Perícia em assinatura eletrônica: como verificar a autenticidade de um contrato digital?

Contratos bancários, empréstimos consignados, operações de fintechs, adesões a serviços, propostas comerciais e inúmeros negócios empresariais deixaram de depender da assinatura manuscrita realizada diante de duas partes fisicamente presentes.

A contratação pode começar em um smartphone, passar pelo envio de documentos, utilizar uma selfie ou biometria facial, exigir um código recebido por SMS, registrar endereço IP e geolocalização e terminar com um documento eletrônico acompanhado de um relatório emitido pela plataforma de assinatura.

Essa transformação trouxe agilidade para as relações comerciais, mas também criou uma nova categoria de controvérsia judicial.

Quem realizou aquela contratação?

Quando determinado cliente, consumidor ou representante de uma empresa afirma que não assinou o documento apresentado no processo, a discussão não deveria ser reduzida à aparência de uma rubrica existente em um PDF.

Em muitos casos, sequer existe uma assinatura manuscrita tecnicamente comparável.

O que existe é um processo eletrônico de contratação.

É justamente por isso que a perícia em assinatura eletrônica exige abordagem diferente da perícia grafotécnica tradicional. O exame precisa compreender a tecnologia empregada na identificação do usuário, o documento submetido à assinatura, os mecanismos de autenticação, os registros produzidos pela plataforma e a relação entre todos esses elementos.

A pergunta pericial deixa de ser apenas “esta assinatura pertence à pessoa?” e passa a ser muito mais ampla:

quais evidências técnicas permitem associar determinada pessoa à manifestação de vontade registrada naquele contrato digital?

É nessa reconstrução que está o verdadeiro trabalho pericial.

Assinatura eletrônica não é uma única tecnologia

Um dos primeiros cuidados em qualquer discussão sobre autenticidade de contrato digital é evitar o tratamento de todas as assinaturas eletrônicas como se utilizassem o mesmo mecanismo.

A Lei nº 14.063/2020 classifica as assinaturas eletrônicas em três categorias: simples, avançada e qualificada.

A assinatura simples permite identificar o signatário e associa dados eletrônicos a outros dados do signatário. A assinatura avançada utiliza certificado não emitido pela ICP-Brasil ou outro mecanismo de comprovação de autoria e integridade, desde que atenda a requisitos como associação unívoca ao signatário, utilização de dados sob seu controle com elevado nível de confiança e possibilidade de detectar modificações posteriores. Já a assinatura qualificada utiliza certificado digital nos termos da ICP-Brasil.

Essa diferenciação é extremamente importante para a perícia.

Um contrato autenticado por certificado digital ICP-Brasil não produz exatamente o mesmo conjunto de evidências que uma contratação baseada em OTP, selfie, login, senha, IP e geolocalização.

Da mesma forma, duas plataformas classificadas genericamente como de “assinatura eletrônica” podem possuir arquiteturas de autenticação substancialmente diferentes. Por isso, uma perícia tecnicamente adequada começa identificando qual método foi realmente utilizado naquele caso concreto. Não basta o relatório afirmar que o documento foi “assinado eletronicamente”.

É necessário compreender como.

Validade jurídica e autenticidade técnica não são a mesma pergunta

Outro equívoco frequente ocorre quando se mistura validade jurídica do método com comprovação técnica da autoria de uma contratação específica.

Uma determinada modalidade de assinatura pode ser juridicamente admitida e, ainda assim, existir uma controvérsia legítima sobre quem efetivamente participou de uma operação concreta.

Da mesma forma, a ausência de certificado ICP-Brasil não significa automaticamente que o contrato seja tecnicamente imprestável.

O Superior Tribunal de Justiça vem reforçando essa distinção. Em 2024, a Terceira Turma entendeu que a falta de credenciamento da entidade certificadora na ICP-Brasil, por si só, não era suficiente para afastar a validade de uma assinatura eletrônica. O Tribunal destacou a possibilidade de utilização de outros métodos de autenticação admitidos pelas partes.

