Registrar é sempre lacrar
Não existe "documento aberto" e "documento lacrado" como dois tipos de papel. Todo X-DOC nasce lacrado — selado, imutável. O que muda é o que você pede quando manda ele para alguém.
São três pedidos possíveis, e por isso três portas no botão + da conversa. A porta escolhe o pedido; o documento é o mesmo.
O X-DOC é texto anexado ao recado — mesmo envelope, mesmo sigilo. Só o seu dispositivo e o da outra parte leem o que está escrito; os nós da federação carregam um pacote que não conseguem abrir.
O hash é um número curto calculado a partir do texto — mude uma vírgula e ele vira outro, e dele não se volta ao texto. Ele não revela uma palavra do teor, mas prova que aquele teor é aquele. Por isso um terceiro — um juízo, um auditor, quem nunca viu o documento — confere sem ler.
Sigilo e prova costumam ser troca; aqui não são. É essa a diferença entre lacrar um documento e publicá-lo: guardar segredo normalmente custa a capacidade de provar, e mostrar para provar custa o segredo. O selo desfaz o dilema — ele é a prova do teor sem o teor.
A circulação é P2P
Um X-DOC é comunicação privada: não vai para mural nenhum, não entra em lista pública, e ninguém navega documento alheio. Ele circula de aparelho a aparelho — de uma pessoa para outra, dentro do recado, cifrado de ponta a ponta, como uma transação entre duas carteiras. Cada cópia fica guardada no aparelho de quem recebeu e confere sozinha. E é um objeto não-fungível: cada documento tem identidade própria e uma corrente de revisões que só a ele pertence.
o documento vai de aparelho a aparelho · o nó carrega
O que cada porta faz com a corrente
Aqui está a diferença entre um X-DOC e um token que muda de dono. Mandar um documento não tira ele de você — e cada uma das três portas trata a corrente de um jeito.
mandar não é transferir · o documento continua seu
Por que não chamamos isso de token. Um token muda de dono: sai de um, chega no outro. Aqui, mandar para leitura deixa o documento nos dois lados, e a semente abre um livro novo sem apagar o antigo. É cópia com procedência, não transferência de posse — e é o que permite o mesmo documento existir em várias carteiras sem que ninguém precise perguntar a um registro público quem é o dono.
O extrato do documento
Como todo objeto da carteira, o X-DOC tem movimentos — e eles se leem como um extrato. Cada linha é um ato que aconteceu com aquele documento, com hora e autor; o selo fica no pé, onde sempre esteve.
o mesmo documento · a linha do que aconteceu com ele
Chega para leitura e prova. Você lê, confere o selo e guarda. Não pede assinatura, não pede edição — e não vira revisão sua: a corrente continua sendo de quem a lavrou.
ler o tópico → aberto Para editar semeia uma corrente suaA pessoa manda uma versão como semente: uma cópia selada que abre um livro novo na sua carteira. Dali em diante as versões são suas, sob o seu selo — e a corrente de quem mandou segue intacta, em paralelo.
ler o tópico → assinatura Para assinar pede a sua vontade sobre o teorO envio pede a assinatura da outra parte, num dos quatro rigores. O consenso não está em corrente nenhuma: está nas duas assinaturas sobre o mesmo selo. É ali que o documento vira transação.
ler o tópico →Os três pedidos acima supõem um autor no papel. Quando ele não pode estar, o documento continua tendo selo, hora e conferência — e não compromete quem escreveu. Não é uma quarta operação: é a quarta caixa, onde a carteira recolhe o que você registrou anonimamente e o que chegou até você para seguir adiante.
ler o tópico →As caixas da carteira
Como existem três pedidos no envio, existem três caixas na sua carteira — uma por operação —, mais uma quarta, de exceção, para os anônimos. Elas ficam na lista principal, ao lado das suas conversas, e aparecem mesmo vazias, dizendo o que cai ali.
