Conferência pública

Meses depois da assinatura, alguém recebe um PDF por e-mail e quer saber se ele é verdadeiro: um cliente, um advogado, um banco, um cartório. Essa pessoa não tem conta no MySign, não vai criar uma e não conhece a marca. A conferência pública existe para responder sim ou não em poucos segundos, e para dizer o que ela sabe e o que não sabe.

A garantia vem de como o documento é produzido. No envio, os arquivos viram um PDF único e imutável, o documento selado, e o resumo de integridade desse PDF passa a ser a identidade do conteúdo: cada assinatura grava o resumo daquilo que o signatário viu. Na conclusão, a plataforma gera a folha de verificação e o documento certificado, que reúne o selado e a folha, assinado com o certificado digital da empresa emissora e com marca d'água citando a legislação aplicável. Nada disso muda depois de gerado.

Há três caminhos para conferir, em ordem de força:

1. Pelo próprio PDF, em qualquer leitor que valide assinatura digital no padrão PAdES, ou no validador oficial do ITI (validar.iti.gov.br). Esse caminho não depende do MySign: prova que o arquivo não foi alterado desde a certificação e que veio do titular do certificado.
2. Pelo código impresso no rodapé do documento, na página pública de conferência. Prova que existe um documento com aquele código e mostra quem assinou, quando e com que nível de prova.
3. Pelo arquivo, enviando o PDF à página de conferência. Prova que aquele arquivo, byte a byte, é o documento certificado, ou que não é.

A página de conferência mostra o primeiro caminho sempre, mesmo durante a consulta e junto da resposta. Esconder isso seria vender como serviço uma confiança que o padrão já dá de graça; é também a única parte que continua funcionando sem a plataforma.

Todo documento nasce com um código de verificação curto, gerado pela plataforma, único na empresa e nunca escolhido nem alterado por quem cria. Ele é impresso no rodapé do PDF selado e aparece na folha de verificação, junto de um QR que leva à página de conferência. O formato exato do código não é publicado de propósito: a página aceita o que for digitado, apenas converte para maiúsculas e remove espaços, e quem julga é o servidor.

O passo a passo

1. Abrir a página de conferência (pelo QR da folha, pelo endereço impresso ou pelo botão Conferir documento de quem está logado no MySign; a tela é a mesma para todos).
2. Digitar o código no campo e acionar Conferir. Com o campo vazio o botão fica desabilitado.
3. A plataforma abre uma sessão de conferência curta, de 10 minutos e somente leitura, e mostra o resultado: a resposta em destaque, o resumo do documento e a lista de signatários.
4. Enquanto a sessão vale, é possível baixar o documento certificado; o link é gerado no clique e abre em outra aba. Vencida a sessão, a tela pede o código de novo.

O código é tratado como o que ele é: um segredo impresso no documento. Quem tem o documento tem o código; quem não tem, não adivinha. Por isso ele nunca vai no endereço da página: a consulta parte sempre do formulário, o código viaja no corpo da requisição e não aparece na barra de endereços nem fica no histórico do navegador.

Quando nada é encontrado

Código inexistente, código de documento excluído e código de documento que ainda não foi enviado recebem a mesma resposta: nada foi encontrado. O código nasce junto com o documento, mas só passa a valer quando o documento sai para assinatura; rascunho não se confere, e a conferência não confirma que ele existe. A tela nunca distingue esses casos, para que ninguém use a conferência como oráculo de quais códigos existem.

Depois de muitas consultas seguidas sem sucesso, o pedido é barrado com a orientação de aguardar e o tempo de espera, quando a plataforma o informa. A tela não repete a consulta sozinha.

Nem sempre dá para ler o rodapé: uma cópia impressa e digitalizada, um PDF repassado sem a última página, um código borrado. Para esses casos, a página aceita o próprio arquivo, arrastado para a área de envio ou escolhido pelo seletor, um por vez e só PDF. Não é preciso código nem sessão prévia.

