El diccionario /V de un campo de firma contiene /SubFilter (adbe.pkcs7.detached o ETSI.CAdES.detached), /ByteRange (dos tramos de bytes alrededor de la cadena hexadecimal /Contents) y /Contents (la firma CMS). Los cambios posteriores se añaden como actualizaciones incrementales, así que un PDF firmado puede crecer legítimamente; para la validación a largo plazo puede añadirse al final un sello de tiempo de documento (ETSI.RFC3161) o un diccionario DSS.
Los visores deben comprobar que los rangos de bytes cubren todo el archivo hasta la firma y que las actualizaciones incrementales posteriores solo hacen cambios permitidos. La investigación académica de la Universidad del Ruhr en Bochum (2019 y 2021: guardado incremental, envoltura de firmas y ataques de sombra) demostró que muchos visores aceptaban documentos manipulados. El verificador de firmas PDF informa de la cobertura de los rangos de bytes y de los cambios posteriores a la firma.