Políticas e contextos
Perfis de assinatura PAdES, carimbo de tempo e raízes de confiança.
Políticas de assinatura (signaturePolicyId)#
A política define o perfil da assinatura PAdES. Você a informa ao iniciar a sessão.
signaturePolicyId |
Perfil | Observações |
|---|---|---|
pades-basic |
PAdES básico, sem política ICP-Brasil explícita | Qualquer contexto de segurança. |
pades-icpbrasil-ad-rb |
AD-RB: Assinatura Digital com Referência Básica | Contexto icp-brasil. |
pades-icpbrasil-ad-rt |
AD-RT: com Referência de Tempo | Inclui o carimbo de tempo. |
pades-icpbrasil-ad-rc |
AD-RC: com Referências Completas | Embute as LCR e OCSP no PDF (DSS), para validação de longo prazo. A revogação é consultada antes de o usuário assinar. |
pades-icpbrasil-ad-ra |
AD-RA: com Referências para Arquivamento | Inclui o AD-RC e um carimbo do documento que sela o DSS. |
pades-icpbrasil-ad-rb@1.3 |
Versão fixa de uma política | Precisa estar vigente na lista oficial. |
pades-basic-lt |
PAdES-B-LT, para PKI privada | Revogação obrigatória com as LCRs que você enviou e DSS embutido no PDF. Só em contexto private:. |
A política declarada no PDF vem sempre da lista oficial de políticas (LPA) do ITI, autenticada; nada é fixo no código. A lista das vigentes, com OID e prazo de validade, aparece no painel, em Políticas de assinatura.
Em AD-RC e AD-RA, um certificado revogado é recusado antes do PIN, com certificate_revoked.
Carimbo de tempo#
No serviço da Shield, toda assinatura PAdES inclui um carimbo de tempo de uma autoridade credenciada na ICP-Brasil. Ele prova quando o documento foi assinado, independentemente do relógio do computador do usuário. A verificação de uma assinatura mostra o carimbo em timestamp (Verificar assinaturas).
Se o serviço de carimbo estiver indisponível, a assinatura não é gerada (422 tsa_unavailable): nada é assinado sem o carimbo, e você pode repetir em instantes.
Contextos de segurança (securityContextId)#
O contexto é o conjunto de raízes de confiança contra o qual o certificado é validado.
| Identificador | Para quê |
|---|---|
icp-brasil |
Certificados ICP-Brasil, com as raízes oficiais do ITI. Use com as políticas pades-icpbrasil-*. |
private:<identificador> |
A PKI privada do seu cliente (por exemplo, uma AC corporativa Microsoft AD CS). Vale só para o cliente que a cadastrou e nunca se mistura com a ICP-Brasil. |
PKI privada#
Cadastre as raízes (e, se houver, as intermediárias e as listas de revogação) da sua AC no painel (PKI privada) ou pela API:
curl -X PUT "$SHIELDSIGN_URL/v1/private-security-contexts/minha-ac" \
-H "Authorization: Bearer $SHIELDSIGN_KEY" -H "Content-Type: application/json" \
-d '{ "description": "AC corporativa", "roots": ["-----BEGIN CERTIFICATE-----…"], "intermediates": [], "crls": [] }'
Depois, use securityContextId=private:minha-ac ao iniciar uma assinatura, uma verificação ou um login por certificado. Nesse contexto só valem as políticas pades-basic e pades-basic-lt (as políticas ICP-Brasil exigem o contexto icp-brasil). Para manter as listas de revogação atualizadas, troque só as LCRs com PUT /v1/private-security-contexts/{slug}/crls. O contrato completo está na Referência da API.
Revogação em PKI privada
Com revogação exigida (padrão no login por certificado e nos perfis AD-RC e AD-RA), a API usa as LCRs que você enviou e falha fechada se elas estiverem vencidas ou ausentes. Mantenha-as atualizadas.