Visto não é assinatura
Antes da escada, uma linha que a carteira não cruza: dar visto e assinar são atos diferentes, e o produto nunca chama um pelo nome do outro.
O visto é ciência. Ele diz "eu vi" — e só isso. Quem dá visto num comunicado não concordou com nada, não se obrigou a nada; declarou que o texto passou pelos seus olhos, e a hora disso ficou registrada. É o que um chefe faz num memorando, o que um funcionário faz numa circular.
A assinatura é vontade. Ela diz "eu concordo, e me obrigo". É o que se faz num contrato, num termo, num recibo. E é por isso que a assinatura tem metal — Bronze, Prata, Ouro — e o visto não: metal é a medida do quanto a carteira se certificou de quem estava declarando vontade. Ciência não precisa dessa medida; vontade precisa.
Por que a carteira é tão rígida nisso: chamar visto de assinatura seria fraude nossa. Alguém que só declarou ter lido apareceria no cofre como signatário — e um dia, numa disputa, um documento com "3 assinaturas" teria, na verdade, três pessoas que apenas abriram o arquivo. O metal existe para que "assinou" signifique sempre a mesma coisa.
As quatro alturas
A escada tem três degraus de metal — e um chão. O chão é o Visto, nível zero: ele não entra no cofre, e está aqui porque é a régua contra a qual os metais se medem. Cada degrau pede algo a mais de quem assina — e, por isso, prova algo a mais para quem recebe. Nenhum degrau custa nada; o que muda é o rigor.
Visto
Um toque. Declara que você leu — e imprime uma tira com a hora. Não declara vontade sobre o teor, e por isso não tem metal.
provaque você viu, e quando
Assinatura Bronze
Um toque, logado. Vale a sessão dos dispositivos conectados à sua conta. É a assinatura do cotidiano: combinados, autorizações simples, o que hoje se fecha com "ok" no chat.
provaque um dispositivo da sua conta declarou vontade
Assinatura Prata
Um toque mais um código de 6 dígitos, enviado ao canal verificado da conta. Prova, na hora de assinar, que a conta continua sendo sua — e não um dispositivo esquecido logado em algum lugar.
provaque quem assinou controla a conta agora
Assinatura Ouro
O código, mais a identificação legal: nome completo como está no documento, o documento, o endereço. É a assinatura de contrato — a que nomeia uma pessoa, ou uma empresa e quem a representa.
provaquem, juridicamente, se obrigou
Repare no que a escada não faz: ela não pede mais do que o texto precisa. Um combinado de horário não merece CPF; um contrato de prestação de serviço não pode viver de um "ok". O rigor certo é o que a relação exige — e o produto foi desenhado para que pedir demais seja tão estranho quanto pedir de menos.
Quem escolhe o rigor é quem manda
O rigor não é configuração da plataforma nem preferência de quem assina. É decisão de quem envia — e ela vai sob o hash do documento.
Na hora de mandar um X-DOC para assinatura, o remetente responde a uma pergunta só: com que rigor a outra parte assina? A carteira sugere um degrau pelo tipo de documento — comunicado sugere Visto, contrato sugere Ouro —, mas a escolha é de quem manda. E, uma vez escolhida, ela entra no selo: o rigor faz parte do que está lacrado.
A consequência é a que interessa a quem recebe: o pedido não muda no caminho. Se o documento chegou pedindo Ouro, o botão do frame diz "Ler e assinar" e a cerimônia exige a identificação — não há como a outra parte "assinar com um toque" e devolver algo que pareça o que foi pedido. E não há como o remetente alegar depois que pediu mais do que pediu: está no hash.
Por que a identificação mora no dispositivo de quem se identifica, e não no de quem pede: o remetente diz o quanto quer saber; quem assina é dono do que vai dizer. Se o contratante pudesse preencher a identidade da outra parte, ela não seria identidade — seria alegação. A escada separa as duas coisas de propósito: o rigor é de quem manda, os dados são de quem assina.
O cofre — onde mora quem você é
Na home da carteira há uma linha chamada Minhas assinaturas. É o cofre: a página onde as três alturas com metal mostram o que cada uma vale para você — e onde a Ouro guarda as identidades com que você assina.
A tela tem três prateleiras, uma por metal. A do Bronze lista os dispositivos conectados à sua conta — porque é a sessão deles que a Bronze prova; um dispositivo antigo que você não reconhece é o primeiro sinal de que essa altura deixou de ser só sua. A da Prata mostra o canal verificado para onde vai o código, com o endereço mascarado. E a do Ouro é um caderno: as identidades guardadas, cada uma com a bandeira do país, o nome como está no documento e o documento mascarado.
O caderno é assim de propósito. Uma pessoa não tem uma identidade jurídica — tem várias. Quem tem dupla nacionalidade assina como duas pessoas físicas, uma por país. Quem tem empresa assina como pessoa jurídica, com o representante nomeado. Quem representa mais de uma empresa tem uma ficha por CNPJ. O cofre aceita quantas identidades você tiver, e a cerimônia de assinatura pergunta qual — como um caderno de endereços numa compra, em que você escolhe para onde vai a entrega.
