Assinatura digital

Assine documentos do Sutram com seu certificado ICP-Brasil. O certificado A1 assina direto no navegador; o A3, em token ou cartão, usa o Sutram Signing Agent instalado no seu computador.

Qual é o seu certificado?

Certificado A1

Arquivo .pfx ou .p12, protegido por senha e guardado no seu computador.

Assina direto no Sutram, pelo navegador. Não há nada para instalar.

Como assinar com A1 →

Certificado A3

Chave guardada em token USB ou em cartão com leitora, protegida por PIN.

Exige o Sutram Signing Agent instalado no computador, para Windows ou macOS.

Como assinar com A3 →

Como funciona a assinatura no Sutram

  • Você assina a última versão publicada do arquivo. O original não muda: o Sutram gera o PDF assinado, no padrão PAdES, ao lado da versão.
  • Se quiser, a assinatura leva um carimbo visível na última página.
  • Antes de assinar, o Sutram pode pedir que você confirme sua identidade.
  • Assinar exige que o projeto pertença a uma conta no plano Max ou Enterprise. Validar assinaturas e importar PDFs assinados fora do Sutram funciona em todos os planos.

Assinar com certificado A1

  1. 1

    No Sutram, abra o menu do arquivo e escolha Assinar digitalmente.

  2. 2

    Selecione Certificado em arquivo (A1).

  3. 3

    Escolha o arquivo do certificado (.pfx ou .p12) e digite a senha do certificado.

  4. 4

    Mantenha ou desmarque Adicionar carimbo visível na última página e confirme a assinatura.

O arquivo do certificado e a senha não saem do seu navegador. O Sutram recebe apenas o certificado público e a assinatura.

Assinar com certificado A3

No token ou no cartão, a chave privada não pode sair do dispositivo, e o navegador não tem acesso a ela. Por isso a assinatura A3 exige o Sutram Signing Agent, um aplicativo gratuito instalado no seu computador. O Sutram abre o Agent na hora de assinar: você não precisa deixá-lo aberto nem fazer login nele.

  1. 1

    No Sutram, abra o menu do arquivo, escolha Assinar digitalmente e selecione Token ou cartão (A3).

  2. 2

    O Agent abre, mostra o documento, o projeto e o usuário, e pede o PIN do token.

  3. 3

    A assinatura é feita dentro do token e volta ao Sutram. Você continua no navegador.

O que o Agent não faz

  • Não extrai a chave privada: ela nunca sai do token.
  • Não guarda nem transmite o seu PIN.
  • Não vê o conteúdo do documento — recebe apenas o resumo criptográfico a assinar.
  • Não mantém login nem pareamento: cada operação tem um token de uso único.

Antes de instalar

  • Driver do seu token instalado

    É o passo mais esquecido — veja a tabela abaixo

  • Token USB conectado, ou cartão na leitora

    A luz do token acende

  • O PIN do seu certificado

    Veio com o certificado; não é a senha do computador

O Agent conversa com o token pela biblioteca do fabricante. Sem ela, o Agent abre, mas não enxerga nenhum certificado. Instale a versão do software para o seu sistema, baixada do site do fabricante ou da Autoridade Certificadora.

Token ou cartão Software a instalar
SafeNet eToken 5110, Gemalto/Thales IDPrime (Certisign, Serasa, Soluti e a maioria das ACs) SafeNet Authentication Client
WatchKey / Watchdata (Proteção Digital) Gerenciador WatchKey ou driver Watchdata ICP-Brasil
Outros cartões e tokens Gerenciador indicado pela Autoridade Certificadora que emitiu o certificado

Depois de instalar, conecte o token e abra o gerenciador do fabricante: o seu certificado precisa aparecer lá, com seu nome e CPF ou CNPJ. Se não aparece no gerenciador, também não vai aparecer no Sutram.

Instale o Signing Agent

Escolha o seu sistema. Os arquivos, a conferência de código e a instalação são diferentes em cada um.

Windows

Windows 10 (21H2) ou 11, 64 bits

Baixar para Windows Ver o passo a passo →

macOS

macOS 11 ou mais novo · Apple Silicon ou Intel

Baixar para Apple SiliconBaixar para Intel Ver o passo a passo →

Versão 0.1.3

O Agent ainda não é assinado digitalmente

O Windows e o macOS vão mostrar um aviso de segurança na instalação. É esperado, e por isso cada sistema tem uma conferência de código: baixe somente desta página e compare o SHA-256 antes de instalar.

O Sutram nunca pede para desativar antivírus, nem envia o instalador por e-mail ou mensagem. Se receber um arquivo assim, não execute.

Windows

Windows 10 (21H2 ou mais novo) ou Windows 11, 64 bits. Para conferir: Configurações → Sistema → Sobre.

Você não precisa ser administrador para instalar o Agent: ele é instalado na sua conta de usuário. Para instalar o driver do token, precisa — peça à TI se for o caso.

