PAdES: o padrão de assinatura digital em PDF

Quando você assina um PDF com certificado digital e o arquivo continua abrindo normalmente em qualquer leitor, com um painel mostrando quem assinou e se o conteúdo foi alterado, o que está por trás é o PAdES. A sigla vem de PDF Advanced Electronic Signatures e nomeia o padrão técnico que define como uma assinatura digital é embutida dentro de um arquivo PDF.

O tema parece reservado a desenvolvedores, mas afeta qualquer empresa que assina contratos, laudos ou documentos fiscais em PDF. É o PAdES que faz a assinatura viajar junto com o documento, permite várias assinaturas no mesmo arquivo e mantém a verificação possível anos depois, mesmo com o certificado do signatário já vencido. Neste post, explicamos o que é o padrão, como ele se compara ao CAdES e ao XAdES, quais são os níveis de assinatura e o que isso muda na prática para quem assina.

O que é PAdES

PAdES é um conjunto de especificações publicado pelo ETSI, o instituto europeu de padrões de telecomunicações, na norma EN 319 142. Ele parte do mecanismo de assinatura que já existe no formato PDF (descrito na ISO 32000) e acrescenta regras para que a assinatura seja considerada avançada: identificação inequívoca do signatário, vínculo criptográfico com o conteúdo e possibilidade de validação a longo prazo.

Na prática, uma assinatura PAdES é uma assinatura em formato CMS (o mesmo núcleo criptográfico usado em certificados e e-mails seguros) gravada dentro de um campo de assinatura do PDF. O leitor calcula o hash do documento, confere com o valor assinado pelo certificado e exibe o resultado. Se um único byte do conteúdo coberto pela assinatura mudar, a verificação falha.

No Brasil, o padrão é reconhecido pela ICP-Brasil. O ITI, o Instituto Nacional de Tecnologia da Informação, publica as políticas de assinatura que definem os formatos aceitos na infraestrutura, e o PAdES é um deles, ao lado do CAdES e do XAdES. É também o formato gerado quando você assina um PDF pelo gov.br ou por aplicativos de assinatura com certificado digital.

PAdES, CAdES e XAdES: qual a diferença

Os três padrões nasceram da mesma família de normas do ETSI e compartilham a base criptográfica. A diferença está em onde a assinatura fica e em que tipo de arquivo ela protege.

Padrão	Formato do arquivo	Onde fica a assinatura	Uso típico
PAdES	PDF	Dentro do próprio PDF	Contratos, laudos, documentos para leitura humana
CAdES	Qualquer arquivo	Em arquivo separado (.p7s) ou envelope	Arquivos binários, lotes, sistemas
XAdES	XML	Dentro do XML	Notas fiscais eletrônicas, integrações

O CAdES é o mais antigo dos três e gera o conhecido arquivo .p7s. Ele funciona para qualquer tipo de documento, mas tem um inconveniente: a assinatura fica separada do conteúdo, e quem recebe precisa de um software específico para abrir e validar. O XAdES resolve o mesmo problema para documentos XML, por isso é o padrão da NF-e e de outros documentos fiscais.

O PAdES foi criado justamente para o documento que as pessoas leem. A assinatura vai dentro do PDF, o arquivo continua sendo um PDF comum e qualquer leitor moderno mostra o painel de assinaturas. Para um contrato que vai circular entre advogados, clientes e fornecedores, essa é a diferença entre um processo fluido e uma sequência de dúvidas sobre como abrir o arquivo.

Os níveis de assinatura PAdES

A norma define níveis progressivos, cada um acrescentando garantias ao anterior. Entender a escala ajuda a escolher o que o documento precisa:

1. PAdES-B (Basic): a assinatura básica, com o certificado do signatário embutido. Comprova quem assinou e que o conteúdo não mudou, mas a verificação depende de o certificado ainda estar válido.
2. PAdES-T (Timestamp): adiciona um carimbo do tempo emitido por uma autoridade confiável. Prova que a assinatura existia em determinado momento, antes de qualquer expiração ou revogação do certificado.
3. PAdES-LT (Long Term): embute no PDF todas as informações de validação (cadeia de certificados, listas de revogação e respostas OCSP). O documento passa a ser verificável sem consultar nenhum servidor externo.
4. PAdES-LTA (Long Term with Archive timestamp): acrescenta carimbos de tempo de arquivamento, renováveis ao longo dos anos. É o nível pensado para documentos que precisam continuar válidos por décadas.

As políticas da ICP-Brasil seguem a mesma lógica com nomes próprios, como AD-RB (referência básica), AD-RT (referência de tempo) e AD-RA (referência para arquivamento). Explicamos o papel do carimbo do tempo nessa escala no post sobre carimbo do tempo e validade.

O que o PAdES muda na prática

Para quem assina e recebe documentos, o padrão traz consequências concretas.

