Como conferir um documento por conta própria

Todo documento fechado na UseSign recebe um manifesto de evidências: um arquivo com os códigos do documento, quem assinou, como cada pessoa foi identificada e o resumo da trilha — assinado com a chave da plataforma. Esta página explica como conferir esse arquivo sem depender de nós.

Por que isso importa

Uma prova que só quem a produziu consegue verificar não é prova. A chave que assina o manifesto é mantida fora do banco de dados da plataforma — e a chave pública correspondente é publicada aqui. Isso permite que qualquer pessoa, com ferramenta própria, confirme que o manifesto não foi alterado depois de assinado, inclusive por nós.

O caminho curto: três passos

1. Abra a página do documento. O endereço está no QR impresso no PDF, ou monte-o com o código de 32 caracteres da página de assinaturas: usesign.com.br/v/<código>
2. Arraste o seu PDF para a área de conferência. O arquivo não sai do seu aparelho — a comparação acontece dentro do navegador. É isso que responde “o arquivo que eu tenho na mão é o que foi assinado?”.
3. Leia o painel. Cada linha responde uma pergunta e pode falhar sozinha: a trilha de evidências, o selo da plataforma, o carimbo do tempo e como cada signatário foi identificado.

O caminho completo: verificar a assinatura você mesmo

Para uso pericial ou para contestar um documento, o passo a passo abaixo confirma a assinatura criptográfica sem passar por nenhum servidor nosso.

1. Baixe os três arquivos:

# o manifesto do documento (troque <código> pelo código de 32 caracteres)
curl -o manifesto.json https://usesign.com.br/v/<código>/manifesto

# a chave pública da plataforma
curl -o chave.json https://usesign.com.br/.well-known/usesign-selo.json

# o verificador — 150 linhas de Python, sem nada da UseSign dentro
curl -O https://usesign.com.br/verificar-manifesto.py

2. Rode:

pip install cryptography
python3 verificar-manifesto.py manifesto.json chave.json

3. A resposta é uma das duas:

4. Por fim, compare o arquivo em mãos com o código que o manifesto declara em SHA-256 assinado:

shasum -a 256 documento.pdf

Prefere não instalar nada?

O verificador é um arquivo de texto e pode ser lido antes de rodar — ele tem 150 linhas e nenhuma dependência da UseSign. Se preferir escrever o seu, as instruções exatas do que é assinado estão dentro do próprio manifesto, no campo como_verificar, e a chave pública está em /selo (o mesmo conteúdo servido em /.well-known/usesign-selo.json).

O que este selo não é

O selo atesta que a UseSign emitiu aquele artefato e aquela trilha, e que nenhum dos dois mudou desde então. Ele não é certificado ICP-Brasil, não é assinatura qualificada, não atesta a identidade civil dos signatários e não endossa o conteúdo do documento.

A data e a hora registradas são as do relógio da plataforma. Não há, nesta versão, carimbo do tempo emitido por terceiro independente.