Assinatura simples, avançada e qualificada: qual vale para quê

São três níveis, definidos na Lei nº 14.063, de 23 de setembro de 2020: simples, avançada e qualificada. Só a qualificada usa certificado ICP-Brasil, e é a única aceita em qualquer interação com o poder público.

Os três níveis

• Simples — identifica o signatário e anexa dados ao documento. É o nível mais baixo de confiabilidade.
• Avançada — usa meios que permitem detectar alteração posterior e associam o signatário de forma unívoca. A assinatura produzida no portal gov.br é deste nível.
• Qualificada — a que usa certificado digital nos termos da Medida Provisória nº 2.200-2, de 24 de agosto de 2001, que instituiu a ICP-Brasil. É o nível mais alto de confiabilidade.

Por que isso decide a compra

A assinatura qualificada é admitida em qualquer interação eletrônica com ente público. As outras duas são admitidas onde o órgão as aceitar — e essa aceitação varia por órgão, por sistema e por tipo de ato.

Na prática: se o seu caso é assinar um contrato entre particulares que ambos aceitam, a avançada do gov.br costuma bastar. Se é um ato que precisa valer perante o poder público sem depender de quem está do outro lado autorizar, é a qualificada.

O gov.br assina — mas não é a mesma coisa

A confusão mais comum é achar que, porque o gov.br assina de graça, o certificado virou dispensável. São níveis diferentes de uma mesma escada. O gov.br entrega assinatura avançada; o certificado ICP-Brasil entrega qualificada.

Há ainda a diferença prática que a lei não precisa dizer: a conta gov.br é de pessoa física e funciona no navegador. O certificado assina em nome da empresa e funciona em integração automática.

Como conferir uma assinatura recebida

O ITI, que é a Autoridade Certificadora Raiz da ICP-Brasil, mantém um validador público. Ele confere integridade e autoria de documentos assinados por certificados ICP-Brasil e também das assinaturas avançadas produzidas no gov.br.

Vale o hábito de validar o que chega assinado, principalmente contrato. Assinatura de imagem colada em PDF não sobrevive a essa conferência.

E qual certificado dá a assinatura qualificada

Qualquer certificado ICP-Brasil de pessoa — e-CPF — ou de empresa — e-CNPJ. A diferença entre eles é quem assina, não a força da assinatura. Veja qual é o seu caso.

Quando a lei exige qualificada, e quando não exige

A regra prática: interação com o poder público é onde a qualificada é exigida ou fortemente preferida. Entre particulares, a lei admite as outras duas, desde que as partes aceitem — e é essa cláusula que costuma ser esquecida na hora de brigar.

Onde a diferença aparece de verdade é no ônus da prova. Assinatura qualificada presume autoria: quem contesta precisa provar que não assinou. Nos outros níveis é o contrário — quem apresenta o documento é que precisa provar que a outra parte assinou, juntando log, IP, confirmação por e-mail, o que houver.

Assinar documento com o e-CNPJ e com o e-CPF não é a mesma coisa

Assinatura feita com e-CNPJ diz "a empresa assinou". Com e-CPF, diz "esta pessoa assinou". Em contrato empresarial os dois podem servir, mas o que se quer registrar muda: um vincula a pessoa jurídica, o outro vincula quem assinou como indivíduo.

Na dúvida em contrato da empresa, o e-CNPJ é o que corresponde ao ato. A regra que decide entre os dois.

O documento assinado vence quando o certificado vence?

Não, e essa é uma dúvida frequente com resposta tranquilizadora. O que importa é que a assinatura tenha sido feita enquanto o certificado era válido. O que garante isso é o carimbo de tempo — sem ele, um verificador rigoroso não consegue distinguir uma assinatura feita dentro da validade de outra feita depois.

Por isso, para documento que precisa durar (contrato longo, ata, procuração), vale conferir se o assinador aplica carimbo de tempo. E é o mesmo motivo pelo qual revogar um certificado não invalida o que já foi assinado antes.

Onde conferir sem instalar nada

O verificador de conformidade mantido no âmbito da ICP-Brasil confere um arquivo assinado e informa o nível da assinatura, o titular e a validade no momento da assinatura. Serve tanto para checar o que você recebeu quanto para conferir se o seu próprio assinador está produzindo o que você espera — vale testar uma vez, antes de precisar.