Glosario de firma electrónica

89 términos clave para dominar la firma electrónica, la criptografía y la conformidad eIDAS.

Actualizado el 12 mai 2026.

Glossaire signature électronique — références et définitions

A

AES (Firma Electrónica Avanzada): La firma electrónica avanzada (AES, Advanced Electronic Signature) es el segundo nivel definido por el reglamento eIDAS. Debe estar vinculada de forma única al firmante, permitir su identificación, crearse con datos bajo su control exclusivo y permitir detectar cualquier modificación posterior del documento. En la práctica, Certyneo la implementa mediante autenticación reforzada (correo electrónico + OTP SMS) y una pista de auditoría con sello de tiempo. Comprender los niveles de firma →
Archivo electrónico: El archivo electrónico designa la conservación a largo plazo de documentos digitales en condiciones que garantizan su integridad, legibilidad y valor probatorio. Un sistema de archivo de valor probatorio permite conservar los documentos firmados y sus pistas de auditoría durante varios años o incluso décadas. En Certyneo, los sobres firmados se conservan durante 10 años conforme a los requisitos legales.
Autenticación: La autenticación es el proceso que permite verificar la identidad de un usuario o sistema antes de concederle acceso a un servicio o autorizar la colocación de una firma electrónica. Puede ser simple (solo contraseña), reforzada (multifactor) o biométrica. La solidez de la autenticación determina directamente el nivel de firma alcanzable: una AES exige al menos dos factores distintos.
Autenticación reforzada: La autenticación reforzada (o multifactor, MFA) exige la presentación de al menos dos pruebas de identidad distintas para verificar la identidad de un usuario. En el contexto de la firma electrónica avanzada (AES), suele realizarse mediante una combinación de correo electrónico + OTP SMS, reforzando el vínculo entre el documento firmado y su autor. Es uno de los requisitos establecidos por el reglamento eIDAS para las firmas de nivel avanzado.
Autoridad de certificación (AC / CA): Una autoridad de certificación (AC, o Certificate Authority — CA — en inglés) es un organismo de confianza que emite certificados electrónicos X.509 vinculando una clave pública a la identidad de su titular. Las AC cualificadas están supervisadas por autoridades nacionales (ANSSI en Francia) e inscritas en la lista de confianza de la UE. Constituyen el pilar de la PKI y de la cadena de confianza de las firmas cualificadas.

B

Bearer token (token de portador): Un bearer token es un token de acceso a la API que confiere al portador el derecho a acceder a recursos protegidos sin verificación adicional. Se transmite en el encabezado HTTP Authorization: Bearer <token>. La API REST de Certyneo utiliza bearer tokens para autenticar las llamadas programáticas: creación de sobres, consulta del estado, descarga de documentos firmados. Estos tokens deben mantenerse secretos (nunca exponerlos del lado del cliente) y renovarse regularmente.
Biometría: La biometría engloba las técnicas de identificación de una persona basadas en sus características físicas o conductuales (huella dactilar, reconocimiento facial, trazo manuscrito, voz). En la firma electrónica, una firma biométrica puede capturar el trazo manuscrito en pantalla táctil (velocidad, presión, ángulo) para crear un vínculo directo entre el firmante y su consentimiento. Bajo eIDAS, la biometría por sí sola no es suficiente para alcanzar el nivel avanzado (AES): debe combinarse con una autenticación reforzada. Los datos biométricos se consideran sensibles según el RGPD y su tratamiento requiere consentimiento explícito.