Elas não são pessoas. Onde a lista mostra o disco redondo de um membro ou a placa quadrada de uma marca, a caixa de X-DOC mostra a folha de papel inteira, sem moldura — é assim que se lê, num relance, que aquela linha é do sistema e não de alguém.
- X-DOC abertos — as sementes que chegaram para você editar, e as correntes que você já começou a partir delas.
- X-DOC lacrados — o que chegou só para leitura. Abre direto na folha: sem convite para editar, não há escolha a fazer.
- X-DOC assinados — o que pede ou pediu a sua assinatura, inclusive o que ainda falta. O resumo conta: "4 documentos · 1 aguardando você".
- X-DOC anônimos — a caixa de exceção: o que você registrou sem autor no selo e o que chegou até você para ser encaminhado, juntos. Não é um quarto pedido do envio — é onde a carteira guarda o que não tem autor no papel.
Estado muda, e a caixa acompanha: um documento que chegou para leitura e depois passa a pedir assinatura troca de caixa. Por isso o endereço estável de um documento nunca é a caixa — é a corrente. A caixa é uma vista organizada por o que se espera de você, do mesmo jeito que a fita organiza por o que falta decidir.
A semente: por que ninguém escreve no livro de ninguém
Quando alguém manda um documento para você editar, a sua cópia não continua a corrente dela. Ela abre uma corrente sua, e a ligação entre as duas fica registrada sob o hash.
Parece um detalhe técnico e é a decisão central do produto. A alternativa — uma corrente única que passa de mão em mão — exigiria que, a cada instante, exatamente uma pessoa tivesse permissão de escrever, e que todos os aparelhos concordassem sobre quem é essa pessoa. Sem servidor no meio, dois aparelhos offline lavrariam a versão seguinte ao mesmo tempo, e o livro passaria a afirmar duas coisas incompatíveis.
O cartório resolveu isso há séculos, e não foi com trava: cada escrevente tem o seu livro. Livro novo se abre com o traslado do anterior, e o vínculo entre livros é uma averbação cruzada. Ninguém precisa negar a escrita de ninguém, porque ninguém escreve no livro de ninguém.
Daí três consequências que você vê na tela. Quem mandou não para de trabalhar enquanto você escreve — a corrente dela segue. A numeração é de quem escreve: a sua versão 2 é o segundo ato seu, não a segunda versão de um documento que quatro mãos fizeram. E o prazo combinado é meta de trabalho, não fechadura: vencido, ele não devolve nada sozinho — apenas fica registrado que veio depois do combinado.
O que o selo prova — e o que não prova
O selo é um hash: uma impressão digital do teor. Trocar uma vírgula muda o hash inteiro. Com ele, qualquer pessoa confere no próprio aparelho se o texto que tem em mãos é o mesmo que foi registrado.
O selo prova integridade (este teor não mudou), anterioridade (existia nesta hora) e ancestralidade (esta versão continua aquela). A assinatura é outra coisa: prova vontade sobre o teor. Documento selado e não assinado é texto datado com autoria — o que já é muito, e não é um acordo.
E há um limite que vale dizer com franqueza: a corrente se prova para trás. De qualquer versão você chega até a primeira. O contrário não: quem registrou um documento não consegue enumerar as cópias que dele nasceram na rede — só sabe das que alguém lhe contar.
A confiança sai do balcão e vai para a matemática
Num cartório, o que garante um documento é a fé pública de um oficial: você confia porque o Estado delegou àquela pessoa o poder de afirmar. No X-DOC o que garante é SHA-256 — a mesma função criptográfica que sustenta o Bitcoin. A diferença prática é esta: a prova não pede que você confie em nós; ela pede que você confira.
E conferir não depende de ninguém. Qualquer pessoa recalcula o selo do teor que tem em mãos, no próprio aparelho, offline, com qualquer ferramenta — sem carteira, sem conta na X-ID, sem pedir permissão. Se o resultado bate, o texto é o mesmo que foi registrado; se não bate, a corrente aponta exatamente onde parou de conferir.
E nós não somos consultados nessa conta, de propósito: um sistema em que só o fabricante sabe verificar não prova nada, apenas promete.
