Melhores alternativas ao DocuSign: gratuitas e auto-hospedadas

Um fluxo contratual precisa ser substituído, mas a nova solução não pode enviar contratos a um SaaS de assinatura. DocuSeal, Documenso e OpenSign devem entrar nessa lista de alternativas ao DocuSign. Todos têm um núcleo que pode ser auto-hospedado; a comparação útil considera a edição que você pode operar, as evidências que pode exportar e os serviços que a implantação ainda chama. Permissão para alugar um servidor e permissão para enviar documentos a um operador de dados são decisões distintas.

Manter um fluxo DocuSign já aprovado pode continuar sendo razoável enquanto as evidências ou a operação da alternativa estiverem incompletas, desde que esse fluxo cumpra os requisitos da organização. Se a política proíbe seu modelo de tratamento, a familiaridade não resolve a restrição. Estabeleça os critérios de aceitação da alternativa antes de transferir contratos reais.

Em resumo

• DocuSeal: A edição auto-hospedada gratuita aceita vários signatários e seu próprio servidor SMTP. Pro acrescenta recursos como lembretes automáticos, SSO SAML, funções e equipes, além de capacidades avançadas de API e incorporação. Veja a comparação das edições locais.
• Documenso: Community Edition inclui assinatura básica, modelos e acesso à API. Os recursos comerciais incluem o portal de autenticação da organização, reautenticação para ações em documentos e criação incorporada. Veja a comparação das edições.
• OpenSign: O repositório documenta modelos reutilizáveis, sequências de assinatura, códigos por e-mail para convidados e certificados de conclusão. A documentação de tokens de API distingue tokens de produção pagos de tokens de sandbox gratuitos. Confirme o direito de acesso à API auto-hospedada para a compilação escolhida; essa página não o estabelece claramente.

Compare as edições gratuitas e seus requisitos operacionais

A tabela abaixo compara o alcance do código gratuito, os requisitos de implantação e os recursos comerciais de cada ferramenta.

Uma aplicação de assinatura eletrônica de código aberto pode ter um núcleo gratuito utilizável e pacotes comerciais. Trate cada fluxo proposto como uma verificação de direitos: identifique a ação, a edição que a permite e o serviço que ela chama. Um repositório público não é prova suficiente de que um recurso necessário seja gratuito.

Mantenha um pequeno registro da seleção: pacote escolhido, fluxo exigido, condição pendente e pessoa responsável por obter uma resposta. Não preencha um campo sem resposta com “sim” porque existe um recurso em nuvem com nome parecido. Um requisito não resolvido deve adiar a adoção daquele fluxo, mesmo que o restante da aplicação pareça adequado.

Escolha um candidato conforme seu fluxo de assinatura

Minha seleção inicial seria DocuSeal para um fluxo de modelos PDF gerenciado manualmente, Documenso Community quando o acesso gratuito à API for obrigatório e OpenSign quando seus modelos e códigos por e-mail para convidados se adequarem ao processo. São pontos de partida para um piloto com base na documentação oficial; não realizei testes de instalação ou assinatura.

DocuSeal para um fluxo de PDF e modelos

DocuSeal é um primeiro piloto sensato para preparar PDFs e reutilizar modelos de assinatura quando seu núcleo gratuito cobre o fluxo. As perguntas frequentes sobre o certificado de auditoria descrevem um registro de conclusão para download, com eventos por participante e campos de verificação condicionais. Avalie o método registrado em relação ao seu requisito antes de considerar o certificado uma evidência de determinado nível de identidade.

O certificado registra e-mails das partes, horários dos eventos, endereço IP, ID de sessão, informações do navegador e fuso horário. A verificação por e-mail ou telefone depende do método usado; a presença de um campo não prova que um método mais forte foi executado. Peça uma amostra gerada pela configuração pretendida, incluindo uma solicitação recusada ou delegada se esses caminhos forem relevantes.

Interrompa a seleção se a autenticação ou integração necessária depender de uma oferta comercial ainda não aprovada. O editor de documentos pode atender ao requisito visível enquanto uma ação essencial posterior continua sem solução.