C

Sello electrónico: El sello electrónico es el equivalente de la firma electrónica para las personas jurídicas (empresas, administraciones). Garantiza el origen y la integridad de un documento emitido en nombre de una organización sin implicar a un firmante humano identificado. El reglamento eIDAS reconoce los sellos electrónicos simples, avanzados y cualificados, al igual que las firmas.
Candado SSL / TLS: El candado SSL/TLS es el indicador visual mostrado por el navegador (icono de candado en la barra de direcciones) que confirma que se ha establecido una conexión cifrada TLS entre el navegador y el servidor. Atestigua que los datos intercambiados (documentos, códigos OTP, credenciales) no pueden ser interceptados en texto claro. Certyneo impone TLS 1.3 en todos sus endpoints, haciendo visible el candado en todas las páginas de firma.
Certificado electrónico: Un certificado electrónico es un archivo digital emitido por una autoridad de certificación (AC) que asocia una clave pública con la identidad de su titular. Constituye el fundamento de la PKI y permite verificar la autenticidad e integridad de una firma digital. La validez de un certificado está limitada en el tiempo y puede ser revocada en caso de compromiso.
Certificado cualificado: Un certificado cualificado es un certificado electrónico emitido por un prestador de servicios de confianza cualificado inscrito en la lista de confianza de un Estado miembro de la UE. Es obligatorio para emitir firmas cualificadas (QES) en el sentido del reglamento eIDAS. Su nivel de garantía es el más alto reconocido en la UE.
Cifrado: El cifrado es el proceso de transformar un mensaje legible en un formato ilegible (texto cifrado) mediante un algoritmo y una clave secreta. Protege la confidencialidad de los datos en tránsito y en reposo, y complementa el hashing utilizado para garantizar la integridad en la firma. Certyneo utiliza TLS 1.3 para cifrar todas las comunicaciones entre el navegador y los servidores.
Cifrado en reposo (encryption at rest): El cifrado en reposo designa la protección de los datos almacenados mediante cifrado, de modo que sean ilegibles sin la clave de descifrado, incluso en caso de acceso físico o lógico no autorizado al soporte de almacenamiento. Certyneo cifra los documentos y sus pistas de auditoría en reposo (AES-256) en su infraestructura alojada en Alemania, conforme a los requisitos del RGPD.
CLM (Gestión del ciclo de vida de contratos): El CLM (Contract Lifecycle Management) designa el conjunto de procesos y herramientas que cubren el ciclo de vida completo de un contrato: redacción, negociación, aprobación interna, firma electrónica, almacenamiento y renovación. Una solución CLM centraliza los contratos en un repositorio único con alertas de plazos, flujos de aprobación e informes de exposición contractual. Certyneo cubre la fase de firma y puede integrarse en un CLM de terceros mediante API REST.
Cumplimiento normativo (compliance): El cumplimiento normativo designa el respeto de las leyes, reglamentos y normas aplicables a una organización. En el contexto de la firma electrónica, hace referencia en particular al reglamento eIDAS, al RGPD, el Código del Trabajo (para contratos laborales) y las reglas deontológicas propias de ciertas profesiones. El incumplimiento expone a la empresa a la nulidad de sus actos y a sanciones administrativas.
Consentimiento electrónico: El consentimiento electrónico es la manifestación de la voluntad de una persona, expresada por vía digital, de aceptar unas condiciones o firmar un documento. Para tener valor probatorio, este consentimiento debe ser libre, específico, informado e inequívoco, conforme al RGPD. En un flujo de trabajo de firma, hacer clic en «Firmar» constituye el consentimiento electrónico del firmante.
CRL (Lista de revocación de certificados): Una CRL (Certificate Revocation List) es una lista publicada periódicamente por una autoridad de certificación que enumera los certificados revocados antes de su fecha de vencimiento, generalmente por compromiso de clave o cambio de identidad. Al verificar una firma digital, el software consulta la CRL (o utiliza el OCSP) para asegurarse de que el certificado del firmante no fue revocado en el momento de la firma.

