O que o validador do ITI verifica, e o documento que ele não vê

Para quem recebe holerite, extrato e comprovante em PDF e precisa decidir o que verificar com qual ferramenta.

O validar.iti.gov.br é o validador oficial de assinaturas digitais do governo brasileiro, e no terreno dele é a melhor ferramenta que existe: num documento assinado ICP-Brasil, qualquer alteração posterior quebra a assinatura, e ele acusa. A pergunta certa não é se ele funciona. É quantos dos documentos que chegam na sua mesa ele consegue examinar. Esta página responde as duas coisas: o que o validador cobre, dito com o respeito que um serviço público bem-feito merece, e o que sobra para a leitura estrutural quando a assinatura simplesmente não está lá.

Resumo

  • Documento assinado ICP-Brasil: use o validador do ITI. É oficial, gratuito, e a criptografia acusa qualquer alteração posterior à assinatura. Nenhuma heurística estrutural compete com isso, e esta página não finge o contrário.
  • Documento sem assinatura: o validador não tem o que dizer. Holerite, extrato e comprovante em regra chegam sem assinatura nenhuma, e "nenhuma assinatura encontrada" não é aprovação. A fraude documental do dia a dia mora quase toda aqui.
  • Assinatura válida não é conteúdo verdadeiro. A presunção legal é relativa e diz respeito aos signatários, não ao que o documento afirma. Um documento falso desde a origem, assinado por quem o fabricou, valida sem ressalva.

O que o validador oficial faz, e faz bem

O serviço do ITI valida assinaturas no padrão ICP-Brasil nos formatos que circulam em documento eletrônico brasileiro: PAdES em PDF, CAdES anexada (o .p7s) e XAdES em XML. Para cada assinatura ele responde o que interessa a quem confia no documento: se o certificado era válido e encadeava até a raiz ICP-Brasil, se o carimbo de tempo fecha, e, o ponto desta página, se o arquivo foi alterado depois de assinado.

Essa última verificação é criptográfica. A assinatura guarda o hash de uma faixa definida de bytes; se qualquer byte dessa faixa mudou, o hash não bate e a assinatura quebra. Conteúdo acrescentado depois da assinatura, por atualização incremental, é avaliado contra o que o signatário permitiu (as regras de modificação do documento, DocMDP). Quando a implementação não fecha, o resultado aparece como assinatura indeterminada em vez de válida. Não há heurística nisso, e é por isso que nenhuma leitura estrutural, a nossa incluída, compete com o validador no documento que ele consegue examinar.

Uma assinatura PAdES cobre uma faixa de bytes definida, e o que chega depois dela fica de fora dessa faixa.
O ARQUIVO ASSINADO, BYTE A BYTE faixa assinada · parte 1 do início do arquivo /Contents a assinatura faixa assinada · parte 2 até o fim daquela revisão revisão anexada depois da assinatura o hash cobre estas duas faixas; qualquer byte que mude aqui quebra a assinatura o que vem depois é avaliado contra o que o signatário permitiu alterar, as regras de modificação do documento, o DocMDP. Quando a implementação não fecha, o resultado sai como assinatura indeterminada em vez de válida.

Não há heurística nisso: é comparação de hash. É exatamente por isso que, no documento que ele consegue examinar, o validador oficial responde melhor do que qualquer leitura estrutural: a nossa incluída.

A recomendação sem rodeios: se o documento que você recebeu carrega assinatura ICP-Brasil, valide primeiro no validar.iti.gov.br. É de graça e a resposta é melhor que a de qualquer ferramenta comercial, no que ela cobre.

O documento que ele não vê

O validador precisa de uma assinatura para validar. O holerite que o sistema de folha gera, o extrato baixado do internet banking, o comprovante de residência da concessionária, a nota em PDF do fornecedor, em regra, nenhum deles carrega assinatura ICP-Brasil. Submetidos ao validador, a resposta é que não há assinaturas no documento. Isso não é reprovação; também não é aprovação. É a constatação de que aquela ferramenta não tem o que dizer sobre aquele arquivo.