Várias assinaturas no mesmo arquivo. O PDF suporta atualizações incrementais: cada nova assinatura é acrescentada ao final do arquivo sem invalidar as anteriores. Um contrato pode ter a assinatura da empresa, do cliente e das testemunhas, cada uma cobrindo o estado do documento naquele momento.

Assinatura visível ou invisível. O PAdES permite uma aparência visual no documento (nome, data, selo) ou uma assinatura apenas nos metadados. A aparência é só uma representação; a prova está nos dados criptográficos.

Validação por qualquer pessoa. Quem recebe um PDF assinado em PAdES pode conferir a assinatura no próprio leitor ou no validador do ITI, sem depender da plataforma que gerou o documento. Mostramos o passo a passo no post sobre como usar o ITI verificador.

Validade a longo prazo. Certificados ICP-Brasil expiram em um a três anos. Sem os níveis LT e LTA, um documento assinado hoje pode ficar difícil de verificar em 2035. Com eles, as provas de validação viajam dentro do arquivo.

PAdES e as assinaturas sem certificado

Nem toda assinatura eletrônica usa certificado digital. A Lei 14.063/2020 reconhece as assinaturas simples e avançadas, baseadas em autenticação por e-mail, SMS, selfie ou outros fatores, e a MP 2.200-2/2001 dá presunção de veracidade à assinatura qualificada, feita com certificado ICP-Brasil.

O PAdES é o padrão da assinatura com certificado. Nas assinaturas sem certificado, a prova de autoria está na trilha de auditoria: registros de IP, data e hora, método de autenticação e hash do documento. Plataformas como a LetsSign combinam as duas abordagens: o signatário escolhe entre assinar com certificado digital, gerando um PDF em PAdES, ou por autenticação eletrônica, com a trilha de auditoria anexada e o documento protegido por hash e carimbo do tempo. Comparamos as duas opções em assinatura com e sem certificado digital.

Para a maioria dos contratos comerciais, a assinatura avançada atende. Para documentos em que a lei exige certificado, como alguns atos societários, documentos de saúde ocupacional e peças judiciais, o PAdES com certificado ICP-Brasil é o caminho.

Como garantir que seu PDF assinado esteja em PAdES

Alguns cuidados simples evitam problemas futuros com documentos assinados em PDF:

• Assine com ferramentas que gerem a assinatura dentro do PDF, e não um .p7s separado, quando o documento vai circular entre pessoas.
• Prefira fluxos que incluam carimbo do tempo (nível T ou superior); a diferença de custo é pequena e a garantia de data é definitiva.
• Para documentos de longa guarda, como contratos de longo prazo e laudos, busque os níveis LT ou LTA.
• Não edite, converta ou “imprima para PDF” um documento já assinado: qualquer regravação do arquivo destrói a assinatura.
• Valide o arquivo recebido no validador do ITI antes de arquivar, principalmente quando vier de fora.

Conclusão

O PAdES é o padrão que torna a assinatura digital em PDF portátil, verificável e durável. Ele define como o certificado, o carimbo do tempo e as provas de validação são gravados dentro do arquivo, de modo que o documento continue sendo um PDF comum e, ao mesmo tempo, carregue todas as evidências de autoria e integridade. Para quem escolhe uma plataforma de assinatura, vale perguntar se as assinaturas com certificado saem nesse padrão e se o fluxo inclui carimbo do tempo. Conheça os planos da LetsSign ou fale com a nossa equipe para assinar PDFs com validade jurídica e verificação garantida.

Perguntas frequentes

O que significa PAdES?

PAdES é a sigla de PDF Advanced Electronic Signatures, padrão do ETSI (norma EN 319 142) que define como assinaturas digitais avançadas são embutidas em arquivos PDF, com regras para identificação do signatário, integridade e validação a longo prazo.

PAdES e CAdES são a mesma coisa?

Não. Os dois usam a mesma base criptográfica, mas o CAdES gera uma assinatura separada do documento (o arquivo .p7s), enquanto o PAdES grava a assinatura dentro do próprio PDF, que continua abrindo em qualquer leitor.

Como saber se um PDF foi assinado em PAdES?

Abra o arquivo em um leitor de PDF e procure o painel de assinaturas. Se houver assinatura embutida, ele mostra o nome do signatário e o status de validação. Para uma conferência oficial no Brasil, envie o arquivo ao validador do ITI em validar.iti.gov.br.

Assinatura PAdES tem validade jurídica no Brasil?

Sim. Quando feita com certificado ICP-Brasil, a assinatura em PAdES é qualificada e tem presunção de veracidade pela MP 2.200-2/2001. O padrão é reconhecido pelas políticas de assinatura do ITI.

A assinatura eletrônica sem certificado usa PAdES?

Em geral, não. Assinaturas simples e avançadas se baseiam em autenticação eletrônica e trilha de auditoria. Algumas plataformas aplicam uma assinatura PAdES própria para selar o PDF final e garantir a integridade, mas a prova de autoria do signatário continua na trilha.