Métodos de autenticação de identidade do Adobe Acrobat Sign

Autenticação de identidade

A autenticação da identidade de um recipient é um elemento-chave do sistema do Acrobat Sign para obter uma assinatura legal e melhorar o não repúdio.

No entanto, diferentes objetivos comerciais têm diferentes exigências de autenticação de identidade. Analise os diferentes níveis de certificação de identidade que você exigiria para as transações abaixo:

• Solicitação de licença no trabalho
• Boletim escolar de uma criança
• Registro de evento privado
• Associação a uma academia
• Acesso aos registros médicos
• Documentos em conformidade com CFR 21 parte 11

O Acrobat Sign fornece um conjunto de controles que permite que os tipos de autenticação sejam definidos no nível da conta e do grupo com valores padrão definíveis para simplificar a experiência do remetente e garantir uma melhor conformidade com as políticas de assinatura da empresa.

Tendo em mente que os métodos de autenticação mais robustos inserem mais “atrito” no processo de assinatura, os administradores devem configurar os padrões da conta ou do grupo para oferecer suporte ao requisito de autenticação mais comum. Eles podem escolher uma opção menos complexa sempre que possível e permitir opções editáveis se algumas transações exigem soluções mais complexas.

Terminologia importante

Destinatários internos vs. externos

Os controles de autenticação fazem acomodações específicas para configurar métodos de autenticação para dois tipos de destinatários: interno e externo:

• Destinatários internos incluem cada usuário ativo (conforme identificado pelo endereço de email) na mesma conta do Acrobat Sign da qual o contrato foi enviado
  
  • Uma lista de todos os usuários de sua conta é uma lista de todos os usuários internos
  • Não importa em qual grupo o recipient está, desde que o usuário esteja na mesma estrutura de conta
• Por destinatários externos entende-se todos os endereços de email de destinatários não anexados a um usuário interno
  • Cada endereço de email não incluído em uma lista de usuários no nível da conta é um usuário externo

Delimitar os destinatários desta forma permite que os fluxos de trabalho aproveitem a autenticação de alto nível para destinatários externos ao usar uma autenticação mais econômica para usuários internos.

Métodos de fator único para a autenticação de destinatários

Autenticação do Acrobat Sign

A Autenticação do Acrobat Sign solicita que o recipient autentique no sistema Acrobat Sign.

Este método é usado principalmente como uma opção de contra-assinatura de “baixo atrito” para seus recipients internos quando se tem requisitos de assinatura que exigem um evento registrado e autenticado para cada assinatura.

Os recipients são solicitados a se autenticarem no Acrobat Sign antes de poderem visualizar o conteúdo do contrato:

Para saber mais sobre a Autenticação do Adobe Sign, consulte >

Senha de uso único por email

O método de autenticação de senha de uso único por email (OTPvEm) fornece uma autenticação de fator único, proporcionando alguma proteção com o mínimo de atrito entre usuários.

Como a senha única é entregue ao mesmo endereço de email que o link de assinatura original, o método de autenticação OTPvEm é considerado um método de autenticação de fator único. No entanto, o OTPvEm não exige que os usuários criem uma conta ou façam logon em outro aplicativo. Eles só precisam acessar seus emails, reduzindo o atrito com esse método.

Além disso, o uso da OTPvEm oferece uma segurança adicional que a simples confiança em um link de email não oferece. Por exemplo:

• O acesso a um email não significa que a caixa de email esteja comprometida. A autenticação OTMvEm manterá a segurança do contrato se um link de email for exposto, mas a caixa de email estiver protegida.
  
• Suponha que um email de contrato seja encaminhado incorretamente (em vez de uma delegação adequada). Nesse caso, o desafio do OTPvEm impedirá o acesso ao contrato, preservando a integridade do relatório de auditoria referente ao email do signatário identificado e do próprio signatário.

O recipient deve inserir a senha dentro de 60 segundos após solicitar o código. Depois que o código é inserido com sucesso, o recipient pode acessar o contrato.

Mais detalhes sobre a autenticação Senha de uso único por email podem ser encontrados aqui >

Autenticação de dois fatores (2FA)

O Acrobat Sign é compatível com vários métodos de autenticação de dois fatores para transações de maior valor, que exigem mais do que a verificação de fator único.

O método de autenticação geralmente é ditado pelo tipo de documento ou pelo tipo de negócio das partes envolvidas. Cabe ao administrador entender suas políticas de assinatura interna e possíveis demandas de conformidade.

Segue abaixo, um resumo das opções de autenticação de dois fatores disponíveis com links para descrições mais detalhadas:

Métodos de autenticação de signatários "Premium"

Telefone, KBA, Documento de identidade e Assinaturas digitais com base em nuvem são métodos de autenticação "premium".

Os métodos de autenticação premium são um recurso medido que deve ser comprado antes de ser usado. Entre em contato com o gerente de sucesso ou agente de vendas para obter detalhes.

