O mecanismo baseia-se em dois pilares: a autenticação do signatário e a integridade do documento.
Para autenticar ao signatário se utilizan uno ou vários factores de identificação: direção de e-mail de confianza (ligação de um apenas uso), código OTP recebido por SMS, certificado criptográfico pessoal, etc. Para garantir a integridade, se calcula uma huella (hash) do documento no momento da assinatura. Se o documento se modifica posteriormente, a huella deja de coincidir e a assinatura queda invalidada.
Em soluções como Certyneo, o proceso se apoia em bibliotecas de procesamiento de PDF que incorporan estes metadatos criptográficos diretamente no fichero. Um audit trail com selo de tiempo (registo de acciones) completa o dispositivo registrando cada etapa: envio, abertura, OTP validado, assinatura, etc.
No plano técnico, vários mecanismos de segurança reforçam a inviolabilidade do processo: a marcação de tempo qualificada (RFC 3161) apõe uma prova de tempo certificada em cada assinatura; a criptografia TLS 1.3 protege os dados em trânsito; a geolocalização e o endereço IP do signatário são registrados para rastreabilidade; por fim, em certos fluxos (AES/QES), dados biométricos comportamentais (velocidade de digitação, pressão) complementam a impressão de identidade.
O conceito de não-repúdio é central: graças à trilha de auditoria marcada com data/hora e assinada criptograficamente, é tecnicamente impossível para um signatário negar ter assinado um documento sem falsificar a cadeia de provas. Em matéria de arquivamento, a regulamentação francesa (decreto 2016-1673) impõe uma conservação de 10 anos para a maioria dos atos comerciais — Certyneo garante este arquivamento com valor probatório em hospedagem soberana (UE).