E a regra que faz o cofre merecer o nome: ele fica só neste dispositivo. A identificação sai dali em exatamente duas situações — quando você manda um contrato como contratante, ou quando fornece uma assinatura Ouro — e nas duas a tela avisa antes. Fora disso, ninguém lê o seu cofre. Nem a federação. Nem a X-ID.
A ficha da Ouro
A identidade Ouro é um formulário que começa pelo país — porque é o país que decide o resto: qual documento, com que máscara, que palavras a lei de lá usa.
Trinta países com busca e bandeira. Escolhido o país, o formulário fala a língua legal dele: "CPF" aqui, "DNI" ali, "SSN" acolá — e a máscara do documento acompanha. País sem regra conhecida fica livre: máscara errada barraria documento verdadeiro.
Não o apelido, não o nome social da rede — o nome que o documento de identidade traz. É esse que vai para a ata, e é por ele que um terceiro confere quem se obrigou.
No Brasil, CPF e CNPJ têm dígito verificador, e o cofre o confere: número inválido não entra. Nos outros países, a máscara guia e a pessoa responde. O que se guarda é o que você digitou; o que viaja no ato é mascarado.
Rua, número, complemento, cidade — com "sem número" escrito do jeito de cada país. Nos Estados Unidos, cidade e estado; no Brasil, o CEP preenche o resto. O endereço é o que faz um contrato ser exequível: é para onde se manda a notificação.
A data de nascimento entra por dois motivos, e nenhum deles é curiosidade: ela prova capacidade (menor de 18 é avisado, não bloqueado — há atos que menor pratica) e desfaz o homônimo. Dois João Silva com a mesma data são raros; com CPF diferente, impossível.
O cofre não pergunta gênero: não qualifica juridicamente ninguém, e a lei de proteção de dados manda coletar só o necessário. Estado civil é opcional, e só para pessoa física — a maioria dos contratos não o usa. Menos campo é menos dado seu circulando.
Para pessoa jurídica, a ficha muda de forma: razão social, CNPJ, endereço da sede — e o representante, com o cargo. A ata sai como um cartório escreveria: "a Empresa Tal, por sua administradora Fulana, assinou…". E a marca nunca usa o rosto da pessoa: o cofre da pessoa jurídica é da pessoa jurídica.
O que a assinatura imprime
Toda assinatura imprime uma tira: a ata do ato, em terceira pessoa e no passado, como um escrevente anota o que se passou diante dele.
em 4 de setembro de 2026, às 10h31
Às 9h14 de 4 de setembro de 2026, Pedro Yamada mandou para assinatura o documento "Contrato de prestação de serviço — Editor de Video", dizendo: "Segue para assinatura. Prazo até sexta.". Uma hora e dezessete minutos depois, às 10 e 31, Marina Sá assinou o contrato com rigor Ouro.
selo da ata #7f3a…c91e · Safari · iOS · despachado
A terceira pessoa não é estilo, é jurisdição. "Você assinou" é o aplicativo falando com você; "Marina Sá assinou às 10h31" é um registro que serve a qualquer leitor — inclusive a um terceiro que não estava lá e precisa decidir quem tem razão. A primeira frase é interface. A segunda é prova.
E a prova tem três camadas, cada uma cobrindo a falha da anterior. O hash do documento garante que o teor assinado é exatamente aquele — mude uma vírgula e o selo não confere. A chave do dispositivo endossa a assinatura: um par criptográfico que só aquele dispositivo tem, amarrado ao seu .id, transforma "Marina assinou" num fato que um terceiro verifica sem confiar em ninguém. E a tira é perpétua: não se apaga nem se reescreve; um ato novo se registra por cima, com hora nova — nunca no lugar do anterior.
Por que a tira não some quando você remove o documento do cofre: remover é limpeza local — tira o teor do seu dispositivo, e só. O ato de ter assinado é fato passado, e a tira dele continua onde estava, na conversa e na fita da outra parte. Um registro que desaparecesse quando uma das partes quisesse não seria registro.
Uma vez só
O mesmo documento se assina uma vez. Se você tem a carteira em dois dispositivos e abre o frame nos dois, um só assina — e o segundo fica sabendo.
É o inverso do padrão de mercado, em que o último toque ganha e o trabalho anterior desaparece sem aviso. Aqui a primeira decisão é a decisão: o segundo dispositivo recebe uma recusa que diz qual dispositivo agiu, a que hora e com que teor. Você descobre o que já foi dito em seu nome — em vez de descobrir que perdeu.
E a assinatura só se registra quando sai do dispositivo — não no toque. Entre o toque e a saída há a janela de arrependimento, em que nada foi dito a ninguém; registrar no toque carimbaria uma decisão que ainda era sua e reversível. Se o envio falhar, o frame volta para a fila e a luz pisca — o oposto de sumir da tela e deixar você achando que assinou.
