cleytoncoro, obrigado por esse comentário, sério. É o tipo de retorno que eu esperava encontrar por aqui.

Sobre o ponto 1: o sistema já trabalha assim hoje. O e-mail do cliente é cadastrado pelo freelancer na criação da proposta e, por padrão, é o único endereço que consegue assinar. Se outro e-mail for informado na tela de assinatura, a resposta é genérica e nada é enviado, nem para revelar se o endereço existe. E tem uma checagem a mais: como o link de assinatura é de uso único e chega por e-mail, a pessoa precisa ter acesso real àquela caixa de entrada para concluir, então a posse do endereço também é verificada, não só a declaração. Para os casos em que o documento circula (sócio, financeiro), existe um modo aberto que o freelancer ativa por conta própria, sabendo do trade-off.

Sobre a imutabilidade: o conteúdo é congelado no envio (hash da versão exata) e a assinatura gera um selo no servidor amarrando conteúdo, assinante e data/hora. O PDF certificado vai por e-mail para as duas partes logo após a assinatura, com o código de verificação impresso, e qualquer pessoa confere a autenticidade na página pública de verificação (a mesma que deixei no post), sem depender de acesso ao e-mail de ninguém, o que conversa com aquele problema de sigilo que você citou. Agora, assinar o próprio PDF com certificado e-CNPJ no padrão ICP, como DocuSign e ClickSign fazem, eu ainda não faço. Está no roadmap, e o seu comentário deixou o porquê mais claro. Vou estudar o chaindoc que você linkou.

O carimbo de tempo eu não tenho mesmo. A data entra no cálculo do selo, então não dá para alterá-la depois sem quebrar a verificação, mas isso não substitui um carimbo ICP-Brasil. vai entrar no nosso no roadmap também.

E a ideia do relatório de assinaturas eu anotei na hora. Os dados já existem no sistema, falta gerar o documento com essa trilha amarrada ao contrato.

Obrigado de novo pela aula. Se você olhar mais alguma coisa no produto e pensar "isso vai dar problema num processo", pode mandar sem cerimônia.