Entenda o que é carimbo do tempo, como ele reforça a segurança dos documentos digitais e por que adotá-lo no seu SaaS.
O carimbo do tempo é um registro criptográfico que prova a data e a hora exatas em que um documento digital existia ou foi assinado. Ele também comprova que o arquivo não foi alterado depois disso. Para plataformas SaaS que movimentam contratos e aprovações, é a evidência técnica que responde: quando isso aconteceu, e o registro continua íntegro?
A assinatura digital já é operação de massa no Brasil. Contratos, aditivos, termos de aceite e laudos circulam todos os dias dentro de softwares. Mas existe uma diferença enorme entre dizer “o documento foi assinado” e provar quando ele foi assinado. É aí que entra o carimbo do tempo.
O que é carimbo do tempo?
O carimbo do tempo (ou timestamp) é uma evidência eletrônica que vincula um documento a um instante preciso. Pense nele como um selo de “existia exatamente assim, neste exato momento”.
Ele não é a data que aparece no rodapé do PDF e nem o horário do servidor da sua aplicação. Qualquer um desses pode ser alterado por quem tem acesso ao sistema.
O carimbo do tempo é emitido por uma terceira parte confiável: a Autoridade de Carimbo do Tempo (ACT). No Brasil, as ACTs são credenciadas pela ICP-Brasil, infraestrutura mantida pelo ITI. A hora usada vem de fonte oficial, sincronizada com a Hora Legal Brasileira do Observatório Nacional.
Como o carimbo do tempo funciona na prática?
O processo utiliza um hash, um resumo matemático calculado a partir dos dados. Ele permite comparar o conteúdo apresentado com aquele que recebeu o registro temporal.
No fluxo descrito pelo protocolo RFC 3161, a aplicação envia esse resumo a uma autoridade de tempo. Ela emite uma resposta assinada digitalmente, vinculando o hash a uma data e hora confiáveis. Na prática, o funcionamento é:
- Geração do hash: O sistema calcula um resumo criptográfico do documento (SHA-256, por exemplo). É uma impressão digital única, ou seja, mudou uma vírgula, mudou o hash.
- Envio à ACT: Só o hash vai para a Autoridade de Carimbo do Tempo. O documento em si nunca sai do seu ambiente.
- Emissão do token: A ACT junta o hash à data e hora oficiais e assina esse pacote com o próprio certificado digital.
- Vinculação ao documento: O token volta e é incorporado à assinatura (nos padrões PAdES ou CAdES, por exemplo).
- Verificação a qualquer momento: Basta recalcular o hash do arquivo e comparar com o carimbado. Bateu? O documento está íntegro desde aquele instante.
Vale destacar que o carimbo registra um momento de existência, não necessariamente o momento de criação.
Se um contrato foi criado na segunda-feira e carimbado na quarta, a evidência temporal corresponde ao registro de quarta. Quando aplicado sobre uma assinatura, o carimbo comprova que aquela assinatura já existia naquele momento.
Qual é a diferença entre assinatura, certificado e carimbo do tempo?
Esses recursos se complementam, mas cada um resolve uma parte da confiança documental. Confira:
| Recurso | Principal função | Limite importante |
| Assinatura eletrônica | Registrar a manifestação de vontade e associá-la ao signatário, conforme o método | A força da evidência depende do processo utilizado |
| Certificado digital | Vincular uma identidade a uma chave pública | Não substitui uma referência temporal confiável |
| Carimbo do tempo | Vincular um hash a uma data e hora verificáveis | Não identifica, sozinho, quem aceitou o documento |
| Data e hora do sistema | Registrar eventos operacionais | Dependem do relógio e dos controles da aplicação |
| Trilha de auditoria | Reunir eventos e evidências do fluxo | Sua qualidade depende da coleta, proteção e preservação |
Uma data exibida no PDF pode facilitar a leitura. Porém, a imagem de um selo não equivale ao token criptográfico.
Além dessa diferença entre os recursos, existem diferentes tipos de assinatura eletrônica: simples, avançada e qualificada. Entender essa classificação ajuda sua software house a escolher o método adequado para cada operação. Veja as diferenças no guia sobre assinatura eletrônica simples, avançada e qualificada.
Assinatura digital com e sem carimbo do tempo: o que muda?
Nem todo registro de data e hora tem o mesmo peso. Veja a diferença entre o horário do sistema e um carimbo do tempo emitido por ACT credenciada.
A data e a hora que aparecem no seu sistema vêm do relógio do próprio servidor. E esse relógio pode ser mudado por quem administra o ambiente. Ou seja: ele mostra um horário, mas não prova nada. Não garante que o documento continua igual e, se alguém questionar, essa data pode ser contestada.
O carimbo do tempo emitido por uma ACT credenciada na ICP-Brasil segue outra lógica. Veja o que muda:
- Quem gera: uma terceira parte credenciada e independente, e não o seu próprio sistema.
- Fonte de tempo: a Hora Legal Brasileira, sincronizada e oficial.