Documenso para um modelo operacional PostgreSQL existente

Vale testar Documenso quando você consegue operar conjuntamente suas dependências de banco de dados, e-mail e certificados. Os requisitos de auto-hospedagem identificam uma armadilha específica: a aplicação pode iniciar sem certificado de assinatura enquanto a assinatura de documentos falha. Portanto, uma interface que responde não pode ser o teste de aceitação dessa implantação.

Os requisitos descrevem assinatura digital X.509 com um certificado .p12 fornecido ou gerado e armazenamento dos logs de auditoria no banco de dados. Isso descreve a infraestrutura de assinatura; não estabelece qual credencial pessoal um destinatário usou nem o conteúdo de uma exportação específica.

O ciclo de vida dos documentos do Documenso descreve um PDF assinado concluído com log de auditoria anexado. O changelog v2.14.0 também documenta downloads separados, pela API, do certificado e do log de auditoria em PDF. Durante o piloto, exporte esses registros da compilação instalada, examine o conteúdo e valide o PDF assinado de forma independente.

OpenSign para requisitos de modelos e ordem de assinatura

OpenSign é um candidato quando modelos reutilizáveis e participação ordenada são requisitos centrais. O README do projeto documenta vários signatários, sequências de assinatura e códigos por e-mail para convidados. Teste esses caminhos com o backend completo e a configuração de armazenamento escolhida; um código por e-mail registra acesso a uma caixa postal, não uma identidade pessoal ou autoridade organizacional verificadas independentemente.

As instruções de instalação para desenvolvimento informam que o caminho de apenas frontend usa o backend de staging do projeto, inclusive para uploads de documentos. Exclua esse caminho de uma implantação de contratos privados. Executar um frontend no seu computador não estabelece onde o backend processa os documentos.

Examine as evidências de uma assinatura concluída

Um PDF concluído e um relatório de eventos respondem a perguntas diferentes. Reúna evidências das ações de assinatura, da integridade do documento, da identidade e autoridade do signatário e do momento. As perguntas frequentes eSignature da Comissão Europeia e a lei ESIGN distinguem o reconhecimento da assinatura eletrônica de requisitos mais amplos. Nenhuma exportação ou campo técnico determina sozinho o resultado jurídico de um contrato específico.

Para transações dos EUA no comércio interestadual ou exterior, ou que o afetem, ESIGN §7001 limita a negativa de efeitos apenas porque uma assinatura ou registro é eletrônico. Essa lei de assinaturas eletrônicas preserva outras obrigações e não exige que todos aceitem registros eletrônicos. Condições de informação ao consumidor se aplicam em determinadas circunstâncias. As exceções da seção 7003 incluem registros testamentários ou de direito de família, determinadas matérias do código comercial, documentos judiciais e certos avisos; essas exclusões não proíbem por si mesmas o uso eletrônico.

As perguntas frequentes eSignature da Comissão distinguem a assinatura eletrônica de sua implementação digital e criptográfica. No eIDAS da UE, a forma eletrônica ou não qualificada, sozinha, não justifica negar efeitos jurídicos a uma assinatura. Assinaturas qualificadas têm efeitos equivalentes às manuscritas. Assinaturas avançadas exigem vínculo de identidade, controle do signatário e detecção de alterações; as qualificadas acrescentam certificado qualificado e dispositivo qualificado de criação de assinatura. Essas regras não resolvem formação contratual, autoridade, formalidades documentais ou disputas individuais, nem classificam uma ferramenta específica.

