Como validar uma assinatura digital no validar.iti.gov.br

O que é o validador do ITI

O ITI (Instituto Nacional de Tecnologia da Informação) é a autoridade que gere a ICP-Brasil — a infraestrutura de chaves públicas que dá fé pública aos certificados digitais no país. Ele disponibiliza em validar.iti.gov.br o Verificador de Conformidade: uma ferramenta oficial que confere se um documento assinado com certificado ICP-Brasil está íntegro e em conformidade com os padrões brasileiros (ICP-Brasil e PAdES, no caso de PDF).

Em segundos, ele responde três perguntas essenciais:

• A assinatura é válida? O certificado usado é de fato da ICP-Brasil e estava vigente na hora da assinatura.
• O documento foi alterado? Qualquer mudança após a assinatura quebra a integridade e é detectada.
• Quem assinou? Mostra o titular do certificado (nome e CPF/CNPJ).

Passo a passo pra validar no ITI

1. Acesse validar.iti.gov.br no navegador.
2. Clique em “Assinei um documento e quero verificar” (verificação de conformidade).
3. Envie o arquivo assinado — o PDF (assinatura PAdES) ou o pacote .p7s, conforme o formato usado.
4. Marque o reCAPTCHA e clique em Validar / Assinar & Validar.
5. Aguarde o processamento. O resultado aparece na tela em poucos segundos.

Como ler o resultado

O relatório mostra, pra cada assinatura encontrada no documento:

Se der reprovado, não entre em pânico: na maioria das vezes é porque o arquivo foi reexportado (imprimir como PDF, “salvar como”, comprimir) depois de assinado — isso quebra a assinatura embutida. Peça o arquivo original, exatamente como saiu da plataforma de assinatura, e valide de novo.

E a assinatura avançada? Como verificar

A maioria dos contratos do dia a dia usa assinatura avançada, não qualificada — logo, não é o ITI que valida. Nesse modelo, a prova está na trilha de auditoria e no hash criptográfico gerados no momento da assinatura. Pra conferir:

• Abra o comprovante / manifesto de assinatura que acompanha o documento — ele traz signatários, IP, data/hora, confirmação do código (OTP) e o hash do arquivo.
• Compare o hash. Recalcule o hash do PDF recebido (por exemplo, SHA-256) e confira se bate com o registrado. Se bater, o documento não foi alterado.
• Cheque a trilha. A sequência de eventos (envio → visualização → validação do OTP → assinatura) mostra que foi a pessoa certa, na ordem esperada.

É por isso que a plataforma importa: uma boa ferramenta de assinatura já gera e guarda essas evidências por você, prontas pra apresentar caso alguém questione. Na Rubriq, isso é padrão em toda assinatura. E quando você precisa do nível máximo, a Rubriq também faz assinatura qualificada com certificado ICP-Brasil (plano Business): o signatário assina com o próprio .pfx e o PDF sai selado em PAdES — do jeito que passa no validador do gov.br/ITI.

Regra de ouro: guarde sempre o arquivo original assinado. É ele — não a impressão nem a cópia reexportada — que carrega a assinatura e passa em qualquer validação.