Словарь /V поля подписи содержит /SubFilter (adbe.pkcs7.detached или ETSI.CAdES.detached), /ByteRange (два диапазона байтов вокруг шестнадцатеричной строки /Contents) и /Contents (саму подпись CMS). Последующие изменения добавляются как инкрементные обновления, поэтому подписанный PDF может законно увеличиваться; для долгосрочной проверки в конец файла можно добавить метку времени документа (ETSI.RFC3161) или словарь DSS.
Программы просмотра должны проверять, что диапазоны байтов покрывают весь файл до подписи и что последующие инкрементные обновления вносят только разрешённые изменения. Академические исследования Рурского университета в Бохуме (2019 и 2021 годы: атаки через инкрементное сохранение, обёртывание подписи и теневые атаки) показали, что многие программы просмотра принимают изменённые документы. Проверка подписей PDF показывает, какую часть файла покрывают диапазоны байтов и какие изменения внесены после подписания.