Assinatura eletrônica de documentos no Brasil. API REST, SDKs oficiais em nove linguagens e integrações prontas — com verificação por e-mail, WhatsApp, biometria facial com documento de identidade e prova de vida, ou certificado digital ICP-Brasil (A1/A3), trilha de atividades e verificação pública de documentos assinados.

Brazilian e-signature platform with facial biometrics, identity-document verification, liveness checks and ICP-Brasil digital certificates. REST API, official SDKs in nine languages and ready-made integrations. English version.

Site · Documentação da API · Sandbox

Todos autenticam por chave de API (X-Api-Key, recomendado para back-end), token bearer ou OAuth 2.1, e trazem paginação, tratamento de erros tipado e verificação de assinatura de webhook.

Definidos por signatário em signers[].verification_method ao criar o assignment ou atribuir os papéis de um template:

A notificação por WhatsApp está disponível apenas em planos pagos. O custo da biometria depende da conta e da assinatura contratada; consulte a estimativa antes do envio.

Cada solicitação de assinatura usa um documento da franquia do plano; quando a franquia acaba, o documento extra custa 1 crédito.

O método de verificação e o de notificação são acoplados: envie um, os dois ou nenhum — o lado que faltar é inferido. Sem nenhum dos dois, ambos assumem Email. signers[].notification_methods aceita exatamente um canal por signatário, em um array com um elemento, conforme a tabela; combinações incompatíveis retornam 400.

IdDocumentFaceMatchBasic exige o recurso ID Document + Face Match habilitado na conta e um CPF válido em government_id do signatário. O signatário dá consentimento explícito para o tratamento biométrico e conclui a captura de documento, foto e prova de vida no fluxo hospedado pela Assinafy.

Para integrar uma experiência própria, GET /v1/signers/identity-verification informa o estado e can_start; POST na mesma rota, com {"consent": true}, inicia a sessão e devolve a URL de captura. Ambas usam signer-access-code. Abra a URL completa, incluindo o fragmento, sem registrá-la em logs nem armazená-la no navegador. Inicie a sessão somente após o consentimento e quando can_start for verdadeiro.

Quando a verificação fica InReview, o signatário pode confirmar os dados e assinar enquanto a conta analisa a identidade. Depois de todas as assinaturas, pending_identity_review indica que a certificação aguarda a aprovação de todas as revisões. A conta consulta a revisão em GET /v1/documents/{documentId}/assignments/{assignmentId}/signers/{signerId}/identity-verification e decide com POST na mesma rota acrescida de /review, usando decision: Approved ou Rejected. As imagens de evidência só ficam disponíveis durante a revisão. Uma rejeição cancela o documento e notifica signatários e destinatários de cópia.

DigitalCertificate exige o recurso Certificado Digital (planos Standard e Pro), CPF ou CNPJ em government_id, e que o signatário esteja sozinho no seu passo de assinatura. Um CPF exige o certificado daquela pessoa (e-CPF, ou e-CNPJ que a nomeie como representante legal); um CNPJ exige um e-CNPJ da empresa.

A assinatura é concluída no fluxo hospedado pela Assinafy, com a extensão Web PKI e o certificado no dispositivo do signatário. O handshake de certificado usa rotas internas, fora do contrato OpenAPI público; o endpoint comum de assinatura não substitui esse fluxo.

• GET /v1/documents/{id}/activities — todos os eventos registrados do documento, cada um com um snapshot do payload do evento e a origin da requisição (ip, user-agent).
• Artefatos em GET /v1/documents/{id}/download/{artifactName}: original, certificated, certificate-page, pades e bundle (zip com todos). O artefato pades — assinaturas ICP-Brasil dos signatários mais a caixa de certificação da plataforma — existe apenas em documentos que tiveram signatários por certificado digital.
• Verificação pública — GET /v1/documents/{documentSignatureHash}/verify confere um documento assinado pelo hash da assinatura, sem autenticação.