- Integridade. O teor não mudou desde o selo — e isso se verifica sem intermediário, para sempre, mesmo que a X-ID deixe de existir.
- Ancestralidade. Cada versão carrega o hash da anterior; cada semente carrega o hash do elo que a originou. A linhagem se prova, não se alega.
- Autoria do ato. Cada elo é assinado por quem o lavrou. Não existe registro sem autor.
- Independência do canal. O selo nasce no aparelho, sem rede. Ler, registrar e conferir funcionam offline.
- Identidade. O selo prova que uma chave lavrou aquilo. Que a chave é de Bia Duarte é atestado da federação — isso é confiança, não cálculo.
- Hora exata. O carimbo vem do relógio do aparelho. Sem âncora externa, "quando" é declaração; o que a corrente prova com rigor é a ordem entre as versões.
- Ordem global. Não há consenso distribuído: ninguém mais valida, não existe livro replicado. É o preço de funcionar offline — e por isso a corrente prova ancestralidade, não uma fila única do mundo.
- Fé pública. Onde a lei exige escritura ou reconhecimento de firma, o X-DOC não substitui o cartório. Ele prova o teor e o ato; a forma legal continua sendo do Estado.
Por que isso vale a pena para você: o cartório registra atos isolados — você leva um documento pronto e paga por cada carimbo. O X-DOC registra a evolução de um texto e a propagação dele na sua rede: quem escreveu qual versão, de qual cópia nasceu cada ramo, quem leu, quem assinou. Isso não é um serviço de cartório mais barato; é uma coisa que o livro de notas não modela.
E a falsificação, aqui, não é impedida por um guarda — é detectável por qualquer um. Quem alega uma origem falsa produz um hash que não fecha, e um hash que não fecha não fecha na mão de ninguém. É a lógica da averbação cruzada de sempre, com a conferência ao alcance de quem recebeu o papel em vez de trancada num balcão.
As duas vias
Todo mundo aprendeu contrato em papel, e o papel ensinou uma coreografia: eu imprimo duas vias, assino as duas, mando pelo correio; você assina as duas, guarda a sua e devolve a minha. Quando a minha volta, o acordo está de pé.
O modelo está certo sobre o que precisa acontecer no fim — e errado em uma coisa só: achar que a sequência constitui o acordo.
Repare no motivo do vaivém: tinta não se copia. Existe uma folha com a minha assinatura, e para a sua cair na mesma folha, a folha precisa viajar. E por que duas vias? Porque não dá para duplicar o original. As duas cópias e as duas viagens não são exigência jurídica — são imposto cobrado pela física da tinta.
O que juridicamente acontece é mais simples que a coreografia: eu manifesto vontade sobre o teor, você manifesta vontade sobre o mesmo teor, e o contrato vincula quando as duas vontades existem. O papel é o portador desses dois atos, não a causa deles. Um contrato não fica mais assinado porque alguém foi primeiro.
um selo · duas assinaturas · duas vias idênticas
Por que a assinatura não entra no teor. A tentação é encadear: eu assino, isso gera um hash novo, você assina o novo, gera outro. Parece o correio — e quebra.
Repare no fim: eu assinei o primeiro estado, você assinou o segundo, e o documento que sobrou é o terceiro — que ninguém assinou. Pior: a sua assinatura cobriria a minha e a minha não cobriria a sua, e o hash final mudaria conforme quem clicasse antes. Por isso as assinaturas são destacadas, todas sobre o mesmo selo — que é como PAdES, XAdES e a assinatura destacada de PGP resolvem o mesmo problema.
O que o digital elimina é o imposto: as assinaturas acontecem em paralelo, em qualquer ordem, e o acordo fecha quando a última entra. O que ele preserva é a parte que importava no papel — cada parte termina com um objeto completo na mão, que se sustenta sozinho, sem pedir nada a servidor nenhum.
E há um defeito do fluxo serial que o costume esconde: entre eu mandar e você assinar, eu estou preso e você não. É por isso que a oferta de assinatura tem prazo — o prazo é o que devolve simetria a um ato que não é simultâneo.
