Eis uma pergunta que vale fazer a qualquer ferramenta de prova, inclusive a nossa: se a sua empresa sumisse amanhã, o que aconteceria com a minha prova?

Para a maioria das ferramentas, a resposta honesta é: ela morre conosco. O registro vive no banco de dados deles, a verificação roda nos servidores deles, o certificado é a palavra deles em formato PDF. Essa arquitetura tem nome — dependência de confiança — e a parte contrária vai encontrá-la: "Então este registro diz o que o sistema do fornecedor disser. E se o sistema estiver errado, ou alguém de lá o tiver modificado?"

A resposta a essa objeção não pode ser uma promessa. Tem que ser arquitetura.

O que é uma prova externa

Uma prova externa pega a impressão digital de um registro selado e a registra em partes que não têm nada a ver com o fornecedor nem com a disputa:

Autoridades de carimbo de tempo (RFC 3161). Instituições cujo negócio é assinar declarações do tipo "esta impressão digital existia neste momento". O formato é padronizado, tem décadas, e é familiar a tribunais e auditores. A verificação usa o certificado público da autoridade — não a boa vontade do fornecedor da prova.

Redes públicas de escrita permanente. Redes que nenhuma parte controla sozinha, onde uma entrada, uma vez incluída, é proibitivamente cara de reescrever. A impressão digital é registrada como fato público permanente. Só a impressão: ela não revela nada do conteúdo, então a privacidade sobrevive à publicação.

Mecanismos diferentes, mesma propriedade: a referência existe fora do sistema que produziu a prova. O fornecedor não pode retroagi-la, não pode alterá-la e — a parte que importa — não pode derrubá-la, nem falindo.

Por que mais de uma

Uma referência única tem um ponto único de falha: a prática de certificação de uma autoridade, o destino de uma rede. Registrar a mesma impressão em múltiplas referências independentes — instituições diferentes, mecanismos diferentes, jurisdições diferentes — faz a prova sobreviver à falha de qualquer uma delas. A corroboração é barata na hora da captura e impossível de acrescentar depois.

O que isso prova, com precisão

Uma prova externa estabelece uma coisa com muita força: a impressão digital existia, no mais tardar, no momento ancorado. Combinado com as propriedades do hash, isso significa que aquele conteúdo exato existia até ali, inalterado desde então.

Ela não prova que o conteúdo era verdadeiro, e não substitui o ambiente de captura nem a cadeia de custódia — ela os corrobora de fora. Cada camada faz um trabalho; juntas, as camadas são o que torna o registro difícil de contestar.

O padrão desconfortável

Qualquer fornecedor consegue certificar os próprios registros. A pergunta que separa infraestrutura de prova de teatro de prova é se o registro pode ser verificado contra o fornecedor — por um cético, com ferramentas públicas, anos depois, com a empresa extinta.

Esse padrão é desconfortável exatamente porque tira o fornecedor da equação de confiança. E esse é o ponto: a coisa mais forte que uma empresa de prova pode dizer é que, depois de selada e ancorada, a sua prova não precisa mais de nós.