Em março de 2026, o STJ voltou ao tema ao analisar um empréstimo digital firmado por plataforma não certificada pela ICP-Brasil. Naquele caso específico, o colegiado considerou o conjunto probatório da contratação, que incluía participação ativa da contratante no fluxo eletrônico, envio de documentos, selfie e geolocalização, e concluiu que a ausência da certificação ICP-Brasil não invalidava automaticamente o negócio. Para a perícia, essa evolução é especialmente relevante.

Ela mostra por que a investigação não pode se limitar à pergunta:

“Existe certificado ICP-Brasil?”

A questão tecnicamente mais importante é:

“Quais elementos sustentam a associação entre aquele documento, aquela operação e aquela pessoa?”

A perícia começa pelo documento eletrônico correto

Em muitas ações judiciais, o primeiro elemento apresentado é um PDF. Mas o simples fato de existir um PDF nos autos não significa que ele seja, por si só, o melhor objeto para responder a todas as questões técnicas sobre a contratação. A perícia precisa inicialmente identificar a relação entre o documento apresentado e o objeto efetivamente submetido ao processo de assinatura.

• O arquivo juntado ao processo é exatamente aquele que foi assinado?
• Foi produzido posteriormente a partir de outro formato?
• Passou por conversão?
• Foi baixado diretamente da plataforma?
• Possui assinatura incorporada ao próprio documento ou depende de registros mantidos externamente?
• Houve alteração posterior à conclusão do fluxo?
• Existe versão anterior ou posterior?
• A plataforma produz algum identificador capaz de correlacionar o contrato ao evento de assinatura?
• Essas perguntas são essenciais porque a integridade do documento é uma das bases da análise.

Não adianta demonstrar que determinado usuário realizou uma autenticação às 14h32 se não houver vínculo técnico suficientemente claro entre aquele evento e o documento específico apresentado no processo.

Esse vínculo precisa ser demonstrado, e não presumido.

O relatório de evidências é importante — mas não é a própria perícia

Diversas plataformas geram, ao final de uma contratação, um relatório ou certificado contendo informações como nome do signatário, e-mail, telefone, endereço IP, horário, localização, método de autenticação e identificadores internos.

Esse material pode ser extremamente relevante.

Mas há uma diferença fundamental entre evidência produzida pelo sistema e conclusão pericial sobre essa evidência.

Um relatório é resultado do processamento realizado pela própria plataforma.

A perícia pode precisar compreender de onde vieram os campos ali exibidos, quais registros de backend os sustentam, como os horários foram produzidos, se existem logs de auditoria relacionados e se o documento apresentado corresponde ao fluxo descrito.

Em outras palavras, o certificado ou relatório de evidências deve ser tratado como objeto de análise.

Não como conclusão automática de autoria.

Essa distinção é particularmente importante em demandas envolvendo bancos, financeiras e fintechs, nas quais um relatório contendo dezenas de campos técnicos pode transmitir uma aparência de precisão muito maior do que aquilo que cada campo isoladamente é capaz de demonstrar.

Endereço IP não identifica automaticamente o signatário

O endereço IP é um dos elementos mais citados em contratos eletrônicos.

Ele pode ser extremamente útil para correlacionar determinado acesso a uma conexão utilizada em certo momento.

Mas existe uma diferença importante entre identificar uma conexão e identificar uma pessoa.

Redes corporativas, Wi-Fi compartilhado, redes móveis, mecanismos de tradução de endereços e Carrier-Grade NAT podem fazer com que diferentes dispositivos ou assinantes utilizem estruturas de endereçamento compartilhadas.

As próprias recomendações técnicas para servidores voltados à internet indicam a importância de registrar, além do endereço IP, a porta lógica de origem e timestamp preciso; documentos técnicos sobre CGN também mostram que traduções de endereços e portas precisam ser consideradas quando se busca rastreabilidade.

Consequentemente, uma perícia cuidadosa evita afirmações como:

“o IP prova que João assinou o contrato.”

O que eventualmente pode ser demonstrado é que determinado evento foi originado de uma conexão associada a certo contexto técnico, em determinado momento, conforme os dados disponíveis.

A atribuição pessoal exige correlação adicional.

Esse cuidado aumenta, e não reduz, a força da conclusão pericial.

E a geolocalização?