D

Delegación de firma: La delegación de firma es el mecanismo por el cual un firmante autorizado (delegante) transfiere formalmente su poder de firma a un tercero (delegatario) para un período y ámbito definidos. En el derecho francés, una delegación de firma debe ser explícita, formalizada por escrito y mencionar precisamente los actos cubiertos. En Certyneo, la delegación se gestiona en la administración: el delegante configura un rol de firma para el delegatario; la pista de auditoría registra la identidad efectiva del firmante y la base jurídica de su delegación.
Desmaterialización: La desmaterialización designa la sustitución de documentos y procesos en papel por sus equivalentes digitales. Engloba la digitalización, la creación nativa de documentos electrónicos y su firma mediante herramientas como Certyneo. Permite reducir los plazos, los costos y la huella ambiental de los procesos documentales. Ver las ventajas de la desmaterialización de contratos →
Distinguished Name (DN): El Distinguished Name (DN) es el identificador único de un sujeto en un certificado X.509. Está compuesto de atributos jerárquicos: CN (Common Name, nombre del titular), O (Organización), OU (Unidad Organizativa), C (Country, país en código ISO), etc. — por ejemplo CN=Juan García, O=Certyneo, C=ES. El DN del firmante es legible en las propiedades de firma de un PDF validado en Adobe Acrobat Reader.
DPA (Acuerdo de tratamiento de datos): Un DPA (Data Processing Agreement, o Acuerdo de tratamiento de datos) es el contrato exigido por el artículo 28 del RGPD entre un responsable del tratamiento (el cliente) y un encargado del tratamiento (como Certyneo). Especifica las finalidades del tratamiento, las categorías de datos, las medidas de seguridad, las condiciones de subcontratación y las obligaciones en caso de violación. La conclusión de un DPA es obligatoria antes de cualquier tratamiento de datos personales de firmantes. Certyneo ofrece un DPA estándar anexo a las CGU.

E

ECC (Criptografía de curva elíptica): La criptografía de curva elíptica (Elliptic Curve Cryptography — ECC) es un enfoque de criptografía asimétrica basado en las propiedades algebraicas de las curvas elípticas. Ofrece una seguridad equivalente a RSA con claves notablemente más cortas (256 bits ECC ≈ 3072 bits RSA), reduciendo la carga de cálculo. ECC es el algoritmo preferido de TLS 1.3 (curva X25519, P-256) y se usa cada vez más en certificados de firma digital.
eIDAS: eIDAS (Electronic IDentification, Authentication and trust Services) es el reglamento europeo n.º 910/2014 que establece un marco jurídico común para las firmas electrónicas, sellos, sellado de tiempo y otros servicios de confianza en la UE. Define tres niveles de firma (simple, avanzada, cualificada) y crea el concepto de prestadores de servicios de confianza cualificados. Más información sobre eIDAS →
eIDAS 2.0: eIDAS 2.0 (Reglamento UE 2024/1183, en vigor desde 2024) es la revisión principal de eIDAS que introduce en particular la Cartera Europea de Identidad Digital (EUDIW). Su objetivo es extender el reconocimiento de identidades digitales a todos los servicios públicos y privados de la UE, y refuerza los requisitos para los proveedores cualificados. La identidad digital de cada ciudadano europeo será portada por una cartera móvil certificada para 2026.
Sobre de firma: Un sobre de firma es el contenedor lógico que agrupa uno o varios documentos a firmar, la lista de firmantes, los campos de firma posicionados y la configuración del flujo de trabajo. En Certyneo, cada sobre tiene su propio ciclo de vida (borrador, enviado, pendiente, firmado, rechazado, vencido) y una pista de auditoría con sello de tiempo.
Envío masivo (bulk signing): El envío masivo (o bulk signing) designa la capacidad de enviar un documento a muchos firmantes simultáneamente, o de enviar varios documentos distintos en una sola operación. Esta funcionalidad es indispensable para RRHH (contratos laborales), seguros (adendas) o inmobiliario (mandatos). En Certyneo, la API permite orquestar envíos masivos mediante una única llamada programática, recibiendo cada firmante un enlace individual y una pista de auditoría propia.
ESIGN Act: El ESIGN Act (Electronic Signatures in Global and National Commerce Act, 2000) es la ley federal estadounidense que reconoce la validez jurídica de las firmas electrónicas y contratos en línea en los Estados Unidos. Complementario a la UETA, establece el principio de que una firma no puede rechazarse por el solo motivo de ser electrónica. Para los contratos transatlánticos, una AES eIDAS suele ser reconocida como conforme a ESIGN/UETA.
EUDI Wallet (Cartera Europea de Identidad Digital): La Cartera Europea de Identidad Digital (EUDI Wallet) es la aplicación móvil exigida por eIDAS 2.0. Permite a los ciudadanos de la UE almacenar y compartir atributos de identidad certificados (estado civil, diplomas, carnet de conducir) y realizar firmas cualificadas (QES) desde su smartphone. La EUDI Wallet reemplazará progresivamente a FranceConnect+ en Francia para 2026-2027.

