unidade ativa, a tela pede para escolher uma antes de qualquer envio. No diálogo de Cadastrar certificado, você escolhe o arquivo (o seletor só oferece .pfx e .p12, com teto de 1 MB) e digita a senha do arquivo, que pode ser vazia quando o certificado não tem senha. O campo de senha não tem botão de revelar, nunca é lembrado e o formulário sempre abre em branco: a senha é do arquivo, não de acesso ao sistema.

Arquivo e senha vão direto ao cofre de certificados da plataforma, cifrados fora do banco de dados, e nada volta: não existe download do certificado nem tela que mostre o material. O MySign guarda apenas o que precisa para listar, que é o titular, o nome comum (CN), a validade e a situação. Senha errada e arquivo inválido recebem uma única mensagem, de que o certificado não pôde ser aberto; se o cofre não responder, a tela diz que é temporário e para tentar de novo em instantes.

Se a unidade já tinha certificado vigente, cadastrar outro o retira de uso na mesma operação. O antigo não some: fica inativo na lista, porque as peças já certificadas apontam para ele.

Validade e vencimento

A lista mostra o titular, o vencimento e um selo em texto calculado pelo servidor: Em dia, Vencendo (nos 30 dias anteriores ao vencimento) ou Vencido. A tela não compara datas por conta própria: quem recusa a certificação é o servidor, e é o relógio dele que conta. Deixar vencer só se descobre dias depois, no cliente que não recebeu a peça final; daí o aviso na própria linha.

Renovar e retirar de uso

Renovar é cadastrar o certificado novo: ele assume e o anterior sai de uso. Retirar de uso serve para certificado comprometido ou trocado. A confirmação nomeia o titular e diz a consequência: o certificado sai do cofre e deixa de assinar documentos novos, e as assinaturas já feitas continuam válidas, porque carregam a cadeia do momento em que aconteceram. Repetir a retirada sobre um certificado já inativo não dá erro.

O certificado entra na última etapa de um processo que começa no envio. Vale conhecer as três peças que o MySign gera, porque o que o certificado assina é a soma das anteriores.

No envio: o documento selado

Selar é transformar os PDFs anexados em uma peça única e imutável. No envio, os arquivos são mesclados na ordem definida, as páginas são numeradas se o documento pedir, e todas recebem no rodapé o código de verificação e o identificador do documento. A peça selada ganha um resumo de integridade próprio: é esse resumo que cada assinatura registra, e é por ele que a autenticidade é conferida depois. A selagem acontece uma vez; depois dela, nenhum arquivo entra, sai ou muda de ordem. Enquanto ela não termina, ninguém abre o documento pelo convite, e os convites só saem com o selado pronto. Selagem que falha (PDF corrompido, protegido por senha, maior que o suportado) devolve o documento a rascunho com o motivo na trilha e avisa quem enviou.

Na conclusão: folha de verificação e peça certificada

Quando o último signatário assina (ou, havendo anexo a conferir, quando o último anexo é aprovado), o MySign gera a folha de verificação: quem assinou, com que papel, quando, de onde, por qual método e com que nível de prova; o resumo de integridade do documento; a história completa; e o código de verificação. Depois combina o documento selado com a folha, aplica a marca d'água legal e assina o conjunto com o certificado ativo da unidade emissora, resolvido por referência no cofre. Esse é o documento certificado.

A produção é assíncrona, com nova tentativa em falha temporária. Enquanto a peça final não existe, o documento concluído oferece a versão selada para download e deixa claro que a definitiva está sendo gerada. Falha definitiva não fica em silêncio: vira passo na história do documento e aviso a quem responde por ele. O caso típico é unidade sem certificado ativo, e o remédio é cadastrar um.

Todo download sai por um endereço temporário, válido por poucos minutos, direto do armazenamento. O usuário da empresa baixa o que a permissão dele sobre o documento permite; o signatário baixa apenas o que precisa assinar e, concluído, o documento final.

Uma assinatura, no MySign, sustenta cinco afirmações, e cada uma tem a sua evidência: foi esta pessoa (posse do canal do convite, código de uso único, dados pessoais conferidos ou certificado digital); concordou com este conteúdo (o resumo de integridade do documento selado); naquele momento; daquele lugar (endereço de rede e navegador); com ciência dos termos (a versão da política de privacidade aceita).

A afirmação "naquele momento" é a que o carimbo do tempo sustenta. A plataforma registra o instante do servidor em cada assinatura e em cada passo da história do documento; o carimbo do tempo de uma autoridade certificadora, quando houver, é a evidência adicional de que aquele instante não foi forjado pelo próprio emissor.

O que a folha declara

O MySign segue um princípio aqui: a plataforma não afirma o que não pode provar. A folha de verificação informa a origem da data de cada assinatura. Sem uma autoridade de carimbo do tempo, a data registrada é a do servidor, e a folha diz isso, em vez de sugerir mais precisão do que existe. A tela pública de conferência faz o mesmo, em prosa: ou informa que as datas são as do servidor da plataforma, sem carimbo do tempo, ou informa que há carimbo do tempo de autoridade certificadora.

Hoje a plataforma não opera com uma autoridade de carimbo do tempo: as datas das assinaturas são as do servidor, e as peças produzidas declaram essa origem. A assinatura digital da peça final com o certificado da empresa atesta origem e integridade do arquivo; ela não substitui o carimbo do tempo, e a folha de verificação mantém as duas coisas separadas.