Produção: https://api.assinafy.com.br · Sandbox: https://sandbox.assinafy.com.br

Cada conta registra 1 endpoint de webhook, ou até 3 nos planos pagos, cada um com URL, lista de eventos e assinatura próprias. Com signing_enabled, as entregas seguem o padrão Standard Webhooks: cabeçalhos webhook-id, webhook-timestamp e webhook-signature (HMAC-SHA256 com o segredo whsec_ do endpoint, que pode ser rotacionado).

Acompanhe a identidade com signer_identity_verified, signer_identity_verification_failed, signer_identity_review_required, signer_identity_review_approved e signer_identity_review_rejected. Para baixar os arquivos finais, aguarde document_ready e o status certificated; todas as assinaturas presentes ainda podem deixar o documento aguardando revisão de identidade.

Antes de disparar as assinaturas, POST /v1/documents/{id}/assignments/estimate-cost devolve o custo em créditos com o detalhamento por item — documento extra, notificação por WhatsApp, assinatura por certificado digital e verificação biométrica. Há o equivalente para templates em POST /v1/accounts/{accountId}/templates/{templateId}/documents/estimate-cost. As duas estimativas aceitam IdDocumentFaceMatchBasic; a tarifa biométrica é cobrada por signatário na criação do assignment, além da notificação. As estimativas não reservam créditos.

Assinafy is a Brazilian e-signature platform. A REST API, official SDKs in nine languages (TypeScript, Python, Go, Java, .NET, PHP, Ruby, Rust, Object Pascal) and mobile SDKs for Android and iOS.

Signer identity is verified by email OTP, WhatsApp OTP, identity-document verification with facial matching and liveness, or the signer's own ICP-Brasil A1/A3 digital certificate via the Web PKI browser extension. Digital certificates produce a qualified PAdES signature and each certificate signer must be alone in their signing step.

Biometrics use IdDocumentFaceMatchBasic when assigning signers to documents or template roles. The account needs the ID Document + Face Match feature, and the signer needs a valid CPF in government_id. The signer explicitly consents to biometric processing and completes document photos, a photo holding the document and a liveness check in Assinafy's hosted flow.

For a custom signing experience, GET /v1/signers/identity-verification returns the status and can_start; POST to the same path with {"consent": true} starts a session after consent. Both use the signer access code. Open the returned capture URL unchanged, including its fragment; never log it or store it in the browser. Start only when can_start is true.

Each signer has exactly one notification channel: Email verification uses Email, Whatsapp uses Whatsapp, and certificates and biometrics allow either. WhatsApp notifications require a paid plan. Biometrics carry a per-signer fee in addition to the notification, charged when the assignment is created. Estimate the account's cost before sending with POST /v1/documents/{id}/assignments/estimate-cost or POST /v1/accounts/{accountId}/templates/{templateId}/documents/estimate-cost.

During InReview, signers can continue signing while the account reviews their identity. Once everyone has signed, pending_identity_review holds certification until every review is approved. The account reads the review at GET /v1/documents/{documentId}/assignments/{assignmentId}/signers/{signerId}/identity-verification and posts decision: Approved or Rejected to the same path with /review appended. Evidence images are available only while the review is open. Rejecting a review cancels the document and notifies signers and copy recipients.

Identity webhooks report verification success or failure and reviews required, approved or rejected. Wait for document_ready and certificated before downloading final files. Documents have an activity trail with event payloads and request origins, downloadable signed and certification-page PDFs, and public hash-based verification. The pades artifact is available only for documents signed with digital certificates.

Authenticate with an X-Api-Key header (recommended for back-ends), a bearer JWT, or OAuth 2.1 with PKCE for apps and AI assistants acting in another user's workspace. Webhooks support up to 3 endpoints on paid plans, with Standard Webhooks signatures. A free sandbox at https://sandbox.assinafy.com.br supports integration testing. Certificate signing is completed in Assinafy's hosted flow; its internal handshake is outside the public OpenAPI contract.

Start with the API documentation.

Os SDKs oficiais são distribuídos sob a licença MIT. Consulte a licença de cada integração no respectivo repositório; o plugin WordPress usa GPL-2.0-or-later.