F

Función hash: Una función hash es una función matemática unidireccional que transforma una entrada de cualquier tamaño en una salida de longitud fija denominada digest (o hash). Cualquier modificación, incluso de un solo bit, produce un digest radicalmente diferente. Las funciones modernas (SHA-256, SHA-3) son resistentes a colisiones. En la firma digital, el documento primero se hashea y luego el digest se cifra con la clave privada — lo que garantiza la integridad del contenido firmado.
FranceConnect: FranceConnect es el servicio de identidad digital del Estado francés que permite a los ciudadanos autenticarse ante servicios en línea públicos o privados usando un identificador existente. Un escalón más arriba, FranceConnect+ está cualificado como «sustancial» en el sentido del reglamento eIDAS y puede usarse para activar una firma avanzada (AES) o incluso cualificada (QES). Antes de finales de 2026, FranceConnect+ será reemplazado progresivamente por la identidad digital de la Cartera Europea (EUDIW) prevista por eIDAS 2.0.

G

Plantilla de documento: Una plantilla es un documento estándar preconfigurado con sus campos dinámicos (firmantes, fechas, importes, posiciones de firma) que sirve de punto de partida para sobres recurrentes. En Certyneo, las plantillas industrializan los flujos de alto volumen (contratos laborales, NDA, órdenes de compra): se duplica la plantilla, se rellenan las variables del caso concreto, se envía. Las plantillas de contrato gratuitas disponibles en /modeles-contrats están diseñadas para descargarse e instanciarse como plantillas en su cuenta.
RGPD (Reglamento General de Protección de Datos): El RGPD (Reglamento General de Protección de Datos, Reglamento UE 2016/679) es la versión en inglés llamada GDPR. Este reglamento europeo regula la recogida, el tratamiento y la conservación de datos personales en la UE. Se aplica a cualquier organización que trate datos de residentes europeos, independientemente de su ubicación. Impone en particular la conclusión de un DPA con los encargados del tratamiento, la minimización de datos y el respeto de los derechos de las personas (acceso, rectificación, supresión).