Faça quatro verificações ao examinar um pacote de evidências de exemplo:

1. Eventos e controle. Uma trilha de auditoria de assinatura eletrônica deve permitir examinar quem agiu, o que viu ou aceitou, qual verificação ocorreu e quando o fluxo terminou. Registre as evidências de consentimento pertinentes ao processo. Identifique quem pode editar ou excluir eventos, se as alterações são registradas e o que protege a cópia retida independentemente do administrador da aplicação. Um log de eventos sozinho não demonstra resistência a alterações.
2. Integridade do documento. Preserve o PDF concluído original e valide qualquer assinatura digital, sua cadeia de certificados e os bytes abrangidos. A definição de função hash do NIST descreve uma representação condensada da entrada. Uma verificação de hash que revele adulterações precisa de uma referência autenticada: um resumo criptográfico cuja origem e proteção possam ser estabelecidas. Substituir tanto o PDF quanto o hash ao lado dele invalida uma comparação simples. Um hash sozinho não estabelece a identidade do signatário. Pergunte se o registro de auditoria separado também está protegido.
3. Identidade e autoridade. Registre o método de verificação e como ele se vincula à pessoa nomeada. Acesso à caixa postal ou código de uso único não estabelecem sozinhos a identidade nem a permissão para vincular juridicamente uma empresa. A definição de assinatura digital do NIST vincula autenticação de origem e integridade à implementação correta. O certificado de assinatura de um servidor não deve se tornar implicitamente uma alegação de que cada destinatário possuía uma credencial individual.
4. Tempo e emissor. Separe a data de um evento da aplicação de um token de carimbo de tempo emitido independentemente. RFC 3161 define um protocolo de carimbo de tempo com uma impressão da mensagem, um resumo criptográfico dos dados carimbados. Verifique o token em relação ao documento preservado e examine o emissor. O status de carimbo de tempo qualificado é uma distinção adicional: a Comissão descreve presunções de exatidão de data e hora e de integridade dos dados vinculados, com serviços qualificados nas Listas de Confiança. O suporte a RFC sozinho não estabelece esse status nem garante um resultado para o documento.

Mapeie para onde vão documentos, metadados e resumos criptográficos

Uma aplicação auto-hospedada de assinatura eletrônica ainda pode enviar PDFs concluídos por um relay externo, como mostram as configurações de e-mail de conclusão do DocuSeal. A auto-hospedagem identifica quem opera a aplicação; cada serviço configurado precisa de sua própria análise. Distinga conteúdo contratual, metadados pessoais e resumos criptográficos, e registre endpoint e tratamento permitido para cada rota antes de inserir documentos reais no sistema.

Se a restrição proíbe SaaS de assinatura, mas permite infraestrutura alugada aprovada, o hardware da empresa e um VPS ou nuvem privada aprovados continuam sendo opções. Um VPS alugado é infraestrutura de terceiros. Uma proibição literal de toda infraestrutura de terceiros não pode ser atendida comprando uma; use infraestrutura controlada pela empresa e analise cada serviço de apoio conforme esse limite.

Nosso VPS DocuSeal de um clique vem com DocuSeal pré-instalado, para você pular a instalação manual da aplicação e se concentrar na configuração do fluxo de assinatura. Escolha entre nossas localizações VPS globais conforme as necessidades de localização dos dados da implantação.

Um serviço de confiança explicitamente aprovado ainda pode ser útil quando o tratamento documental por SaaS é proibido. Avalie os dados transmitidos e a finalidade conforme a política, em vez de presumir que uma aplicação administrada por você fornece automaticamente evidências mais fortes.

Aplique o mesmo inventário de chamadas externas usado para outras aplicações empresariais: rastreie cada conexão além da interface. Examine endpoints configurados e dados transmitidos com arquivos sintéticos. Um login local bem-sucedido não comprova nada sobre rotas de saída não examinadas.

Orce a edição e o trabalho que fica com você

Uma implantação sem custo de licença ainda precisa de armazenamento, envio de e-mails e alguém responsável pela recuperação. O guia Pro do DocuSeal e a comparação de edições do Documenso separam direitos de software da propriedade da infraestrutura. Orce o fluxo exato, incluindo ações pagas e serviços de apoio, e atribua responsabilidade operacional. A linguagem de documentos ou usuários “ilimitados” não fornece capacidade ilimitada de servidor nem operação gratuita.

Orce computação, armazenamento de banco de dados e documentos, backups, envio de e-mails, certificados ou serviços de confiança, licenças comerciais, tarifas por uso e tempo do administrador.