A mesma cautela vale para geolocalização.

Um relatório pode apresentar latitude e longitude, cidade, estado ou uma estimativa geográfica associada ao acesso.

Mas antes de utilizar esse dado como prova de presença física, é necessário compreender sua origem.

A coordenada foi obtida pelo sensor de localização do smartphone?

Foi fornecida pelo navegador?

Resultou de localização por rede?

Foi estimada a partir do endereço IP?

Foi capturada no momento da contratação ou inserida posteriormente no relatório?

Qual precisão estava disponível?

Havia autorização do usuário para acesso à localização?

Uma coordenada proveniente diretamente dos serviços de localização de um dispositivo possui natureza técnica diferente de uma cidade inferida a partir do endereço IP.

A palavra “geolocalização” exibida em um relatório não responde, sozinha, a essas perguntas.

Por isso, quando a localização é relevante para a tese processual, o assistente técnico ou perito precisa investigar como aquela localização foi produzida.

OTP por SMS prova quem assinou?

Outro mecanismo amplamente utilizado é o OTP — one-time password, ou código de uso único.

O fluxo parece simples.

A plataforma gera um código.

O código é enviado para determinado número de telefone.

O usuário informa o código.

A contratação prossegue.

Esse mecanismo pode constituir elemento relevante de autenticação, mas também precisa ser analisado dentro do contexto.

A perícia pode buscar estabelecer qual número estava cadastrado, quando o código foi gerado, qual sistema solicitou o envio, se existe registro de entrega, quando ocorreu sua utilização e qual sessão eletrônica estava vinculada ao evento.

Mesmo com esses elementos, deve-se evitar extrapolações.

Demonstrar que determinado código foi utilizado em um fluxo de autenticação não é exatamente o mesmo que identificar visualmente a pessoa que segurava o telefone naquele instante.

Por isso, mecanismos de autenticação ganham força quando analisados em convergência.

OTP, dispositivo, IP, documento, biometria, sessão e cronologia podem formar um conjunto muito mais significativo do que qualquer um desses elementos isoladamente.

Biometria facial e selfie exigem análise própria

A utilização de selfies e reconhecimento facial tornou-se especialmente relevante em contratações bancárias e financeiras.

Aqui também existe uma diferença importante entre possuir uma fotografia e possuir evidência tecnicamente suficiente de um processo biométrico.

Uma análise séria pode precisar compreender se houve apenas captura de selfie ou efetivo processamento biométrico, qual fornecedor realizou a comparação, quais imagens foram utilizadas, se existiu mecanismo de prova de vida, quais registros foram gerados e como o resultado biométrico foi relacionado à sessão da contratação.

A Autoridade Nacional de Proteção de Dados destaca que biometria envolve análise matemática e estatística de características fisiológicas ou comportamentais e chama atenção para o fato de que sistemas biométricos são passíveis de erro. A ANPD também trata dados biométricos como dados pessoais sensíveis para fins da LGPD.

Por isso, a frase:

“há uma selfie, portanto a pessoa contratou”

é tecnicamente insuficiente.

A existência da imagem é uma evidência.

O funcionamento do processo de autenticação é outra questão.

A perícia precisa compreender o elo entre ambos.

Prova de vida também não deve ser tratada como expressão mágica

O mesmo raciocínio vale para mecanismos de liveness ou prova de vida.

Dizer que uma plataforma utiliza prova de vida não explica automaticamente qual tecnologia estava em operação na época da contratação, quais testes eram realizados, que tipo de resposta era produzida ou quais registros permaneceram preservados.

Uma plataforma pode evoluir ao longo do tempo.

Versões diferentes podem possuir mecanismos distintos.

Fornecedores podem ser substituídos.

Parâmetros podem mudar.

APIs podem receber novas funcionalidades.

Por isso, em contratos eletrônicos antigos, é importante que o exame considere a contemporaneidade tecnológica.

A pergunta não deve ser apenas “o sistema possui prova de vida hoje?”.

É necessário verificar o que existia na data da contratação discutida.

A cronologia pode revelar inconsistências que um PDF não mostra

Um dos elementos mais valiosos em uma perícia de contrato digital é a reconstrução cronológica.