A plataforma calcula o resumo de integridade do arquivo recebido e procura um documento certificado com o mesmo resumo. A resposta é binária e grande:

• É o documento certificado: a tela mostra o mesmo resumo público e a mesma lista de signatários da conferência por código.
• Não corresponde: a tela diz isso e nada mais. Não aponta qual página mudou, não diz qual documento o arquivo "quase era" e não exibe resumos para a pessoa comparar a olho. Comparar 64 caracteres a olho é um teste que falha em silêncio, e a comparação é feita pelo servidor.

Um arquivo que teve uma única página alterada, uma anotação acrescentada ou uma recompressão deixa de corresponder: o resumo é calculado sobre os bytes, e qualquer mudança produz outro resumo. "Não corresponde" não é tratado como erro do sistema; é uma resposta, apresentada sem cor de falha.

Duas coisas que a tela diz antes de o arquivo subir, e que não são detalhe de texto:

• O arquivo enviado não é guardado. Só o resumo de integridade entra no registro da consulta. A pessoa está subindo um contrato para um site que não conhece, e dizer isso é a única chance de ganhar a confiança dela.
• Toda consulta é registrada, inclusive as que não encontram nada.

Pelo caminho do arquivo a página não oferece o download do documento certificado: o download exige a sessão aberta pelo código, e quem já tem o arquivo certificado em mãos não precisa dele. Quem quiser o original baixa pela conferência por código ou pede a quem emitiu.

Com a conferência bem-sucedida, a página desenha exatamente o que o servidor devolveu, sem campo derivado nem contagem calculada no navegador:

• A resposta, em tipografia grande, com ícone e texto (nunca só por cor).
• O resumo do documento: título, situação, unidade emissora, data da conclusão, data da certificação e o código de verificação. Recolhidos, como dado do documento e não como resposta, os dois resumos de integridade: o do documento selado e o do documento certificado.
• A lista de signatários: nome, papel (contratante, testemunha...), data da assinatura, método usado (por exemplo, código de uso único por e-mail ou posse do link) e nível de prova alcançado (simples ou avançada), todos como rótulos traduzidos.
• As notas, sempre juntas: a origem da data, o alcance da certificação, o que não aparece e por quê, que o arquivo enviado não foi guardado (no caminho do arquivo) e que toda consulta é registrada.
• O painel do caminho independente (validar o PDF num leitor com suporte a assinatura digital) e, na conferência por código, o botão para baixar o documento certificado.

O idioma vem do navegador, com troca visível na própria tela.

A trilha completa está na folha de verificação

A página pública mostra o resultado; a história do documento está na folha de verificação, que acompanha o PDF certificado. Ela é a impressão da trilha de eventos do documento: criação, envio, selagem, convite enviado, documento aberto pelo signatário, signatário autenticado, assinatura, recusa, cancelamento, expiração, conclusão e certificação, cada passo com quando aconteceu, quem fez, de qual endereço e com qual navegador. Quando o autor é a própria plataforma, isso fica explícito. O nome de quem agiu é registrado como era naquele momento; mudar o nome de uma pessoa depois não reescreve a história.

A trilha não se altera e não se apaga, nem por quem administra o sistema: os passos são numerados sem buracos e encadeados por resumo de integridade, de modo que qualquer adulteração seja detectável. Dentro do MySign, quem tem acesso ao documento vê a mesma trilha na seção Histórico do detalhe, do passo mais recente ao mais antigo, e pode pedir uma conferência de integridade, que responde se a história está íntegra e, se não estiver, a partir de qual passo. O motivo de um cancelamento ou de uma recusa também vai para a trilha e para a folha.

A conferência pública foi desenhada para quem só tem o código, e o recorte do que ela mostra é deliberado. Ela não expõe:

• e-mail, telefone, documento e data de nascimento dos signatários;
• o endereço de rede e o navegador de quem assinou;
• a mensagem interna do documento, a pasta em que ele está e qualquer identificador de usuário da empresa;
• os arquivos, fora do download do documento certificado, disponível só com a sessão aberta pelo código.