H

Hash: El hashing es una operación criptográfica que transforma un documento de cualquier tamaño en una huella digital de tamaño fijo denominada «hash». Cualquier modificación, por pequeña que sea, del documento produce un hash totalmente diferente, garantizando así la integridad del archivo. La firma digital se basa en el cifrado de este hash con la clave privada del firmante.
Handshake TLS: El handshake TLS (« apretón de manos ») es la fase de negociación que tiene lugar al inicio de una conexión TLS. El cliente y el servidor se ponen de acuerdo sobre la suite criptográfica, intercambian sus certificados (autenticación mutua opcional) y establecen las claves de sesión mediante un protocolo de clave efímera (ECDHE). TLS 1.3 ha reducido el handshake a 1 ida y vuelta de red (frente a 2 en TLS 1.2), mejorando el rendimiento de las sesiones de firma en móvil.
Sello de tiempo electrónico: El sello de tiempo electrónico es un mecanismo que permite vincular un dato digital a un instante preciso, de forma verificable e infalsificable. Un sello de tiempo cualificado, emitido por un prestador cualificado en el sentido de eIDAS, proporciona una prueba legal de la existencia de un documento en una fecha dada. Es indispensable para la conservación del valor probatorio de los documentos a largo plazo.
Sello de tiempo cualificado (TSA): Un sello de tiempo cualificado es un sello de tiempo electrónico emitido por una Trusted Stamp Authority (TSA) cualificada en el sentido de eIDAS. Produce una prueba legalmente reconocida de la existencia de un documento en una fecha y hora precisas, vinculada a la huella del documento. Indispensable para los perfiles PAdES B-T, B-LT y B-LTA para garantizar el valor probatorio a largo plazo.
HSM (Módulo de seguridad hardware): Un HSM (Hardware Security Module) es un equipo físico dedicado a la generación, almacenamiento y gestión seguros de claves criptográficas. Certificado según normas estrictas (FIPS 140-2/3 nivel 3 o 4, Common Criteria EAL4+), garantiza que las claves nunca salgan del hardware en claro. Los prestadores cualificados operan HSM como base de los dispositivos cualificados de creación de firma (QSCD) que permiten emitir firmas cualificadas (QES) y sellos de tiempo cualificados. La firma en la nube se basa en HSM alojados por el prestador — el firmante delega la posesión del dispositivo sin perder el control exclusivo sobre su clave privada.
HTTP/3: HTTP/3 es la tercera versión principal del protocolo HTTP, basada en QUIC (transporte UDP) en lugar de TCP. Reduce la latencia (eliminación del head-of-line blocking), mejora la recuperación tras cortes de red e integra TLS 1.3 de forma nativa. Certyneo aprovecha HTTP/3 para acelerar la carga de documentos a firmar y el envío de formularios de consentimiento, especialmente en móvil en entornos de red degradados.

I

Identidad digital: La identidad digital es el conjunto de datos que permiten identificar a una persona física o jurídica en el espacio digital. Puede ser proporcionada por un Estado (documento de identidad electrónico, FranceConnect) o por operadores privados (prestadores cualificados). Con eIDAS 2.0, cada ciudadano europeo dispondrá de una cartera de identidad digital oficial (EUDIW).
Firma manuscrita digitalizada (ink signature): Una ink signature (o firma manuscrita digitalizada) es la digitalización de la firma manuscrita tradicional en forma de imagen (JPG/PNG) colocada sobre un documento. Constituye el nivel más básico de firma electrónica simple (SES) bajo eIDAS: sin autenticación reforzada ni pista de auditoría, su valor probatorio es limitado. Sin embargo, se utiliza para documentos con escasa relevancia jurídica (firmas internas, anotaciones).
Integridad (de los datos): La integridad designa la propiedad que garantiza que un dato no ha sido alterado ni falsificado tras su creación, transmisión o almacenamiento. En la firma digital, la integridad está asegurada por la función hash: cualquier modificación del documento significa que el hash recalculado ya no corresponde al cifrado en la firma, lo que invalida inmediatamente la verificación. Por eso un PDF firmado con Certyneo está «sellado» — ya no puede modificarse sin que la firma se rompa.
Interoperabilidad eIDAS: La interoperabilidad eIDAS designa el reconocimiento mutuo de identidades digitales y firmas electrónicas entre Estados miembros de la UE, tal como impone el reglamento eIDAS (artículos 6 y 25). Un certificado cualificado emitido por un prestador de servicios de confianza (TSP) que figure en la lista de confianza de un Estado miembro es reconocido automáticamente como válido en todos los demás Estados miembros. Esta interoperabilidad cubre los niveles AES y QES.