Um fluxo eletrônico pode conter dezenas de eventos:

abertura da proposta, criação de sessão, autenticação, envio de OTP, captura documental, selfie, análise biométrica, consulta a sistemas externos, apresentação do contrato, aceite, assinatura, finalização e disponibilização do documento.

Quando esses registros existem, a perícia pode verificar se a sequência é tecnicamente coerente.

Imagine um relatório no qual a assinatura aparece concluída antes do envio do mecanismo de autenticação.

Ou uma biometria gerada depois da finalização contratual.

Ou um documento cuja versão final possui timestamp anterior ao evento que supostamente o produziu.

Nenhuma dessas situações deve ser presumida apenas porque parece incomum.

Mas inconsistências cronológicas são exatamente o tipo de elemento que merece investigação técnica aprofundada.

A qualidade da perícia está em reconstruir essa sequência e distinguir eventos realmente contraditórios de características normais da arquitetura do sistema.

Timestamp também precisa ser interpretado

Assim como em outras modalidades de prova digital, “data e hora” não são conceitos tão simples quanto parecem.

Sistemas podem registrar eventos em UTC.

Interfaces podem converter horários para o fuso local.

Um aplicativo pode gerar o evento no dispositivo e sincronizá-lo depois com o servidor.

Determinadas bases podem armazenar horário de criação, horário de atualização e horário de processamento.

Se essas diferenças não forem consideradas, dois eventos coerentes podem parecer incompatíveis — ou o contrário.

Por isso, a perícia deve identificar, sempre que possível, qual relógio e qual camada do sistema produziram cada marca temporal.

Esse cuidado é especialmente relevante quando segundos ou minutos são utilizados para sustentar uma sequência de autenticação.

O arquivo final pode ser validado pelo ITI?

Em determinadas modalidades de assinatura, sim, ferramentas oficiais podem contribuir para a análise.

O serviço VALIDAR, mantido pelo Instituto Nacional de Tecnologia da Informação, verifica conformidade de assinaturas eletrônicas qualificadas e avançadas suportadas pelo serviço, incluindo assinaturas ICP-Brasil e outras infraestruturas oficialmente reconhecidas, como determinadas assinaturas da plataforma GOV.BR.

Essa validação pode ser extremamente relevante quando o documento contém uma assinatura compatível com o serviço.

Mas ela responde a um escopo específico.

Em uma controvérsia envolvendo um fluxo privado baseado em selfie, OTP, endereço IP, geolocalização, login e registros de plataforma, a discussão pode ser muito mais ampla do que a verificação criptográfica de uma assinatura incorporada a um arquivo.

É justamente por isso que uma ferramenta de validação e uma perícia em assinatura eletrônica não devem ser tratadas como conceitos equivalentes.

Uma verifica determinado aspecto técnico.

A outra pode precisar reconstruir todo o processo de contratação.

Quando o contrato é bancário, o problema ganha dimensão probatória ainda maior

As disputas envolvendo empréstimos, financiamentos e consignados digitais constituem uma das áreas em que a análise técnica pode adquirir maior relevância econômica e processual.

O Tema 1.061 do STJ estabeleceu que, quando o consumidor impugna a autenticidade da assinatura existente em contrato bancário apresentado pela instituição financeira, cabe à instituição comprovar sua autenticidade. A jurisprudência do Tribunal admite perícia grafotécnica ou outro meio probatório apto à demonstração.

Esse “outro meio de prova” ganha especial importância quando o contrato não utiliza assinatura manuscrita tradicional.

Em uma contratação totalmente digital, pode sequer existir traço gráfico útil para comparação.

Nessas situações, a discussão pode se deslocar para:

a identidade digital utilizada na operação, os registros da plataforma, o método de autenticação, a biometria, o dispositivo, a sessão, a geolocalização, o IP, os documentos enviados e a coerência global do fluxo.

Em 2026, o STJ voltou a destacar, em julgamentos posteriores relacionados ao Tema 1.061, que a comprovação da legitimidade contratual pode ocorrer mediante outros meios de prova robustos e lícitos, não existindo obrigatoriedade abstrata de perícia grafotécnica em todo caso.