Esses dados vivem na folha de verificação, que acompanha o PDF e chega a quem o titular do documento decidir entregar, não a quem digitar um código. A página diz isso junto da lista de signatários, para que a ausência não pareça omissão.

Consulta registrada, não anônima

A plataforma não promete anonimato a quem confere. Toda consulta fica registrada com o resultado, inclusive as que não encontram nada, as que não correspondem e as barradas por excesso. É assim que se detecta alguém tentando adivinhar códigos, e isso é defesa de quem assinou também.

Dois tetos limitam a consulta por código, e eles se complementam: 30 consultas sem sucesso por hora por endereço de rede, que barram a varredura de quem fica parado, e 10 consultas por dia para o mesmo código, com ou sem sucesso, que barram quem troca de endereço para insistir no mesmo segredo. A conferência por arquivo tem o mesmo teto de 30 consultas sem sucesso por hora por endereço. Estourado o limite, a resposta orienta a aguardar.

Uma resposta para vários casos

A página nunca é mais específica do que o servidor. "Nada foi encontrado" cobre código inexistente, documento em rascunho, documento excluído e documento de outra empresa. Uma mensagem "mais útil" aqui seria uma vulnerabilidade: um erro que distinguisse "código errado" de "documento ainda não enviado" transformaria a tela num oráculo. Da mesma forma, uma sessão vencida vira "a conferência expirou, informe o código de novo", e uma falha de comunicação vira "sem conexão", nunca "não encontrado", que mandaria o visitante procurar um documento que está lá.

A sessão de conferência é da aba do navegador e some com ela. Não há renovação nem "manter conectado"; quem precisar de mais tempo informa o código de novo. Estar logado no MySign não muda nada: o operador usa a mesma página pública, e a sessão administrativa não vale para conferir.

É comum confundir três coisas que a conferência deixa separadas: a assinatura de cada signatário, a certificação do documento e o carimbo do tempo.

A assinatura é de quem assinou

Cada signatário prova quem é no nível exigido dele (simples, pela posse do link do convite; avançada, com código de uso único e conferência de documento e nascimento) e a assinatura registra quem, quando, de onde, com qual navegador, por qual método, em que nível, sobre qual conteúdo e com qual versão dos termos aceitos. Faltando qualquer um desses dados, a assinatura não é gravada. O nível alcançado é o que aparece na conferência e na folha: ninguém é promovido depois.

A certificação é da empresa

O documento certificado é assinado com o certificado digital da empresa emissora (o certificado ativo da unidade que emitiu o documento), no padrão PAdES. Essa assinatura atesta origem e integridade: que aquele conjunto de páginas saiu do MySign daquela empresa e não foi alterado depois. É o que torna o PDF verificável em qualquer leitor que valide assinatura digital, sem o sistema. Ela não transforma assinatura simples em avançada nem em qualificada: o nível de cada signatário é o que ele provou, e a página de conferência diz isso junto da lista de signatários.

A certificação é feita depois da conclusão e pode falhar, por exemplo quando a unidade está sem certificado ativo. Isso não desfaz as assinaturas: elas valem, o documento selado continua disponível e a falha é comunicada a quem responde pelo documento. A conferência pelo arquivo procura apenas o documento certificado: é ele que se compara, não o selado.

O carimbo do tempo

A conferência informa de onde vem a data: do servidor da plataforma ou de uma autoridade de carimbo do tempo. Hoje, sem uma autoridade de carimbo do tempo integrada, a data registrada é a do servidor, e tanto a página quanto a folha de verificação dizem isso em prosa, em vez de sugerir uma precisão que não existe. A plataforma não afirma o que não pode provar.

O que ela afirma, e prova: que o conteúdo assinado é exatamente aquele, que a história está íntegra e que o arquivo final não mudou desde a certificação. A assinatura qualificada, com certificado ICP-Brasil do próprio signatário, está prevista no modelo de níveis e ainda não está disponível.