O que ela não faz
Um produto que trata de assinatura tem de ser exato sobre o que ela não faz — porque quem confia no que não existe corre risco de verdade. Três limites, ditos sem rodeio.
- Ela não prova que o teor é verdade. A assinatura prova que aquela pessoa declarou vontade sobre aquele texto exato, naquela hora. Se o texto mente, a assinatura prova que alguém assinou uma mentira — o que, aliás, é exatamente o que um juiz precisa saber.
- Ela não substitui o certificado que a lei exige onde a lei o exige. Cada país tem a sua escada legal. No Brasil — e os exemplos aqui são do direito brasileiro —, a Lei 14.063/2020 distingue assinatura eletrônica simples, avançada e qualificada; a qualificada exige certificado emitido no padrão ICP-Brasil, e há atos que só a aceitam. A escada da carteira foi desenhada para conversar com essa distinção: Bronze e Prata operam no terreno da simples; a Ouro, com identificação e chave do dispositivo, no da avançada. O degrau qualificado é o que ainda falta — e é dele que trata a última seção.
- Ela não valida a identidade contra um terceiro. A Ouro guarda o que você declarou, com a matemática que dá para conferir (dígito verificador, máscara). Ela não consulta a Receita, não bate foto com documento, não pede selfie. É honesta sobre isso: o que prova é que quem controla esta conta e este dispositivo declarou esta identidade, sob este hash. Para a maioria dos contratos entre pessoas que já se conhecem, é mais do que qualquer "ok" no chat jamais deu.
Por que o cofre é seu
Aqui a conversa deixa de ser sobre botões e passa a ser sobre quem manda nos seus dados.
Pense em como funciona um serviço de assinatura tradicional. Você cria uma conta, preenche o seu nome e o seu documento, e a partir dali cada contrato que você assina fica no servidor deles, ao lado da sua identidade, indexado, pesquisável — por eles. A prova de que você assinou depende de o serviço existir, de o servidor responder, de a empresa não ter sido vendida, hackeada ou fechada. E cada envelope tem preço.
Na carteira, a lógica se inverte. A sua identidade está no seu dispositivo; a plataforma nunca a vê — o servidor conhece o hash e a chave, nunca o CPF. O contrato assinado fica na sua conversa e na do outro lado, cada um com a sua cópia, cada uma conferível sozinha. A prova não morre com a empresa: mesmo que a federação inteira desaparecesse amanhã, a tira que você tem, com o hash e a chave, continuaria provando o que provava. E nenhum degrau cobra nada por envelope.
Isso tem um nome, e vale dizê-lo sem cerimônia: SOBERANIA. Não como slogan — como arquitetura. Quem assina um contrato deveria ser o dono da prova de que assinou. Durante vinte anos isso foi impossível na internet, porque a prova precisava morar num intermediário confiável. A corrente, o hash e a chave do dispositivo tornaram o intermediário desnecessário — e a carteira foi construída para tirar proveito disso, não para fingir que ele ainda é preciso.
O que muda para uma empresa: o cofre da pessoa jurídica funciona igual — no dispositivo de quem representa a empresa, com o representante nomeado na ata. Uma firma pequena que hoje paga por envelope, imprime, assina e escaneia passa a fechar contrato dentro da conversa em que negociou, com prova melhor do que a que tinha — e sem entregar a base de clientes a um terceiro no caminho.
O degrau que ainda não existe
A escada tem três metais hoje. O vocabulário do produto já tem lugar para um quarto — e ele aparece em cinza, do jeito que a carteira mostra tudo que ainda está por ganhar.
Assinatura Diamante
A Ouro prova quem declarou ser. O Diamante provará quem é — a identidade verificada por um terceiro habilitado, com certificado emitido no padrão que a lei de cada país reconhece como qualificado. É o degrau que hoje exige ir a uma certificadora, pagar, esperar; e é para lá que o projeto caminha: com a evolução da federação, a X-ID tende a se tornar ela mesma uma certificadora digital — e o cofre que você já tem passa a guardar também esse certificado.
Nenhuma data, nenhuma promessa de prazo. O que fica registrado aqui é a direção: a escada foi desenhada com o quarto degrau em mente, e cada assinatura Ouro que você guardar hoje é a base sobre a qual ele será colocado. Quando a medalha ganhar cor, você vai saber — pela fita, como tudo o mais.
O que você leva deste capítulo
Três frases, e elas bastam.
- Um chão e três metais, um rigor certo para cada texto. Visto é ciência, nível zero; Bronze, Prata e Ouro são vontade, em graus crescentes de certeza sobre quem declarou. Quem manda escolhe, e a escolha vai sob o hash.
- O cofre é seu — literalmente. Nome, documento e endereço moram no seu dispositivo, saem só quando você manda e nunca são lidos pela plataforma. Quantas identidades você tiver, pessoa física ou jurídica.
- A prova não depende de ninguém continuar existindo. Hash, chave do dispositivo e tira perpétua: cada assinatura se confere sozinha, no seu dispositivo, para sempre — e não custa nada por envelope.