J

Token de firma: Un token de firma es el objeto criptográfico producido en el momento de la firma que agrupa: el hash del documento, el sello de tiempo, el identificador del firmante y la propia firma criptográfica (cifrada con la clave privada a través de la PKI). Este token está incrustado en el PDF final según el formato PAdES y permite a cualquier verificador — juez, perito, auditor — reconstruir la prueba de firma sin depender de la plataforma.
JWT (JSON Web Token): Un JWT (JSON Web Token, RFC 7519) es un formato compacto y seguro para representar afirmaciones entre dos partes. Se compone de tres partes codificadas en Base64URL separadas por puntos: la cabecera (algoritmo), el payload (claims) y la firma. La API de Certyneo utiliza JWTs firmados (HS256 o RS256) para la gestión de sesiones y la autenticación de llamadas API, asegurando que los tokens no han sido falsificados. Los JWTs de acceso tienen una vida corta, complementados por refresh tokens de larga duración.

K

KYC (Conozca a su cliente): KYC (Know Your Customer) designa el conjunto de procedimientos de verificación de identidad que una empresa aplica a sus clientes antes de entablar una relación comercial. Históricamente impuesto a los bancos por las directivas contra el blanqueo de capitales, el KYC se ha extendido a operaciones de firma electrónica de alto nivel: apertura de cuentas, crédito, seguros, notaría. El KYC se basa en tres pilares: verificación del documento de identidad (OCR + detección de falsificaciones), control de liveness y cotejo de información. El reglamento eIDAS reconoce el KYC por vídeo como medio de identificar a un firmante para una firma cualificada (QES).

L

LCCJTI (Ley relativa al marco jurídico de las tecnologías de la información): La LCCJTI es la ley de Quebec (L.R.Q., capítulo C-1.1) que establece el marco jurídico de la firma y los documentos electrónicos en Quebec. Reconoce expresamente la firma electrónica como equivalente a la firma manuscrita siempre que la identidad del firmante se establezca de forma fiable y se asegure el vínculo entre la firma y el documento (artículo 39). La LCCJTI es complementaria al reglamento eIDAS (aplicable en Europa) y a PIPEDA.
LCEN (Ley francesa de confianza en la economía digital): La LCEN (Loi pour la Confiance dans l'Économie Numérique del 21 de junio de 2004, n.º 2004-575) es el texto fundacional del derecho digital francés. Regula el comercio electrónico, la responsabilidad de los proveedores de alojamiento y la publicidad digital. Complementaria al reglamento europeo eIDAS, también transpuso la primera directiva sobre firmas electrónicas al derecho francés.
LegalTech: El término LegalTech (Legal Technology) designa las startups y soluciones de software que aplican la tecnología al ámbito jurídico para automatizar, acelerar o hacer accesibles servicios hasta ahora reservados a los profesionales del derecho. La firma electrónica, la desmaterialización de contratos, la due diligence por IA y la gestión documental forman parte de ella. Certyneo se inscribe en el ecosistema LegalTech europeo ofreciendo una firma conforme a eIDAS fácil de integrar.
LTV (Validación a largo plazo): La validación a largo plazo (LTV, Long-Term Validation) es una funcionalidad de las firmas PDF (PAdES B-LT/B-LTA) que integra en el documento firmado todos los datos necesarios para la verificación futura de la firma: cadena de certificados, sellos de tiempo, respuestas OCSP o CRL. Gracias al LTV, un documento firmado sigue siendo verificable años después de la firma, aunque los certificados hayan expirado. Certyneo integra el LTV para garantizar el valor probatorio durante 10 años.

M

Firma manuscrita: ¿Qué es la firma manuscrita? La firma manuscrita es la huella gráfica colocada a mano por una persona al pie de un documento en papel, reconocible por su trazo personal y por la presión, la velocidad y el ductus que caracterizan a cada firmante. Es la referencia histórica del derecho civil europeo.

Significado jurídico. La firma manuscrita cumple tres funciones probatorias que el derecho exige a toda firma: identifica al firmante, demuestra su consentimiento (animus signandi) y vincula el contenido del documento a su voluntad. El Código Civil español (art. 1278) y el francés (art. 1367) la reconocen históricamente como prueba plena.