Quando a assinatura das partes não basta
Há casos em que a lei pede mais do que a vontade das partes sobre o teor — e quase sempre por um motivo bom: proteger quem tem menos poder na relação, ou dar ao documento uma força que ele não teria sozinho. Quais casos, e com que efeito, muda de país para país: os exemplos abaixo são do direito brasileiro. A doutrina vale em qualquer lugar; os artigos, não.
- Duas testemunhas — e o documento muda de natureza. Pelo CPC, art. 784, III, documento particular assinado pelo devedor e por duas testemunhas é título executivo extrajudicial. Sem elas, o credor precisa de ação de conhecimento; com elas, executa direto. É a diferença entre anos e meses — e é a maior mudança que duas assinaturas a mais podem fazer.
- Cláusula de arbitragem em contrato de adesão. A Lei 9.307/96, art. 4º, §2º só dá eficácia à cláusula compromissória se o aderente tomar a iniciativa da arbitragem ou concordar expressamente, em documento anexo ou em negrito, com assinatura ou visto especialmente para essa cláusula. Assinatura geral não cobre: a lei quer o gesto apontado para ali.
- Consentimento do cônjuge. Pelo Código Civil, art. 1.647, III, fiança e aval exigem a anuência do cônjuge, salvo no regime de separação absoluta. É assinatura de quem não é parte no negócio.
- Cláusula que limita direito do consumidor pede destaque, não assinatura. O CDC, art. 54, §4º exige redação em destaque, de compreensão imediata. Virou folclore dizer que precisa de rubrica — não precisa, e prometer o que a lei não pede é tão ruim quanto deixar de cumprir o que ela pede.
- Níveis de assinatura. A MP 2.200-2/2001, art. 10, §2º valida assinatura fora da ICP-Brasil desde que aceita por quem ela é oposta, e a Lei 14.063/2020 classifica em simples, avançada e qualificada. É aí que os quatro rigores do X-DOC se encaixam: rigor não é enfeite, é o nível de prova que aquele ato exige.
E um ritual que o selo aposenta: a rubrica em todas as páginas. Ela nunca foi exigência legal — é costume, e existe para impedir que alguém troque uma folha do meio. Com selo de hash isso é impossível por construção: trocar uma página muda o selo inteiro, e a troca aparece na conferência. É um dos poucos lugares em que o digital não imita o papel — ele torna o gesto desnecessário.
Para que esses reforços sejam declaráveis no documento, e não combinados por fora, o X-DOC ganha três marcações no editor — e elas marcam lugar, nunca conteúdo:
Por que o autor marca o lugar e nunca a assinatura. Se fosse possível digitar a assinatura no texto, o teor passaria a ser onde se declara que alguém assinou — e um documento que pode afirmar sobre si mesmo o que não aconteceu não prova nada. Marcar posição é diagramação; escrever assinatura seria falsificação. Por isso as três marcações são vazias: elas reservam o espaço, e o selo preenche.
Os tokens são em inglês porque o documento não é. :::sign, :::witness e :::initial são a mesma palavra em qualquer idioma da federação — o que muda é o rótulo impresso na folha, que segue a língua do documento. Marcação traduzida quebraria todo X-DOC ao mudar de idioma, e o selo é perpétuo.
O selo é perpétuo
Nada se apaga para consertar o passado. Retomar uma decisão, recusar uma assinatura, devolver um trabalho — tudo isso é ato novo registrado por cima, com hora nova, nunca no lugar do anterior.
Vale até para o que dá errado. Trabalho entregue depois do prazo não é bloqueado: chega marcado como atrasado. Assinatura recusada não desaparece: fica como recusa registrada, porque a recusa também é um ato. Cartório não impede — anota.
Remover um documento do seu cofre tira a sua cópia deste aparelho, e nada mais: quem recebeu continua com a dele, e o selo continua conferindo. Ninguém tem o poder de desfazer um registro na carteira alheia.