Para bancos e financeiras, isso significa que guardar apenas o PDF final pode ser uma estratégia probatória insuficiente.

Quanto maior a capacidade de preservar tecnicamente a trilha de contratação, maior a possibilidade de reconstrução posterior dos acontecimentos.

Cadeia de custódia também existe na contratação eletrônica

Quando uma assinatura eletrônica se torna objeto de litígio, a forma como os dados são preservados passa a ser relevante.

O relatório foi gerado quando?

Por quem?

Utilizando qual perfil?

Os registros originais ainda estão no sistema?

Qual é a política de retenção da plataforma?

Há logs de auditoria?

O fornecedor preserva eventos de backend?

Os arquivos foram exportados mantendo suas características originais?

É possível demonstrar que o conjunto examinado corresponde ao período discutido?

Essas perguntas integram a rastreabilidade da prova.

Um documento eletronicamente sofisticado pode perder grande parte de sua utilidade probatória se ninguém conseguir explicar a origem dos dados que o acompanham.

Por isso, cadeia de custódia, nesse contexto, não deve ser entendida apenas como lacre físico ou movimentação de mídia.

Ela também envolve origem, preservação, integridade, documentação do procedimento e possibilidade de verificação dos registros eletrônicos apresentados.

Perícia grafotécnica ou perícia digital?

A resposta depende do objeto.

Se a controvérsia envolve uma assinatura manuscrita reproduzida em documento, o exame grafotécnico pode ser adequado.

Se o negócio foi celebrado mediante certificado digital, autenticação eletrônica, token, OTP, biometria, aplicativo ou plataforma de assinatura, o núcleo da controvérsia pode ser essencialmente computacional.

Há ainda situações híbridas.

Uma plataforma pode solicitar que o usuário desenhe uma assinatura na tela e, ao mesmo tempo, registrar IP, dispositivo, telefone e trilha de autenticação.

Nesse caso, limitar o exame ao desenho pode significar ignorar grande parte dos vestígios disponíveis.

A pergunta correta não é “qual perícia é mais importante?”.

É:

qual método é compatível com a natureza da evidência que precisa ser examinada?

O que a perícia judicial pode esclarecer

Quando o exame é determinado pelo Juízo, o perito judicial pode ser chamado a esclarecer a integridade do documento, a modalidade de assinatura, a coerência do processo de autenticação, a relação entre o signatário atribuído e os registros disponíveis, o funcionamento da plataforma e eventuais limitações dos vestígios apresentados.

A própria página de Perícia Judicial em Prova Digital da Alves Amorim já incorpora expressamente assinaturas eletrônicas e contratos eletrônicos entre os objetos técnicos da atuação pericial, incluindo trilhas de auditoria, IP, dispositivo, geolocalização, autenticação multifator, OTP e biometria.

O trabalho não consiste em decidir se o contrato é juridicamente válido.

Essa é atribuição do magistrado.

A perícia fornece os elementos técnicos necessários para que a decisão jurídica seja tomada com melhor compreensão do funcionamento da prova.

E onde entra a Assistência Técnica Judicial?

Quando a Alves Amorim atua pela parte, a função é diferente.

O assistente técnico pode examinar o material apresentado pela instituição ou pela parte contrária, auxiliar na formulação de quesitos, avaliar a metodologia do perito judicial, identificar conclusões que ultrapassem os limites técnicos dos registros e produzir parecer próprio.

A página de Assistência Técnica Judicial da Alves Amorim já contempla especificamente esse trabalho em perícias de assinatura eletrônica, com análise dos elementos apresentados pela instituição, pela plataforma ou pelo perito, avaliação das evidências de autenticação e exame de autoria, integridade, rastreabilidade e confiabilidade do processo eletrônico de contratação.

Essa distinção é importante para o advogado.

Perícia Judicial é a atividade do especialista nomeado pelo Juízo.

Assistência Técnica Judicial é o suporte especializado da parte para exercer o contraditório técnico.

O objeto pode ser exatamente o mesmo.

A posição processual é que muda.

Que material deve ser preservado quando uma assinatura eletrônica é contestada?