Estime com base no tamanho dos documentos, período de retenção e picos de assinatura. Evite comparar uma assinatura SaaS apenas com a conta de computação da alternativa; elas incluem trabalhos diferentes. Se uma condição comercial ou um serviço necessário continuar desconhecido, o orçamento estará incompleto mesmo com licença gratuita.

Um fluxo menor já aprovado é um ponto de partida razoável. Adie a automação opcional até esclarecer seus direitos, rota de dados e responsável.

Execute um piloto sintético antes de transferir contratos

Use um acordo fictício e destinatários de teste para avaliar a edição escolhida antes de transferir contratos. Os requisitos do Documenso e o guia Docker do OpenSign identificam dependências; o piloto proposto deve testar assinatura, exportação de evidências e recuperação em conjunto. Este é um plano de aceitação, não um relatório de testes realizados. Registre falhas e questões sem resposta junto com a configuração avaliada.

1. Fixe a release ou imagem e registre edição, licença e versão instalada. Defina ações necessárias e evidências aceitáveis antes da instalação. Mantenha esse registro com a configuração da implantação para repetir as verificações após uma atualização.
2. Aprove endpoints e destinos de armazenamento. Inclua as rotas externas na planilha de trabalho e examine e-mails sintéticos de convite e conclusão, anexos e dados transmitidos observados. Verifique se a rota OpenSign escolhida inclui seu backend, quando aplicável.
3. Conclua um convite representativo com destinatários externos de teste. Exercite o método de verificação necessário, ordem de assinatura, rejeição ou expiração e conclusão. Confirme a acessibilidade para destinatários fora da rede empresarial e examine as falhas de entrega.
4. Exporte o PDF concluído e o registro de auditoria no formato exigido. Valide assinaturas, certificados e qualquer token de carimbo de tempo independentemente da tela de sucesso da aplicação. Compare a integridade com a referência autenticada preservada; altere uma cópia separada e verifique o que a validação detecta. É uma verificação técnica, não um teste de resultado jurídico.
5. Reinicie a implantação e confirme que os registros permanecem acessíveis. Restaure em ambiente isolado e repita a consulta aos registros e a validação. Atribua critérios de aceitação explícitos a destinos de backup e responsabilidade pela recuperação; um processo de backup informar sucesso não basta.
6. Planeje uma transição controlada. Preserve PDFs concluídos e suas evidências originais separados dos novos modelos. Decida como as solicitações abertas serão concluídas. Importar um PDF em outra aplicação não reconstrói seu histórico original de assinatura.

Nossa implantação de DocuSeal de um clique ajuda na configuração inicial quando a infraestrutura alugada aprovada atende ao acesso dos destinatários; continua disponível a instalação manual no hardware da empresa ou em qualquer provedor aprovado. Escolha entre nossas localizações VPS globais conforme as necessidades de localização dos dados da implantação.

Perguntas Frequentes

Unidades de faturamento, licenças de pacotes e compilações instaladas precisam de registros separados mesmo após a escolha do fluxo.

Os destinatários signatários são cobrados como usuários da plataforma?

Não. A explicação de faturamento do Pro do DocuSeal distingue usuários da plataforma de destinatários signatários. A unidade de uso da API e incorporação é um envio concluído, que pode conter vários arquivos e participantes. Registre tanto os direitos dos usuários da plataforma quanto as cobranças de uso aplicáveis; não aplique esse modelo de faturamento a outro projeto.

Uma licença cobre todos os componentes do repositório?

Examine os arquivos e pacotes escolhidos. Documenso tem uma licença separada do diretório comercial; as exceções da licença raiz do OpenSign excluem um diretório específico de rotas do servidor quando presente. Para uma compilação personalizada, registre os componentes incluídos e suas licenças antes de presumir que a licença principal do repositório descreve todos eles.

Uma release upstream identifica minha compilação instalada?

Não. Uma release upstream identifica o software upstream, enquanto uma instalação tem sua própria compilação implantada e edição. Registre a versão exposta pela aplicação em execução ou seus metadados de implantação antes do piloto. Não deduza essa correspondência de um anúncio de release e repita as verificações de aceitação quando a compilação instalada mudar.