Autenticação de signatário: métodos e problemas

Por que a autenticação é crítica

A autenticação do signatário é aelo mais fracoda cadeia de evidências. Sem ele, é impossível provar quem realmente assinou. Uma plataforma de assinatura moderna deve oferecer diversos mecanismos graduados.

Métodos disponíveis

E-mail confiável

O signatário recebe um link exclusivo para seu endereço de e-mail. Somente o suporte da caixa pode clicar. Simples, eficaz para o SES.

Risco residual: roubo de conta de e-mail. Aceitável para documentos de baixo risco.

OTP por SMS

Código único enviado para o número de telefone. Combinado com email = AES.

Risco residual: Troca de SIM (raro, mas conhecido por alvos de alto valor).

OTP por aplicativo

Código gerado por um aplicativo (Google Authenticator, Authy, Twilio Authy). Mais seguro que SMS para apostas altas.

Biometria

Impressão digital, reconhecimento facial. Usado em dispositivos móveis para agilizar a experiência. Não armazenado no lado do servidor (conformidade com GDPR).

Certificado pessoal

Certificado criptográfico emitido por um QTSP, armazenado em um dispositivo (YubiKey, smart card). Obrigatório para QES.

Vídeo KYC

Verificação de identidade por videoconferência ou gravação. Utilizado para setores regulamentados (bancos, seguros).

Identidade digital nacional

FranceConnect+, itsme (mais de 40 países europeus, entre os quais a Bélgica e a França), SPID (Itália). Reconhecido como nível “substancial” pelo eIDAS.

Níveis de garantia (LoA)

eIDAS define três níveis:

Nível | Requisito | Exemplo

Baixo | E-mail ou equivalente | DELE

Substancial | Fator duplo | AES (e-mail + OTP)

Alto | Verificação rigorosa de identidade | QES, vídeo KYC

Alinhamento com o problema

• Documento interno, ordem de compra: Baixo LoA (SES) é suficiente
• Contrato de trabalho, arrendamento, NDA: LoA substancial (AES)
• Escritura notarial, mercado público: Alta LoA (QES)

Erros comuns

• Use SES para tudo (subdimensionado)
• Empilhar autenticações desnecessariamente (atrito)
• Não registre os métodos usados ​​(evidência enfraquecida)
• Coletando muitos dados biométricos (GDPR)

Proteção contra ataques

• Phishing: treinar signatários para verificar o remetente
• Homem do meio: TLS 1.3 necessário
• Troca de SIM: OTP por aplicativo para apostas muito altas
• Vídeo falso KYC: verificações de atividade + verificação cruzada

Caso concreto: neobanco

Processo de abertura de conta:

1. E-mail confiável
2. SMS OTP
3. Carregar documento de identidade
4. Teste de vivacidade (selfie)
5. Verificação cruzada das bases das sanções
6. Assinatura AES

LoA: substancial. Compatível com ACPR. Processe em 10 minutos.

Como Certyneo ajuda você

Certyneo oferece todos os mecanismos comuns: e-mail, SMS OTP (via Twilio Verify), integração de certificados qualificados para QES, vídeo KYC opcional, integração FranceConnect+. Cada método é registrado na trilha de auditoria.

Conheça a solução de assinatura eletrônica Certyneo

FAQ

O SMS é seguro o suficiente?

Para AES sim. Para apostas muito altas, prefira aplicativo OTP ou biometria.

A biometria é armazenada?

Número do lado do servidor (conformidade com GDPR). Os modelos permanecem no dispositivo.

Podemos combinar vários métodos?

Sim, para reforçar as evidências.

O FranceConnect+ é reconhecido?

Sim: o eIDAS reconhece-o ao nível substancial e pode suportar tanto uma AES como uma QES. Na Certyneo, a integração está em curso e ainda não está aberta às contas de clientes — hoje a AES é autenticada com um OTP por SMS.

O que acontece se o OTP expirar?

O signatário poderá solicitar um novo. Limites anti-força bruta em vigor.

Conclusão

Uma boa autenticação é avaliada, rastreada e adaptada ao problema. A autenticação excessiva cria atrito; a subautenticação enfraquece a prova. O saldo é encontrado documento por documento.

Experimente o Certyneo para enviar, assinar e rastrear seus documentos online de forma simples, rápida e segura.