Das Dictionary /V eines Signaturfelds enthält /SubFilter (adbe.pkcs7.detached oder ETSI.CAdES.detached), /ByteRange (zwei Bytebereiche rund um den Hex-String /Contents) und /Contents (die CMS-Signatur). Spätere Änderungen kommen als inkrementelle Updates hinzu, deshalb kann ein signiertes PDF legitim wachsen; für die Langzeitvalidierung kann ein Dokumentzeitstempel (ETSI.RFC3161) oder ein DSS-Dictionary angehängt werden.
Viewer müssen prüfen, ob die Bytebereiche die ganze Datei bis zur Signatur abdecken und ob spätere inkrementelle Updates nur zulässige Änderungen enthalten. Forschungsarbeiten der Ruhr-Universität Bochum (2019 und 2021: Incremental Saving, Signature Wrapping und Shadow Attacks) zeigten, dass viele Viewer manipulierte Dokumente akzeptierten. Der PDF-Signatur-Verifizierer zeigt, was die Bytebereiche abdecken und was nach dem Signieren geändert wurde.