Limites de cancelamento automático

Todos os métodos de autenticação de dois fatores têm limites configuráveis que cancelam o contrato quando um destinatário falha inúmeras vezes na autenticação.

• O proprietário do contrato (remetente) será notificado quando o contrato for cancelado
  • Somente o remetente é notificado.
  • Os contratos cancelados não podem ser retornados ao status ativo. Um novo contrato deve ser criado.

Verificação de identidade digital

A verificação de identidade digital utiliza um provedor de identidade (IdP) federado que possui uma licença externa para o serviço do Acrobat Sign e deve ser configurada antes de poder ser usada na criação de contratos.

Detalhes completos sobre a solução de identidade digital podem ser encontrados aqui >

Os detalhes da experiência do destinatário variam de acordo com o provedor de identidade usado pelo remetente. Em um alto nível, o destinatário é informado de que a verificação de identidade deve ser resolvida por meio de um IdP federado, e um botão Verificar identidade é disponibilizado para acionar o processo de verificação.

Como os remetentes selecionam um método de autenticação

Quando estão configurando um contrato, os remetentes podem selecionar um método de autenticação em um menu suspenso à direita do endereço de email do destinatário.

A maioria dos métodos de autenticação podem ser configurados como o valor padrão selecionado para simplificar o processo de envio. Apenas as opções de Identidade digital não podem ser configuradas como um valor de autenticação padrão.

A experiência do recipient

Quando um contrato precisa da atenção do recipient, normalmente ele recebe um aviso por email primeiro.

• Se o contrato for enviado sem autenticação (Nenhum), clicar em Revisar e assinar no email abre o contrato para visualização e edição.
• Se o contrato tiver um método de autenticação adicional configurado, clicar em Revisar e assinar no email abre a página de confirmação de autenticação.
  • Quando a confirmação for concluída, o contrato será aberto para visualização e ação.
    

Eventos do relatório de auditoria

Cada método de autenticação de dois fatores tem uma mensagem explícita de sucesso que identifica o método usado.

Se nenhuma autenticação for selecionada (Nenhum), o relatório de auditoria indica apenas que o documento foi assinado:

Opções e padrões configuráveis

Controles do administrador

As configurações no nível da conta podem ser acessadas fazendo logon como um administrador de nível de conta do Adobe Sign e navegando até Configurações da conta > Configurações de envio > Opções de identificação do signatário

Todos os controles também podem ser configurados no nível de grupo. Lembre-se de que:

• Todos os grupos herdam as configurações do nível de conta por padrão.
• As configurações em nível de grupo substituem as configurações em nível de conta.
• Todas as opções disponíveis na página Enviar são derivadas das configurações do grupo do qual o contrato está sendo enviado.

Os controles são divididos em duas seções:

• Opções de identificação do signatário - O conjunto principal de configurações de autenticação de identidade. Esses valores são aplicados a todos os destinatários de todos os contratos criados no grupo de envio com as seguintes exceções:
  • Processos baseados em API, que podem restringir as opções do remetente (integrações, fluxos de trabalho, aplicativos personalizados).
    
  • Quando a opção Habilitar diferentes métodos de autenticação de identidade para destinatários internos estiver ativada (veja abaixo).
    
• Identificar autenticação para destinatários internos - este subconjunto de configurações permite que o grupo defina um conjunto diferente de métodos de autenticação de identidade para destinatários internos. Os benefícios oferecidos são:
  • Menos frustração para signatários internos.
  • Um processo menos complexo de assinatura acelera a assinatura dos destinatários que podem ter que contra-assinar muitos contratos.
  • Os custos da autenticação premium podem ser evitados para destinatários internos.

Métodos de autenticação de identidade

Os principais controles de autenticação:

• Exigir que remetentes especifiquem um dos métodos de autenticação habilitados: quando habilitado, remetentes devem selecionar um método de autenticação diferente de Nenhum como o método padrão. O método “Nenhum” não poderá ser selecionado.
  
• Permitir que o Acrobat Sign preencha automaticamente o endereço de email dos signatários a cada confirmação de autenticação - Esta configuração se aplica somente ao método de autenticação do Acrobat Sign. Quando habilitado, o endereço de email do destinatário é inserido automaticamente onde for necessário para autenticação.
• Não solicitar que signatários autentiquem-se novamente se já estiverem conectados ao Acrobat Sign: quando habilitado, não será solicitado que signatários realizem uma nova autenticação se já estiverem conectados ao Acrobat Sign.
• Permitir que os remetentes baixem um relatório de identidade do signatário para contratos que contêm assinaturas verificadas - Os Relatórios de identidade do signatário (SIR) estão disponíveis para os métodos de autenticação Documento de identidade e Identidade digital. Essa configuração, quando ativada, permite que o remetente do contrato baixe o SIR da sua página Gerenciar.
  