- Resistência à alteração: qualquer mudança invalida o token, então a data não pode ser manipulada sem deixar rastro.
- Prova de integridade: o hash criptográfico comprova que o documento não mudou desde o carimbo.
- Validade de longo prazo: a prova se mantém mesmo após o vencimento do certificado do signatário.
- Peso em auditorias e processos: é uma evidência técnica verificável, não apenas um indício.
- Uso indicado: contratos, laudos, aceites e registros críticos. Já o horário de sistema serve bem para logs operacionais.
O horário de sistema continua útil para logs e trilhas internas. Mas, quando o documento pode virar prova, o carimbo do tempo é o que sustenta a data.
Por que o carimbo do tempo importa para SaaS e software houses?
A assinatura eletrônica já opera em grande escala no Brasil. No primeiro trimestre de 2026, o gov.br registrou 69,2 milhões de assinaturas avançadas, alta de 57% sobre o mesmo período de 2025.
Para software houses, a implicação é prática: quanto mais processos passam pelo sistema, maior a necessidade de preservar evidências consistentes.
1. Protege o seu cliente em disputas e auditorias
Prazos contratuais, vigência, multas e SLAs dependem de datas. Uma data contestável vira discussão. Uma data carimbada vira fato.
2. Protege a sua plataforma
Sem carimbo, a única prova de horário é o seu próprio servidor. Em um litígio, o seu SaaS pode ser chamado a explicar logs e configurações. Com uma ACT independente, a prova não depende da sua infraestrutura.
3. Garante validade de longo prazo
Certificados digitais vencem. Documentos como contratos de longa duração, prontuários e registros trabalhistas precisam continuar verificáveis por anos. O carimbo do tempo preserva essa verificação.
4. Vira diferencial competitivo
Para ERPs, CRMs, HRtechs, healthtechs e plataformas imobiliárias, oferecer assinatura com carimbo do tempo nativo agrega valor percebido. E abre portas em setores regulados, onde esse nível de prova é exigido.
5. Resolve operações em escala
O processo é automático e roda via API. Não há etapa manual para o usuário final. A segurança aumenta sem adicionar atrito na jornada.
O carimbo do tempo tem validade jurídica?
Sim. No Brasil, a base é a Medida Provisória 2.200-2/2001, que instituiu a ICP-Brasil e reconheceu a validade jurídica de documentos eletrônicos. A Lei 14.063/2020 complementou o tema ao classificar as assinaturas eletrônicas em simples, avançada e qualificada.
O carimbo do tempo emitido por ACT credenciada integra esse ecossistema. Ele reforça o valor probatório do documento: autoria, integridade e momento ficam comprovados juntos.
Vale um alerta: o carimbo do tempo não substitui a assinatura. Ele a complementa. O ideal é combinar assinatura digital, trilha de auditoria e carimbo do tempo em um único fluxo.
Como integrar o carimbo do tempo ao seu software
Construir isso do zero é caro. Exige contrato com ACT, gestão de certificados, implementação de RFC 3161, padrões PAdES/CAdES e validação contínua. Para a maioria das software houses, não faz sentido desviar o time do core do produto.
O caminho mais eficiente é uma API de assinatura que já entregue o carimbo do tempo embutido. Para escolher a melhor opção, avalie:
- Carimbo emitido por ACT credenciada na ICP-Brasil, e não apenas horário de servidor.
- Integração via API REST com documentação clara e ambiente de testes.
- Trilha de auditoria completa junto ao carimbo, com IP, geolocalização e eventos.
- Escalabilidade para picos de assinatura sem perda de performance.
- Suporte técnico especializado em documentos digitais.
Foi pensando nisso que a TecnoSpeed desenvolveu o PlugSign, uma API de assinatura eletrônica com carimbo do tempo.
Com essa solução, você garante a data e hora exata de cada assinatura com validade jurídica, comprovando a integridade do documento perante qualquer auditoria ou processo.
FAQ sobre carimbo do tempo
Carimbo do tempo e assinatura digital são a mesma coisa?
Não. A assinatura digital comprova a autoria. O carimbo do tempo comprova o momento e a integridade. Os dois se complementam.
É obrigatório usar carimbo do tempo em todo contrato?
Não há uma obrigação universal. A necessidade depende das normas aplicáveis, do tipo de documento e dos requisitos da operação.
Quem pode emitir um carimbo do tempo válido no Brasil?
As Autoridades de Carimbo do Tempo (ACTs) credenciadas na ICP-Brasil, sob supervisão do ITI.
O carimbo do tempo vale depois que o certificado vence?
Sim. Ele prova que a assinatura foi feita enquanto o certificado era válido, mantendo a verificação no longo prazo.
Como verificar se um documento tem carimbo do tempo?
Use um validador de assinaturas, como o Verificador de Conformidade do ITI. Ele exibe a data, a hora e a ACT emissora.
Meu SaaS precisa de carimbo do tempo?
Se ele lida com contratos, aceites, laudos ou registros que podem ser auditados ou contestados, sim. É a forma mais segura de provar o “quando”.
