Certificados
Um certificado que o terceiro confere sozinho
Código único, assinatura criptográfica e uma página pública de conferência. O fiscal, o auditor ou o cliente digita o código e vê a situação real do documento — sem login, sem ligar para o RH, sem depender da sua palavra.
Onde se verifica um certificado emitido pela Worpen?
A verificação acontece na instalação da empresa que emitiu o certificado, no endereço impresso no próprio documento — algo como suaempresa.worpen.com/verificar. Cada cliente da Worpen tem a própria instalação, com banco de dados separado, e é lá que o código é conferido. Não existe um verificador central em worpen.com.br: um endereço único precisaria consultar a base de todos os clientes ao mesmo tempo, o que é exatamente o acoplamento que o isolamento por instalação existe para evitar.
A conferência é pública e não pede cadastro. Basta o código, no formato WP-XXXX-XXXX, que fica no rodapé do certificado, ao lado do QR Code — e o QR Code abre a verificação já preenchida.
Como funciona
Quatro camadas, e a última é a que importa
Consultar a própria base e responder "sim, existe" é fácil. O difícil é provar que ninguém mexeu no documento depois de emitido — e é aí que a maioria dos sistemas para.
Código único
No formato WP-XXXX-XXXX, impresso no certificado e embutido no QR Code. É o que permite localizar o registro.
Página pública
Na instalação da empresa emissora, sem login. Quem confere é um terceiro, e terceiro não deveria precisar de acesso ao sistema de ninguém.
Assinatura HMAC-SHA256
Calculada sobre nome, curso, carga horária, nota e data no momento da emissão, com a chave do arquivo de configuração da instalação.
Recálculo na conferência
A verificação refaz a conta e compara. Nota alterada direto no banco faz a conferência acusar divergência em vez de exibir o dado adulterado.
Os quatro resultados possíveis
- Válido
- Existe, está íntegro e não foi revogado.
- Revogado
- Foi cancelado pela empresa emissora. A data e o motivo aparecem na tela.
- Divergência
- Algum campo foi alterado depois da emissão. O documento não é confiável.
- Não encontrado
- Esse código nunca foi emitido.
São estados distintos de propósito. Um certificado cancelado precisa aparecer como cancelado — se ele simplesmente sumisse, a empresa poderia apagar histórico inconveniente sem deixar rastro, e a verificação perderia o sentido.
O que o certificado registra
- Colaborador
- Nome completo
- Curso
- Título e conteúdo programático
- Carga horária
- Conforme cadastrado no curso
- Nota
- Resultado da avaliação final
- Data
- Conclusão, com hora
- Código
- WP-XXXX-XXXX
Por trás do certificado
O registro que ninguém edita
Emissão, revogação e alteração entram na trilha de auditoria com autor, IP e data. Não existe tela de edição — nem para o administrador. É essa impossibilidade que dá valor ao documento perante um terceiro: se o dono do sistema pudesse reescrever o histórico, a verificação seria decorativa.
A retenção padrão é de 5 anos, ajustável em contrato conforme a política da sua empresa.
Dúvidas
Sobre certificados e verificação
Onde eu confiro um certificado que recebi?
No endereço impresso no próprio documento, que tem a forma nomedaempresa.worpen.com/verificar. Cada empresa tem a própria instalação, e a verificação acontece nela. Não há um verificador central em worpen.com.br: um endereço único teria de consultar a base de todos os clientes ao mesmo tempo, o que é exatamente o tipo de acoplamento que o isolamento por instalação existe para evitar.
Preciso de login para verificar?
Não. A verificação é pública e anônima por desenho: quem confere um certificado normalmente é um terceiro — fiscal, auditor, cliente corporativo — que não tem e não deveria ter acesso ao sistema da empresa emissora. Só o código é necessário.
O que significa "certificado revogado"?
Significa que o certificado existiu e foi cancelado pela empresa emissora, com data e motivo registrados. É diferente de "não encontrado", que quer dizer que aquele código nunca foi emitido. A distinção é proposital: um documento revogado precisa aparecer como revogado, não sumir — sumir seria apagar o histórico.
O que significa "divergência de integridade"?
Cada certificado é assinado com HMAC-SHA256 sobre os campos canônicos — nome, curso, carga horária, nota e data. Se qualquer um deles for alterado depois da emissão, inclusive direto no banco de dados, a assinatura deixa de bater e a verificação acusa a divergência em vez de exibir o dado alterado como se fosse legítimo.
Que dados aparecem na verificação?
Nome do colaborador, curso, carga horária, nota, data de conclusão e situação do certificado. Não aparecem CPF, e-mail, telefone nem qualquer outro dado pessoal além do nome — o mínimo necessário para confirmar que aquele documento é autêntico, conforme o princípio da necessidade previsto no art. 6º, III, da Lei nº 13.709/2018.
O certificado continua válido se a empresa cancelar a assinatura?
Os certificados emitidos permanecem verificáveis pelo prazo de retenção contratado, mesmo após o encerramento do contrato. Evidência de treinamento não pode desaparecer junto com a assinatura, porque a responsabilidade da empresa sobre o período em que a pessoa trabalhou continua existindo.
Emite certificado que ninguém consegue conferir?
Um PDF sem código e sem assinatura vale o que o auditor decidir que vale. Na demonstração a gente emite um certificado de verdade e confere na sua frente.