Quanto antes ocorrer a preservação, melhor tende a ser a capacidade de reconstrução.

O erro mais comum é guardar apenas aquilo que é visualmente fácil de compreender: o contrato em PDF e o relatório final.

Em determinados casos, a investigação pode necessitar também de registros de autenticação, trilhas de auditoria, dados da sessão, evidências biométricas, identificadores do dispositivo, registros de OTP, timestamps, eventos de API, documentos enviados durante o onboarding e informações que demonstrem a relação entre esses elementos e o contrato.

Nem todos esses dados existirão em todas as plataformas.

Nem todos serão necessários em todos os processos.

Mas saber o que existe antes que a política de retenção elimine registros relevantes pode ser decisivo.

Essa preocupação é particularmente importante para instituições financeiras e empresas com alto volume de contratação eletrônica.

Uma mesma arquitetura pode estar presente em milhares ou milhões de negócios.

A discussão deixa, portanto, de ser apenas sobre um processo.

Pode envolver governança probatória.

Empresas deveriam conhecer sua prova antes do litígio

Para bancos, fintechs, seguradoras, marketplaces e grandes empresas, existe uma questão preventiva importante.

O departamento jurídico sabe exatamente quais evidências o fluxo de contratação consegue produzir?

Sabe por quanto tempo elas permanecem disponíveis?

Sabe qual fornecedor mantém os dados biométricos?

Sabe se a plataforma preserva logs completos?

Sabe distinguir o relatório exibido no painel dos registros técnicos que lhe deram origem?

Sabe quais informações poderão ser apresentadas caso uma contratação seja contestada três anos depois?

Essas perguntas não deveriam surgir apenas quando chega uma ordem judicial.

Conhecer previamente a arquitetura probatória de uma contratação eletrônica ajuda Jurídico, Compliance, Segurança da Informação e Tecnologia a compreenderem os limites e as potencialidades dos sistemas utilizados pela organização.

Afinal, como verificar a autenticidade de um contrato digital?

Não existe um único campo capaz de resolver todos os casos.

Autenticidade não deveria ser inferida simplesmente porque há um IP.

Nem porque existe uma selfie.

Nem porque foi utilizado OTP.

Nem porque determinado relatório afirma que o documento foi “assinado com sucesso”.

A análise mais robusta surge quando os elementos podem ser tecnicamente correlacionados.

O documento precisa conversar com a sessão.

A sessão precisa conversar com os mecanismos de autenticação.

Os mecanismos de autenticação precisam estar temporalmente coerentes.

Os registros devem possuir origem compreensível.

O processo deve permitir identificar suas limitações.

E a conclusão precisa permanecer proporcional àquilo que os vestígios realmente demonstram.

Essa é a diferença entre acumular dados técnicos e produzir prova técnica confiável.

Conclusão

A expansão dos contratos digitais tornou a assinatura eletrônica parte cotidiana das relações bancárias, empresariais e de consumo.

Ao mesmo tempo, transformou a maneira como controvérsias sobre autoria e manifestação de vontade precisam ser examinadas.

Quando uma contratação eletrônica é contestada, o problema raramente está restrito à imagem de uma assinatura.

A verdadeira evidência pode estar distribuída entre documento, certificado, logs, sessão, endereço IP, porta lógica, dispositivo, OTP, geolocalização, biometria, timestamps e trilhas de auditoria.

Por isso, perícia em assinatura eletrônica é, essencialmente, uma investigação do processo tecnológico de contratação.

Seu objetivo não é encontrar um único elemento que “prove tudo”.

É verificar se o conjunto disponível é íntegro, rastreável, tecnicamente coerente e suficiente para sustentar as conclusões apresentadas no processo.

Para advogados, instituições financeiras, fintechs e grandes empresas, essa compreensão pode ser determinante tanto para demonstrar a regularidade de uma contratação quanto para identificar fragilidades em documentos ou relatórios apresentados como prova.

A Alves Amorim Perícia Digital atua em Perícia Judicial e Assistência Técnica Judicial em controvérsias envolvendo assinaturas eletrônicas, contratos digitais, autenticação, biometria, registros de acesso e demais evidências tecnológicas associadas à contratação eletrônica.