1. Instale o driver do token

Use a versão para Windows do software da tabela acima. Instale a versão de 64 bits: o Agent é um programa de 64 bits e não carrega drivers de 32 bits — com a versão errada, o token funciona em outros programas e some no Agent.

2. Baixe e confira o arquivo

Baixar para Windows · SutramSigningAgent-0.1.3-windows-x64-setup.exe

O navegador pode avisar que o arquivo “não é baixado com frequência”. Clique nos três pontos ao lado do download e escolha Manter.

Antes de instalar, compare o código SHA-256 do arquivo com o publicado aqui. Abra o PowerShell (tecla Windows, digite powershell) e rode:

PowerShell 
Get-FileHash "$env:USERPROFILE\Downloads\SutramSigningAgent-0.1.3-windows-x64-setup.exe" -Algorithm SHA256

SHA-256 do instalador do Windows

ed4afc649f1925ff4689b0226d3fa8883ab4894126765b03b46ce67060d021ee

Se o valor for diferente, não instale: apague o arquivo e baixe de novo. Se continuar diferente, fale com o suporte. SHA256SUMS.txt →

3. Instale

  1. 1

    Clique duas vezes no arquivo baixado.

  2. 2

    Vai aparecer “O Windows protegeu o computador”. Clique em Mais informações e depois em Executar assim mesmo.

  3. 3

    Siga o instalador. Não há pergunta de administrador: a instalação é só para o seu usuário.

  4. 4

    Se faltar o Microsoft Edge WebView2 (o Windows 11 e o Windows 10 atualizado já têm), o instalador baixa e instala sozinho — isso exige internet.

Pronto: o Sutram Signing Agent aparece no menu Iniciar.

macOS

macOS 11 (Big Sur) ou mais novo. Há uma versão para cada tipo de Mac: em Menu Apple → Sobre este Mac, veja se o chip é Apple (M1, M2 ou mais novo) ou o processador é Intel.

1. Instale o driver do token

Use a versão para macOS do software da tabela acima. O instalador do fabricante pede a senha de administrador do Mac. Em Mac com chip Apple, o driver precisa ter versão para Apple Silicon ou universal: o Agent para Apple Silicon não carrega bibliotecas feitas só para Intel.

2. Baixe e confira o arquivo

Baixe o arquivo do seu tipo de Mac. Antes de instalar, compare o código SHA-256 com o publicado aqui. Abra o Terminal (Command + Espaço, digite Terminal) e rode o comando da sua versão:

Baixar para Apple Silicon · SutramSigningAgent-0.1.3-macos-aarch64.dmg

Terminal · Apple Silicon 
shasum -a 256 ~/Downloads/SutramSigningAgent-0.1.3-macos-aarch64.dmg

SHA-256 · Apple Silicon

d62bf456762623f51ccb2abc26e5d994b8b94e46d58795cd07349e0e9ce89d04

Baixar para Intel · SutramSigningAgent-0.1.3-macos-x86_64.dmg

Terminal · Intel 
shasum -a 256 ~/Downloads/SutramSigningAgent-0.1.3-macos-x86_64.dmg

SHA-256 · Intel

80be76c4ed4dc344235672d8678f6b4fec9d666f7f752e74cc83ce5ba1278763

Se o valor for diferente, não instale: apague o arquivo e baixe de novo. Se continuar diferente, fale com o suporte. SHA256SUMS.txt →

3. Instale

  1. 1

    Abra o arquivo .dmg baixado e arraste o Sutram Signing Agent para a pasta Aplicativos.

  2. 2

    Abra o app uma vez pela pasta Aplicativos. O macOS bloqueia a abertura porque o app ainda não é assinado: feche o aviso, sem mover o app para o Lixo.

  3. 3

    Vá em Ajustes do Sistema → Privacidade e Segurança, role até o fim e clique em Abrir assim mesmo. Confirme com a senha do Mac ou o Touch ID.

A partir do macOS 15 esse é o único caminho: o antigo atalho de abrir pelo menu de contexto com a tecla Control não funciona mais.

Pronto: o Sutram Signing Agent fica na pasta Aplicativos.

Assine pela primeira vez

  1. 1

    Com o token conectado, abra o Sutram Signing Agent (menu Iniciar no Windows, pasta Aplicativos no macOS). O bloco “Nesta máquina” mostra os drivers e tokens encontrados.

  2. 2

    No Sutram, abra o menu do arquivo, escolha Assinar digitalmente e selecione Token ou cartão (A3).

  3. 3

    O navegador pergunta se pode abrir o Sutram Signing Agent. Marque “Sempre permitir” e confirme.

  4. 4

    Confira o documento, o projeto e o usuário na janela do Agent — é a sua garantia de que está assinando o que pediu.

  5. 5

    Escolha o certificado, digite o PIN do token e clique em Assinar. Volte ao navegador: o Sutram já mostra a assinatura.

