Verificação pública por código

Todo documento concluído no ODSign recebe um código SHA-256, uma espécie de "impressão digital" do arquivo. Com esse código, qualquer pessoa consegue confirmar, na página pública Verificar documento, que um PDF é o mesmo gerado pelo ODSign na conclusão e que nada foi alterado depois.

Como funciona

O SHA-256 é um cálculo matemático feito sobre todo o conteúdo do arquivo. Ele gera sempre um código de 64 caracteres (letras de "a" a "f" e números). Duas propriedades tornam o código útil:

• o mesmo arquivo sempre gera o mesmo código;
• qualquer alteração no arquivo, por menor que seja (uma vírgula, uma assinatura nova, um "salvar como"), gera um código completamente diferente.

O ODSign calcula dois códigos para cada envelope:

1. No envio: o código do documento original, registrado na trilha de auditoria.
2. Na conclusão: o código do documento assinado, com os campos e as assinaturas aplicados. É esse código que a verificação pública confere.

Onde encontrar o código

• No certificado de conclusão, na linha Hash SHA-256 do documento assinado. A linha Verificação, logo abaixo, traz o endereço que já abre a verificação daquele documento.
• Para quem enviou, na tela do envelope, aba Detalhes: Hash SHA-256 do documento assinado, com o link verificar.
• No Histórico do envelope (Abrir histórico completo), no campo Hash SHA-256 (original / assinado) e no evento Concluído.

O documento assinado também traz, no alto de cada página, o identificador do envelope ("ODSign Envelope ID: ..."). Ele ajuda a localizar o envelope, mas não substitui a verificação pelo código.

O que a verificação pública mostra

Quando o código confere, a página mostra Documento autêntico e íntegro e:

• o Assunto do documento;
• o identificador do Envelope;
• a data e a hora em que foi Concluído;
• o nome de cada pessoa que assinou, com a data e a hora da assinatura.

Quando não confere, mostra Documento não encontrado ou alterado. O passo a passo para usar a página está em Verificar a autenticidade de um documento.

Nota: a página é pública. Qualquer pessoa que tenha o arquivo assinado ou o código consegue ver o assunto, as datas e os nomes de quem assinou. Ela não mostra e-mails, celulares, endereços IP nem o conteúdo do documento.

O que a verificação comprova (e o que não comprova)

Comprova que o arquivo conferido é idêntico, byte a byte, ao documento assinado gerado pelo ODSign na conclusão daquele envelope.

Não comprova nada sobre arquivos diferentes desse, mesmo que tenham o mesmo conteúdo visível. Por isso, estes arquivos não passam na verificação:

• o certificado de conclusão;
• o arquivo Tudo em um PDF (documento assinado + certificado), que é um arquivo novo;
• o documento original, enviado antes das assinaturas;
• impressões, digitalizações e PDFs salvos de novo em outro programa.

Os dados de quem assinou, os códigos usados e os registros de IP, data e hora estão no certificado de conclusão, que complementa a verificação.

Boas práticas

• Guarde o Documento assinado exatamente como foi baixado, junto com o certificado.
• Ao enviar o documento para outra pessoa, envie o arquivo original (como anexo), sem abrir e salvar em outro programa.
• Para enviar a prova de integridade sem o arquivo, compartilhe o código SHA-256 ou o endereço da linha Verificação do certificado.

Problemas comuns

O arquivo foi alterado, mas eu só abri e salvei. Alguns programas regravam o PDF ao salvar, o que muda o código. Baixe o documento assinado de novo pelo ODSign.

Colei o código e não encontrou. Confira se você copiou o código do documento assinado (não o do documento original) e se ele tem os 64 caracteres.

O envelope ainda está em andamento. O código do documento assinado só existe depois que todos concluem.