Como funciona
O que acontece quando carrega um ficheiro
Uma validação técnica, feita com a biblioteca DSS da Comissão Europeia, explicada passo a passo.
Passo a passo
- Identificamos o formato. Contentor ASiC-E ou ASiC-S, mensagem S/MIME (.eml), evidência XML, PDF assinado ou CMS (.p7m). Dentro de um email, procuramos anexos com evidências e contentores.
- Abrimos o contentor. Listamos os ficheiros, calculamos a impressão digital SHA-256 de cada um, identificamos a mensagem original e as evidências ETSI EN 319 522 (evento, data e hora, remetente, destinatário, identificador da mensagem).
- Validamos assinaturas e selos. O DSS verifica cada assinatura XAdES, CAdES ou PAdES: integridade criptográfica, correspondência de cada ficheiro com o que foi assinado, cadeia de certificados, revogação (OCSP/CRL) e selos temporais.
- Consultamos as listas de confiança da UE. O DSS valida os certificados contra a lista das listas de confiança (LOTL) e as listas de confiança dos Estados-Membros da UE e do EEE, e determina o nível: selo qualificado (QESeal), assinatura qualificada (QESig) ou avançado.
- Relacionamos o selo com o serviço de envio registado. Verificamos se o certificado que selou as evidências pertence a um serviço qualificado de envio registado eletrónico listado nas listas de confiança.
- Comparamos com o email que recebeu (se o carregar): identificador da mensagem, conteúdo e cabeçalhos.
- Descartamos tudo. Os ficheiros nunca são escritos em disco e deixam de existir quando a resposta é enviada.
O que é um contentor ASiC
ASiC (Associated Signature Containers) é o formato europeu normalizado pela ETSI EN 319 162 para juntar, num ficheiro ZIP, documentos e as assinaturas que os cobrem:
| Tipo | Extensões | Conteúdo |
|---|---|---|
| ASiC-S (simples) | .asics, .scs | Um único ficheiro e a sua assinatura ou selo temporal |
| ASiC-E (estendido) | .asice, .sce | Vários ficheiros — por exemplo, o email e as evidências — e uma ou mais assinaturas |
Dentro do ZIP, o ficheiro mimetype declara o tipo (application/vnd.etsi.asic-e+zip ou …asic-s+zip) e a pasta META-INF/ guarda as assinaturas: signatures*.xml (XAdES), signature*.p7s (CAdES), selos temporais (*.tst), manifestos e registos de evidência.
Como ler o resultado
| Resultado | Significado |
|---|---|
| Envio registado qualificado válido | Selo eletrónico (avançado ou qualificado) válido e íntegro de um serviço qualificado de envio registado listado na UE, com evidências de envio e data e hora provadas por selo temporal qualificado (art. 44.º, n.º 1, alíneas a), d) e f)). Não se exige certificado qualificado ao remetente nem ao destinatário. |
| Assinatura/selo válido | O conteúdo não foi alterado e o certificado é reconhecido, mas não ficou provado que se trata de um serviço qualificado de envio registado — leia os detalhes. |
| Não foi possível confirmar | A assinatura pode estar correta, mas falta algo para a confirmar: certificado fora das listas de confiança da UE, informação de revogação indisponível, certificado expirado sem selo temporal… |
| Conteúdo alterado | Pelo menos um ficheiro não corresponde ao que foi selado. A evidência não é fiável. |
| Inválido | A assinatura foi rejeitada — por exemplo, certificado revogado antes da assinatura. |
Limitações
- Não somos um serviço qualificado de validação (artigos 33.º e 40.º do eIDAS). O resultado é informativo. Para fins judiciais, peça ao prestador de envio registado a sua validação ou recorra a um serviço qualificado de validação.
- A validação depende das listas de confiança e dos serviços de revogação das autoridades de certificação estarem acessíveis no momento.
- Alguns prestadores usam formatos de evidência próprios em vez do formato ETSI. Nesses casos validamos a assinatura, mas podemos não conseguir apresentar os campos da evidência.
- O email que recebeu passa por servidores que acrescentam cabeçalhos; por isso comparamos o identificador e o conteúdo, e não só a impressão digital do ficheiro.
Perguntas frequentes
Os meus ficheiros ficam guardados?
Não. São processados em memória e descartados com a resposta. Não há registos com o conteúdo, os nomes ou os metadados dos documentos. Ver a política de privacidade.
Posso usar este relatório em tribunal?
Pode imprimi-lo como apoio, mas não substitui a prova do prestador nem um serviço qualificado de validação. A prova é a própria evidência selada — este site ajuda a perceber se ela é íntegra e de quem vem.
O resultado diz «Não foi possível confirmar». Porquê?
As causas mais comuns: o certificado foi emitido por uma entidade que não está nas listas de confiança da UE (ou é um certificado de teste); não foi possível obter informação de revogação; ou o certificado expirou e a assinatura não tem selo temporal que prove que foi feita antes. Os detalhes técnicos no fim do relatório indicam a causa exata.
Que tecnologia usam?
O DSS (Digital Signature Service) 6.5, biblioteca de software livre (LGPL-2.1) mantida pela Comissão Europeia — a mesma que suporta o validador de demonstração da Comissão — a correr nos nossos servidores, sem enviar os seus ficheiros a terceiros.
Um email normal com DKIM ou uma assinatura S/MIME pessoal é um envio registado?
Não. Provam a origem do email, mas não fornecem evidências de entrega e receção emitidas por um prestador de serviços de confiança.