Se aparecer “Confirmar servidor”

O endereço do Sutram não está na lista conhecida do Agent — típico de instalação da própria empresa. Continue apenas se reconhece o endereço mostrado; se não reconhece, cancele e avise a TI.

Atualizações

O Agent verifica se há versão nova ao abrir e mostra o botão Atualizar agora. A atualização é baixada pelo próprio Agent e só é instalada se a assinatura interna do Sutram conferir; por isso o aviso de segurança do sistema normalmente não se repete depois da primeira instalação.

Problemas comuns

O que acontece Por quê O que fazer
Clico em assinar no Sutram e nada abre O Agent não está instalado, ou o navegador não tem permissão para abri-lo Instale o Agent pelos passos do seu sistema; se já instalou, abra o Agent uma vez e tente de novo, aceitando a pergunta do navegador
“Nenhum token ou cartão conectado” Token fora, cartão sem contato ou driver ausente Reconecte o token em outra porta USB, sem hub, e confirme no gerenciador do fabricante
“Módulo PKCS#11 não encontrado” Driver não instalado, ou instalado em caminho fora do padrão Instale o driver do token; se ele está em local incomum, a TI aponta o caminho no agent.toml
O certificado aparece no Windows, mas não no Agent O certificado está na loja do Windows; o Agent fala direto com o token Instale o software do fabricante — só a loja do Windows não basta
“PIN incorreto” O PIN do token é diferente da senha do computador Tente com calma: o token bloqueia depois de poucas tentativas. O Agent avisa quando é a última
“PIN bloqueado” Tentativas esgotadas O desbloqueio é feito pelo software do fabricante, com o PUK; sem o PUK, é com a Autoridade Certificadora
“O token foi removido durante a operação” O token saiu ou a porta USB desligou Reconecte e assine de novo; evite hub USB e portas de monitor ou teclado
“Falha de rede” Sem internet, ou proxy e firewall bloqueando Confira a conexão; em rede corporativa, veja a seção para a TI
O antivírus apagou o instalador Programa novo e ainda não assinado Não desative o antivírus: peça à TI para liberar pelo SHA-256 publicado nesta página
Funciona no meu computador, não no ambiente remoto (RDP ou Citrix) O token precisa ser redirecionado para a sessão remota Com a TI: ative o redirecionamento de smartcard e instale o driver dentro da sessão

Log para o suporte

Se precisar abrir um chamado, anexe o arquivo de log. Ele registra o que o Agent fez — drivers encontrados, servidor, documento, certificado e o erro — e não contém o seu PIN nem o conteúdo do documento. Em qualquer sistema, o caminho do log aparece na janela do Agent, na tela inicial e embaixo de qualquer mensagem de erro.

Caminho do arquivo de log no Windows

%APPDATA%\Sutram Signing Agent\logs\agent.log

Para abrir a pasta no Windows: tecla Windows + R, cole o caminho e dê Enter.

Ferramenta de diagnóstico (Windows)

Uma ferramenta de linha de comando que lista os drivers encontrados, os tokens conectados e os certificados, em texto que você copia e cola no chamado. Não pede PIN e não envia nada para fora da máquina.

Baixar a ferramenta de diagnóstico →

No PowerShell, na pasta onde salvou:

PowerShell 
.\sutram-sign-0.1.3-windows-x64.exe doctor

Para a TI (Windows)

Instalação silenciosa
O instalador é NSIS e roda no contexto do usuário; /D=C:\caminho muda o destino e precisa ser o último argumento. Distribua por Intune ou SCCM no contexto do usuário.
WebView2
O instalador baixa o runtime da Microsoft se faltar. Em rede fechada, instale antes o WebView2 Evergreen pelo instalador offline da Microsoft.
Antivírus e EDR
Libere pelo SHA-256 publicado a cada versão. O executável instalado fica em %LOCALAPPDATA%\Sutram Signing Agent\sutram-signing-agent.exe.
Rede
O Agent fala HTTPS com o servidor Sutram da organização e com sutram.io, para verificar atualizações. O proxy usado é o do sistema.
PowerShell 
.\SutramSigningAgent-0.1.3-windows-x64-setup.exe /S

Configuração por usuário

Para evitar a tela “Confirmar servidor” em instalações próprias, e para apontar drivers em caminhos fora do padrão, use o arquivo agent.toml:

Caminho do arquivo de configuração

%APPDATA%\Sutram Signing Agent\agent.toml
agent.toml 
allowed_origins = ["https://sutram.minhaempresa.com.br"]
pkcs11_modules = ["C:\\Program Files\\Fabricante\\pkcs11.dll"]

Precisa de ajuda?

Mande a mensagem exata da tela, o sistema (Windows ou macOS), a versão do Agent, o modelo do token, a Autoridade Certificadora e o arquivo de log.

Falar com o suporte