Cada ferramenta responde pelo documento que consegue examinar, e o documento da análise cadastral quase nunca é elegível ao validador.
O DOCUMENTO VEM ASSINADO? QUEM RESPONDE documento de processo eletrônico costuma vir assinado o validador do ITI extrato em PDF de alguns bancos às vezes o validador do ITI holerite do sistema de folha em regra, não a leitura estrutural comprovante de residência em regra, não a leitura estrutural nota em PDF do fornecedor em regra, não a leitura estrutural “Nenhuma assinatura encontrada” não é reprovação, e também não é aprovação. É a constatação de que aquela ferramenta não tem o que dizer sobre aquele arquivo.

E é nesse espaço que a fraude documental cotidiana acontece. Quem adultera um holerite para uma análise cadastral não precisa derrotar criptografia nenhuma: o documento nunca teve assinatura, o analista nunca exigiu uma, e a consulta de CPF passa, porque o CPF é verdadeiro; o documento é que não é. Sobre esse arquivo, o que resta examinar é a estrutura: quantas vezes o PDF foi gravado depois de criado, se o produtor bate com o emissor declarado, se os dois registros internos de metadados concordam. É o que a verificação gratuita lê, e o que a API devolve em JSON.

A assinatura desaparece junto com a fraude

Há um segundo limite, menos óbvio. Editar um PDF assinado quebra a assinatura, mas o fraudador não edita: ele regenera. Reimprimir o documento para um PDF novo, ou reconstruí-lo num gerador, produz um arquivo limpo, sem assinatura nenhuma, que a mesa que já aceita documento não assinado recebe sem estranhar. A criptografia não foi derrotada; foi descartada junto com o arquivo original, e o validador não tem mais o que examinar.

O caminho da direita não derrota a assinatura: descarta o arquivo que a carregava.
um PDF assinado editar o arquivo assinado bytes da faixa assinada mudam a assinatura quebra e o validador acusa regenerar o documento reimprimir ou reconstruir num gerador arquivo limpo, sem assinatura não há mais o que examinar A criptografia não foi derrotada: à direita, ela foi descartada junto com o arquivo original.

Nesse cenário a leitura estrutural também tem limite: um arquivo regenerado do zero, numa ferramenta só, é internamente coerente e não acende sinal de edição. O que sobra é o contexto.

Nesse cenário a estrutura ainda fala, com limites que preferimos dizer com todas as letras: um arquivo regenerado do zero, numa ferramenta só, é estruturalmente coerente e não acende sinal de edição, o guia de detecção de edição trata disso com honestidade. O que sobra é o contexto: a ausência de assinatura num documento cujo emissor costuma assinar é, em si, informação, e o relatório da Tamperlens aponta a presença, a cobertura e as permissões de assinaturas quando elas existem (as três famílias de sinais de assinatura), sem validar a cadeia de certificação, que é trabalho do validador oficial.

O que a lei diz, com precisão

Vale dizer com precisão, porque as duas metades costumam ser confundidas num argumento só:

  • MP nº 2.200-2/2001, art. 10, §1º: documentos assinados com certificado ICP-Brasil "presumem-se verdadeiros em relação aos signatários". A presunção é relativa (admite prova em contrário) e corre para os signatários. Ela não afirma que o conteúdo do documento é verdadeiro, nem alcança o que aconteceu com o arquivo em cópias e reimpressões posteriores.
  • Lei nº 14.063/2020, art. 4º: três níveis de assinatura eletrônica (simples, avançada, qualificada). Só a qualificada é ICP-Brasil; a avançada promete que modificações posteriores sejam detectáveis, mas sem a cadeia pública de certificação.
  • Resolução CMN nº 4.753/2019, art. 7º, I, quem mantém conta deve assegurar "a integridade, a autenticidade e a confidencialidade [...] dos documentos eletrônicos utilizados". A norma fala dos documentos que o cliente entrega, e esses, em regra, chegam sem assinatura qualificada. A obrigação de olhar para eles existe mesmo quando o validador oficial não tem o que validar.

Um fluxo que usa os dois

As duas ferramentas não competem. Elas se dividem por uma pergunta só: este documento tem assinatura?
o documento tem assinatura? SIM → VALIDAR.ITI.GOV.BR certificado e cadeia ICP-Brasil carimbo de tempo alteração depois da assinatura criptografia, não heurística NÃO: O CASO COMUM revisões depois da criação produtor contra emissor declarado metadados em conflito sinais de risco, não veredictos a veracidade do conteúdo continua sua

Assinatura ICP-Brasil válida encerra a pergunta “este arquivo mudou depois de assinado?” melhor do que qualquer sinal estrutural encerraria. É por isso que ela vem primeiro no fluxo.

