little goatFERRAMENTA GRATUITA · RODA NO NAVEGADOR
Confira quem assinou.
Sem enviar o arquivo.
Arraste o PDF assinado pelo gov.br ou com certificado ICP-Brasil e veja quem assinou, quando e se o conteúdo mudou depois. O documento não sai da sua máquina.
Verificação técnica feita no navegador. Só a consulta à LCR passa pelo nosso servidor. Carimbo de tempo e política de assinatura ficam de fora. Para o resultado oficial, use o VALIDAR do ITI.
O QUE ESTA VERIFICAÇÃO COBRE
Cinco checagens claras. E o que fica de fora, dito na hora.
Conteúdo assinado
Recalculamos o hash do trecho protegido pela assinatura e comparamos com o que foi assinado. Qualquer mudança nesse trecho aparece como inválida.
Assinatura criptográfica
Conferimos a assinatura com a chave pública do certificado do signatário, usando a criptografia do próprio navegador.
Cadeia de certificação
Montamos a cadeia até uma raiz ativa da ICP-Brasil (v4 a v13) ou até a AC Raiz do Governo Federal do Brasil, considerando a data da assinatura.
Quem assinou e quando
Mostramos nome, CPF ou CNPJ (mascarados), quem emitiu o certificado e a data registrada na assinatura.
Revogação na LCR
Consultamos a lista de certificados revogados (LCR) que a AC emissora publica e conferimos a assinatura da própria lista. Ao nosso servidor vão só o endereço da LCR, o certificado da AC e o número de série.
Não verificado nesta ferramenta
- Revogação por OCSP e revogação das ACs da cadeia
- Carimbo de tempo emitido por uma autoridade de carimbo
- Conformidade com a política de assinatura ICP-Brasil (PA)
- XML assinado (XAdES) e .p7s separado do documento
Esses pontos aparecem no laudo como "não verificado", nunca como aprovados. Para o resultado oficial, use o VALIDAR do ITI.
COMO LER O LAUDO
Três vereditos possíveis
Assinatura verificada
O trecho assinado está intacto, a assinatura confere com o certificado, a cadeia chega a uma raiz ICP-Brasil ou gov.br conhecida e válida na data da assinatura, e o certificado não consta na LCR.
Verificação inconclusiva
A assinatura confere, mas falta alguma peça: cadeia ausente no documento, certificado vencido, mudanças depois da assinatura ou LCR fora do ar. Equivale ao "Indeterminado" do VALIDAR.
Assinatura inválida
O conteúdo não bate com o que foi assinado, a assinatura não confere com a chave do certificado ou o certificado já estava revogado na hora da assinatura.
DÚVIDAS FREQUENTES
Antes de confiar no resultado
Quais arquivos posso verificar?
PDF assinado pelo gov.br ou com certificado ICP-Brasil (PAdES) e arquivo .p7s que traz o documento dentro (CAdES anexado). XML assinado (XAdES) e .p7s separado do documento ainda ficam de fora. Para esses, use o VALIDAR do ITI.
Por que a ferramenta não pede para enviar o arquivo?
Porque não precisa. Ler o PDF, calcular o hash e conferir a assinatura são tarefas que o navegador faz sozinho, com a criptografia que ele já traz. O documento, o nome e o CPF não saem da sua máquina. A única chamada ao nosso servidor é a consulta de revogação: o navegador manda o endereço da LCR, o certificado público da AC emissora e o número de série do certificado, e recebe de volta se esse número consta na lista. Dá para conferir tudo isso na aba Rede do navegador.
Qual a diferença entre assinatura gov.br e ICP-Brasil?
Certificado ICP-Brasil (A1 ou A3) produz a assinatura qualificada, que a MP 2.200-2/2001 presume válida. A assinatura avançada do gov.br usa um certificado que a plataforma emite na hora, ligado à AC Raiz do Governo Federal do Brasil, e serve para a maioria dos atos com o poder público, conforme a Lei 14.063/2020. A ferramenta reconhece as duas cadeias e mostra qual delas assinou o documento.
O que significa "Verificação inconclusiva"?
A assinatura confere, mas falta alguma peça para fechar o resultado: o documento não trouxe a cadeia até uma raiz conhecida, o certificado estava vencido na data da assinatura, o arquivo mudou depois de assinado ou a LCR não respondeu. O laudo aponta qual foi o motivo.
Esse resultado substitui o VALIDAR do ITI?
Não. Aqui a verificação é técnica: integridade, identidade, cadeia e revogação por LCR. Carimbo de tempo, política de assinatura ICP-Brasil, OCSP e a revogação das próprias ACs ficam de fora. O resultado oficial vem do VALIDAR, serviço do Instituto Nacional de Tecnologia da Informação.
Vocês guardam alguma informação?
Só métricas anônimas de uso: tipo de arquivo, veredito, quantidade de assinaturas e resultado da consulta de revogação. Nome do arquivo, nome do signatário e CPF ou CNPJ nunca saem do navegador. O número de série consultado na LCR não fica registrado nem ligado a você.
Seu fluxo de documentos precisa de um sistema?
A Little Goat desenvolve sistemas web sob medida. Se o processo envolve assinatura eletrônica, conferência de documentos ou aprovação em etapas, conte como funciona hoje e desenhamos o próximo passo juntos.
Falar com a Little Goat