O dicionário /V de um campo de assinatura contém /SubFilter (adbe.pkcs7.detached ou ETSI.CAdES.detached), /ByteRange (dois intervalos de bytes em torno da string hexadecimal /Contents) e /Contents (a assinatura CMS). Alterações posteriores entram como atualizações incrementais, então um PDF assinado pode crescer legitimamente; um carimbo do tempo de documento (ETSI.RFC3161) ou um dicionário DSS pode ser acrescentado para a validação de longo prazo.
Os visualizadores devem verificar se os intervalos de bytes cobrem o arquivo inteiro até a assinatura e se as atualizações incrementais posteriores fazem apenas alterações permitidas. Pesquisas acadêmicas da Universidade do Ruhr em Bochum (2019 e 2021: ataques de salvamento incremental, de signature wrapping e os shadow attacks) mostraram que muitos visualizadores aceitavam documentos manipulados. O verificador de assinaturas de PDF informa a cobertura dos intervalos de bytes e as alterações feitas depois da assinatura.