  1. O documento tem assinatura digital? Valide no validar.iti.gov.br. Assinatura ICP-Brasil válida encerra a pergunta "este arquivo mudou depois de assinado?". Melhor do que qualquer sinal estrutural encerraria.
  2. A assinatura validou? Lembre do que ela não cobre: a veracidade do conteúdo. A análise de renda, de vínculo e de plausibilidade continua sua.
  3. Não tem assinatura, que é o caso comum? Leia a estrutura: revisões depois da criação, produtor versus emissor, metadados em conflito. Sinal alto vira pedido específico ("pode baixar de novo direto do sistema e reenviar?"), não acusação: a Tamperlens reporta sinais de risco, não veredictos.
  4. O emissor costuma assinar e este arquivo não veio assinado? Trate a ausência como pergunta a fazer, com o documento original de volta como resposta ideal.

Perguntas frequentes

O validador do ITI detecta qualquer edição em PDF?

Não. Ele valida assinaturas digitais ICP-Brasil, e, num documento assinado, acusa alteração feita depois da assinatura, porque qualquer mudança de bytes quebra o hash assinado. Num documento sem assinatura não há hash a conferir: o validador responde que não encontrou assinaturas, e isso não é aprovação nem reprovação. É silêncio.

A Tamperlens valida assinatura ICP-Brasil?

Não criptograficamente. A Tamperlens lê a estrutura da assinatura, quanto do arquivo ela cobre, o que foi anexado depois dela e o que o signatário permitiu alterar, mas não verifica a cadeia de certificação ICP-Brasil nem consulta listas de revogação. Para isso existe o validar.iti.gov.br, que é oficial e gratuito. Se o seu documento tem assinatura ICP-Brasil, comece por lá.

Um documento com assinatura válida pode ser falso?

Pode. A presunção legal da assinatura ICP-Brasil (MP 2.200-2/2001, art. 10, §1º) é relativa e diz respeito à declaração de vontade dos signatários, não à veracidade do que o documento afirma. Um holerite com salário inventado, assinado digitalmente por quem o inventou, valida perfeitamente. A assinatura prova quem assinou e que o arquivo não mudou depois; não prova que o conteúdo é verdadeiro.

O holerite ou extrato que eu recebo vem assinado digitalmente?

Em regra, não. Alguns bancos assinam extratos em PDF, e documentos de processos eletrônicos costumam vir assinados, mas o holerite gerado pelo sistema de folha, o comprovante de residência e a maioria dos PDFs que chegam numa análise cadastral não carregam assinatura ICP-Brasil. É exatamente por isso que o validador oficial não resolve a análise cadastral: o documento que importa quase nunca é elegível a ele.

Preciso enviar o documento para algum servidor? É seguro?

No verificador da Tamperlens, o arquivo trafega por HTTPS, é lido em memória e descartado quando a resposta é escrita. Nenhum documento é gravado em disco, nada é registrado em log, não há revisão humana e nada é enviado a terceiros. A política de privacidade detalha isso. O validador do ITI é um serviço do governo federal com regras próprias: consulte os termos dele antes de enviar documento sensível.

Passe um documento sem assinatura pelo verificador

O verificador gratuito aceita o PDF arrastado e mostra o mesmo relatório que a API devolve, sem conta. O arquivo é enviado por HTTPS, processado em memória e nunca gravado em disco, num servidor em Helsinque, na Finlândia (privacidade). Comece por um documento que você sabe ser genuíno, do emissor que você mais recebe; depois passe um que você mesmo tenha aberto e re-salvo num editor. A diferença entre os dois relatórios é o que decide se o sinal é útil para o seu fluxo. Precisa disso dentro do seu sistema? Uma chamada HTTP devolve o mesmo relatório em JSON: início rápido da API, 50 documentos por mês no plano gratuito, e os valores dos planos pagos estão em preços.

A Tamperlens reporta sinais de risco, não veredictos de autenticidade. Sinais podem ter causas legítimas; combine-os com a sua própria lógica de decisão, e, no documento assinado ICP-Brasil, com o validador oficial, que é quem responde pela criptografia.

Leitura relacionada