• Habilitar os seguintes métodos de autenticação de identidade: isso antecede a lista de opções de autenticação disponível para os remetentes.  Selecione uma ou mais opções de acordo com as suas necessidades de segurança e conformidade.
• Por padrão, use o método a seguir: estabelece o método de autenticação padrão inserido quando um destinatário é adicionado a um novo contrato.
• Permitir que remetentes alterem o método de autenticação padrão: se habilitado, remetentes têm a opção de selecionar qualquer método habilitado.
  
  • Quando desabilitado, somente o método padrão de autenticação pode ser usado.

Autenticação de identidade para recipients internos

Os controles internos do destinatário fornecem as opções para aplicar aos destinatários internos:

• Habilitar diferentes métodos de autenticação de identidade para destinatários internos: quando habilitado, destinatários internos são tratados como uma exceção às regras de autenticação primárias e, em vez disso, recebem as opções de autenticação padrão definidas na seção Autenticação de identidade para destinatários internos.
  
• Habilitar os seguintes métodos de autenticação de identidade: isto antecede a lista de opções disponíveis para autenticação de destinatários.  Selecione uma ou mais opções de acordo com as suas necessidades de segurança e conformidade.
  • A autenticação do Adobe Sign fornece um método de autenticação de baixo atrito/custo, para casos em que os remetentes também são autenticadores.
    
• Por padrão, use o seguinte método - estabelece o método padrão inserido para destinatários internos quando um novo contrato é criado.
  
• Permitir que os remetentes alterem o método de autenticação padrão - Isso concede ao remetente a autoridade para alterar o método de autenticação padrão para qualquer outra opção habilitada pelo administrador.

Exceção do formulário da Web para autenticação de identidade

Os formulários da Web são usados em vários casos de uso exclusivos e muitas vezes há uma redução da demanda para a imposição da autenticação de identidade.  

Para contas/grupos que não precisam autenticar assinaturas de formulário da Web, a opção para desativar a verificação por email pode ser configurada:

• Ao navegar até: Configurações da conta > Configurações globais > Formulários web (para configurações no nível da conta).
  
  • Editar Grupo: {Nome do grupo} > Configurações do grupo > Formulários Web (para configurações no nível de grupo).
• Desmarcar a opção Exigir que o signatário verifique seu endereço de email para aceitar assinaturas no formulário Web sem verificação.
  • A remoção do requisito para verificar a assinatura do formulário Web não remove o requisito para o signatário fornecer um endereço de email.

Práticas recomendadas e considerações

• Todos os métodos e opções de autenticação podem ser configurados no nível da conta e do grupo.
• Todos os grupos herdam seus valores de configuração padrão das configurações no nível da conta. Crie as configurações no nível da conta para aproveitar melhor a herança automática de propriedades, minimizando a configuração do grupo posteriormente.
• Os contratos derivam suas opções de autenticação do grupo do qual o contrato é enviado. Se você não estiver visualizando as opções esperadas, verifique suas configurações no nível de grupo.
  
• Avalie seus requisitos de autenticação de identidade para os tipos de documentos que está enviando e se eles estão sujeitos a quaisquer regulamentos de conformidade. Se a autenticação “premium” for necessária, certifique-se de que foi adquirido volume suficiente para o tráfego esperado.
• Autenticação por documento de identidade oficial: (i) não se destina a fluxos de trabalho e casos de uso de assinatura eletrônica regulamentados ou de alto valor; (ii) não pode identificar todos os documentos de identificação fraudulentos ou “falsos”; e (iii) não pode substituir a necessidade de revisão humana.
• Determine se há fluxos de assinatura que podem exigir autenticações de dois fatores, como:
  • Assinaturas hospedadas
  • Soluções personalizadas projetadas para suprimir notificações por email (por exemplo, Workday)
    
  • Fluxos de assinatura que buscam assinaturas legais de dois ou mais destinatários usando o mesmo endereço de email (compartilhado)
    
• Identifique se/onde ter padrões de autenticação diferentes para recipients internos é importante.
• As contas com acesso a Fluxos de trabalho personalizados podem definir métodos de autenticação muito precisos para cada um dos seus fluxos de assinatura, permitindo um valor padrão de menor atrito (e volume potencialmente maior), garantindo a conformidade em processos de assinatura críticos.
• Lembre-se de que os métodos de autenticação individuais devem ser ativados antes de disponibilizá-los para outros serviços. A ativação de um método o expõe para:
  • Outros controles administrativos, como Configurações de segurança para métodos de autenticação de dois fatores
    
  • Usuários podem selecioná-los durante o processo padrão de Envio
  • Fluxos de trabalho criados no Designer de fluxo de trabalho
  • Eventos de envio orientados por API
  • Acesso de integração (Dynamics, Salesforce)