O mecanismo baseia-se em dois pilares: a autenticação do signatário e a integridade do documento.
Para autenticar o signatário, usa-se um ou mais fatores de identificação: endereço de email confiável (link de uso único), código OTP recebido por SMS, certificado criptográfico pessoal, etc. Para garantir a integridade, calcula-se uma impressão (hash) do documento no momento da assinatura. Se o documento for modificado depois, a impressão não corresponde mais — a assinatura é então invalidada.
Em soluções como Certyneo, o processo se baseia em bibliotecas de processamento PDF que integram esses metadados criptográficos diretamente no arquivo. Um registro de auditoria com timestamp (histórico de ações) complementa o dispositivo registrando cada etapa: envio, abertura, OTP validado, assinatura, etc.
No aspecto técnico, vários mecanismos de segurança reforçam a inviolabilidade do processo: o timestamp qualificado (RFC 3161) apõe uma prova de tempo certificada em cada assinatura; a criptografia TLS 1.3 protege os dados em trânsito; a geolocalização e o endereço IP do signatário são registrados para rastreabilidade; em certos fluxos (AES/QES), dados biométricos comportamentais (velocidade de digitação, pressão) complementam a impressão de identidade.
O conceito de não-repúdio é central: graças ao registro de auditoria com timestamp e assinado criptograficamente, é tecnicamente impossível um signatário negar ter assinado um documento sem falsificar a cadeia de provas. Quanto ao arquivamento, a regulação francesa (decreto 2016-1673) impõe uma conservação de 10 anos para a maioria dos atos comerciais — Certyneo assegura este arquivamento com valor probatório em hospedagem soberana (UE).