Na prática, o que o terceiro que recebe o PDF consegue confirmar é: que o arquivo não foi alterado desde a certificação (pelo leitor de PDF ou enviando o arquivo à plataforma), quem assinou e em que ordem (pela folha e pela conferência por código), e a data registrada pela plataforma para cada ato, com a origem dessa data declarada por escrito.

A Lei 14.063/2020 reconhece três níveis de assinatura eletrônica, e o MySign os trata como um requisito declarado por signatário, não como consequência do canal usado. O nível é definido em cada signatário antes do envio e não muda depois que o convite sai.

Assinar com um método que não alcança o nível exigido é recusado. Método mais forte que o exigido é aceito e registrado como tal. O nível efetivamente alcançado, e não o exigido, é o que fica gravado na assinatura e impresso na folha de verificação.

Dois certificados, dois papéis

É importante não confundir os dois certificados que aparecem no MySign. O certificado da organização, cadastrado por unidade, assina a peça final e atesta que ela saiu daquela empresa e não foi alterada. Ele vale para todo documento da unidade, em qualquer nível. O certificado do signatário é o que o nível qualificado exige: um certificado ICP-Brasil da própria pessoa, usado por ela no ato de assinar. A certificação da empresa nunca transforma uma assinatura simples ou avançada em qualificada.

A assinatura qualificada está prevista no modelo, mas não está disponível: ela exige validar a cadeia de certificação ICP-Brasil e produzir a assinatura com o certificado do signatário sem que a chave dele passe pela plataforma. Declarar o nível qualificado num signatário é recusado ao salvar, com erro explícito. Os níveis simples e avançada estão em operação.

Meses depois, alguém recebe o PDF e quer saber se é verdadeiro. Há três caminhos, e os três ficam escritos na tela pública de conferência.

1. Pelo próprio PDF. Abrir num leitor que valide assinatura digital. Prova que o arquivo não foi alterado desde a certificação e que veio do titular do certificado da empresa. Não depende da plataforma.
2. Pelo código de verificação. Informar na plataforma o código impresso no rodapé. Prova que existe um documento com aquele código e mostra título, situação, empresa emissora, data da conclusão, resumos de integridade e a lista de signatários com nome, papel, data, método e nível de prova.
3. Pelo arquivo. Enviar o PDF à plataforma, que compara o resumo de integridade. A resposta é objetiva: é o documento certificado, ou não é. Um arquivo com uma página modificada não corresponde.

O código impresso é tratado como um segredo do documento: quem tem o documento tem o código. A consulta abre uma sessão curta, somente leitura, limitada por tentativas por endereço e por código, e toda consulta fica registrada, inclusive as que não encontram nada; é assim que se percebe alguém tentando adivinhar códigos. Código inexistente, código de documento excluído e código de documento ainda em rascunho respondem igual: "não encontrado".

A conferência pública não mostra contato, documento nem data de nascimento dos signatários, endereço de rede de quem assinou, mensagem interna nem a organização de pastas. Esses dados estão na folha de verificação, que acompanha o PDF e chega a quem o titular do documento decidiu entregar, não a quem digita um código. A tela também informa, junto da lista de signatários, que a certificação atesta origem e integridade e não eleva o nível de prova de ninguém, e declara se as datas são as do servidor ou de uma autoridade de carimbo do tempo.

A tela de certificados é uma das superfícies mais sensíveis do MySign, e a permissão que a governa é um nó único: administrar certificados. Quem a tem lista, cadastra e retira de uso; quem não a tem não vê a seção. Não há separação entre inserir, alterar e excluir porque não existe edição: cadastrar cria outro certificado e retirar de uso é liga e desliga de um campo.

Como em toda seção de Configurações, a seção sem permissão simplesmente não aparece no painel lateral nem na visão geral, em vez de aparecer desabilitada; digitar a URL da tela leva a "não encontrado". Sem nenhuma seção alcançável, a visão geral diz que é falta de permissão e a quem recorrer. Esconder é conveniência da tela; a recusa final é do servidor.

Alcance de unidade

O certificado é por unidade, e a lista chega recortada pelas unidades que o usuário alcança, com herança pela hierarquia. Consequência prática: uma lista vazia pode significar "nenhum certificado cadastrado" ou "sem acesso à unidade". O estado vazio diz a consequência de não haver certificado (o documento é assinado, mas não recebe a peça certificada) e oferece Cadastrar certificado. O cadastro usa a unidade ativa da barra do topo; unidade inexistente ou inativa é recusada pelo servidor.

O que ninguém vê

Nenhuma permissão dá acesso ao material do certificado. O arquivo e a senha entram uma vez, vão ao cofre e não voltam: não há download, não há detalhe com o conteúdo, e a leitura devolve apenas titular, nome comum, validade e situação. Quem opera documentos não precisa de permissão de certificado para que a peça final seja certificada: a certificação é automática na conclusão, com o certificado ativo da unidade emissora.

As permissões relacionadas ficam em seções vizinhas de Configurações: termos e privacidade (ler as versões; publicar versão nova é permissão à parte), papéis de signatário, tipos e grupos de anexo. Sem versão vigente dos termos, nenhum signatário consegue assinar, e é nessa tela que o problema aparece antes de alguém travar.