Biblioteca e API de assinatura digital

PAdES (PDF Advanced Electronic Signatures) é um formato de assinatura eletrônica em que a assinatura fica embutida no arquivo PDF; é definido pela norma ETSI EN 319 142. O documento assinado continua sendo um PDF, é verificado no painel de assinaturas de leitores como o Adobe Reader e pode ter um campo de assinatura visível na página. Os níveis sobem de B-B para B-T (com carimbo do tempo), B-LT e B-LTA (arquivamento de longo prazo).

CAdES (CMS Advanced Electronic Signatures) é um formato de assinatura eletrônica baseado na estrutura CMS/PKCS#7; é definido pela norma ETSI EN 319 122. Pode assinar qualquer tipo de arquivo; a assinatura geralmente acompanha o documento como .p7s ou dentro de um envelope assinado. Na Turquia, é o formato mais usado na correspondência oficial com assinatura eletrônica.

XAdES (XML Advanced Electronic Signatures) é um formato de assinatura eletrônica desenvolvido para documentos XML; é definido pela norma ETSI EN 319 132. A assinatura pode ficar embutida no XML ou separada. É usada em documentos XML como a fatura eletrônica no formato UBL-TR.

Uma biblioteca de assinatura digital é um componente para desenvolvedores (SDK) que adiciona a criação e a verificação de assinaturas eletrônicas ao seu próprio software. Um aplicativo de assinatura pronto oferece uma tela ao usuário; a biblioteca é um bloco sem tela: quem assina é o seu aplicativo, dentro do seu fluxo. Funciona com cartão inteligente, token ou HSM e gera e verifica os formatos CAdES, XAdES e PAdES.

O pacote e-Yazışma é o pacote padrão usado na correspondência eletrônica oficial com instituições públicas da Turquia: o documento assinado, o arquivo de metadados e eventuais anexos são reunidos em um único pacote. Entre instituições, costuma ser enviado por KEP (e-mail registrado).

Um pacote e-Yazışma oficial reúne o arquivo de metadados e o documento assinado. A biblioteca faz isso em uma única chamada: assina o documento com CAdES ou XAdES, gera metadados conforme o esquema e fecha o pacote. As versões 1.3 e 2.0 do e-Yazışma são suportadas e o certificado raiz da KamuSM já vem integrado. Se você indicar uma pasta, ela assina em lote os documentos que estão nela.

A biblioteca entra no seu software: o seu fluxo dispara a assinatura e a interface é sua. O aplicativo pronto (İmzacı) roda no desktop: o usuário escolhe o arquivo e assina. Os dois usam a mesma infraestrutura de assinatura; qual serve para você depende de quem inicia a assinatura, o seu software ou o usuário.

CAdES (BES, EPES, T, C, X, XL, A), XAdES (BES, T, C, X, XL, A), PAdES (B-B, B-T, B-LT, B-LTA) e ASiC-S e ASiC-E. Com uma única biblioteca você chega ao nível de arquivamento de longo prazo.

Não. A biblioteca é modular; para PDF basta o pacote eSignature.PAdES. Padrões, TSAs e provedores de hardware que você não usa nunca entram no projeto.

A assinatura não é gerada no navegador, mas no lado servidor da sua aplicação web: o pacote eSignature.PAdES é chamado e o PDF assinado volta para o usuário. O que decide é onde está a chave: com HSM em nuvem, HSM de rede ou assinatura móvel, o servidor consegue acessar a chave e todo o fluxo corre pela web. Se a chave estiver no cartão inteligente do usuário, o navegador não acessa o cartão; nesse cenário a assinatura é feita no desktop com o İmzacı.

Sim. A fonte de assinatura é abstraída: cartão inteligente e token USB (CNG/PKCS#11), HSMs de rede, serviços de HSM em nuvem e assinatura móvel usam o mesmo fluxo. Cada provedor é um pacote independente.

Sim. Validação de cadeia de certificados RFC 5280, CRL, OCSP, Delta CRL e validação offline estão dentro da biblioteca; o mesmo componente gera e verifica a assinatura.

Sim. O aplicativo de desktop usado sem escrever código é o İmzacı: assina PDF e XML com cartão inteligente, cria pacotes e-Yazışma e faz assinatura em lote por pasta.

Adicionar ao projeto o pacote do padrão necessário: eSignature.PAdES para assinatura de PDF, o pacote XAdES para XML. Como a biblioteca é dividida em 39 pacotes NuGet, você instala só o que usa; nenhuma grande dependência única entra no projeto.

Via Windows CNG e PKCS#11 são suportados dispositivos como AKİS, SafeNet/eToken, Gemalto/Thales, IDEMIA, Feitian, YubiKey e Nitrokey. Cada provedor é um pacote separado e independente; drivers que você não usa não entram no projeto.

Sim. São suportados os HSMs de rede Thales Luna, Utimaco e Entrust nShield, além de AWS CloudHSM/KMS, Azure Key Vault HSM e Google Cloud KMS. É assim que se monta um fluxo de assinatura automática no servidor, sem um usuário com cartão.

Não; o mesmo componente gera e verifica a assinatura. Validação de cadeia de certificados RFC 5280, CRL, OCSP, Delta CRL e validação offline estão dentro da biblioteca.