Valor legal en España y la UE. El reglamento eIDAS (UE 910/2014) establece el principio de no discriminación: una firma electrónica, cualquiera que sea su nivel (SES, AES, QES), no puede rechazarse como prueba por el solo motivo de ser electrónica. Una firma cualificada (QES) tiene la misma fuerza probatoria que una firma manuscrita en los 27 Estados miembros de la UE.

Firma manuscrita vs firma electrónica. La firma electrónica avanzada (AES) aporta a menudo una trazabilidad superior al papel: pista de auditoría con sellado de tiempo, huella criptográfica del documento, identificación reforzada del firmante con OTP y "autenticación reforzada. Esto explica por qué la mayoría de los sectores con alto volumen contractual (RRHH, inmobiliario, B2B) ya han migrado del papel a la firma electrónica.
MFA (Autenticación multifactor): La autenticación multifactor (MFA, Multi-Factor Authentication) es un mecanismo de seguridad que exige la presentación de al menos dos pruebas de identidad pertenecientes a categorías diferentes: algo que se sabe (contraseña), algo que se tiene (OTP SMS, YubiKey), o algo que se es (biometría). La MFA es sinónimo de autenticación reforzada y es necesaria para alcanzar el nivel AES eIDAS. En Certyneo, los accesos de administrador están protegidos por MFA obligatoria.

N

Nivel de firma (simple, avanzado, cualificado): El reglamento eIDAS distingue tres niveles de firma electrónica: la firma simple (SES), que requiere un mínimo de identificación; la firma avanzada (AES), que exige un vínculo único con el firmante y una autenticación reforzada; y la firma cualificada (QES), que se basa en un certificado cualificado y un dispositivo de creación seguro. La QES tiene el mismo valor jurídico que una firma manuscrita en toda la UE. Comprender los niveles de firma →
No repudio: El no repudio es la propiedad de una firma electrónica que hace imposible que el firmante niegue haber realizado la acción (firmar, enviar, aceptar). Está asegurado por la combinación de la firma criptográfica (vínculo técnico irrefutable), la pista de auditoría con sello de tiempo y la autenticación reforzada. Una firma cualificada (QES) ofrece el no repudio más sólido reconocido por el derecho europeo.

O

OCSP (Protocolo de estado de certificado en línea): El OCSP (RFC 6960) es un protocolo que permite verificar en tiempo real el estado de revocación de un certificado digital, consultando un respondedor OCSP operado por la autoridad de certificación. Constituye una alternativa más ligera y reactiva a la CRL. El OCSP Stapling permite al servidor adjuntar la respuesta OCSP directamente en el handshake TLS, evitando un viaje de ida y vuelta adicional. Las respuestas OCSP también se incrustan en los documentos firmados para la validación a largo plazo (LTV).
OTP (Contraseña de un solo uso): Un OTP (One-Time Password, contraseña de un solo uso) es un código temporal generado aleatoriamente y válido para una única sesión o transacción. En el contexto de la firma electrónica avanzada, el envío de un OTP por correo electrónico y/o SMS crea un vínculo verificable entre el documento y la identidad del firmante a través de su dirección de correo o número de teléfono. El OTP por SMS sigue siendo válido para la firma avanzada (AES) pero ya no se acepta para la firma cualificada (QES) desde 2020: ENISA y los organismos nacionales (ANSSI, BSI) recomiendan factores más fuertes como TOTP o tarjetas inteligentes. Certyneo utiliza Twilio Verify para la gestión de OTP SMS en sus sobres de nivel avanzado. Más información sobre OTP →

P

PAdES (PDF Advanced Electronic Signature): PAdES (PDF Advanced Electronic Signature, norma ETSI EN 319 142) es el estándar europeo para las firmas digitales incrustadas en archivos PDF. Se divide en cuatro perfiles de madurez creciente: B-B (firma básica), B-T (con sello de tiempo), B-LT (validación a largo plazo) y B-LTA (archivado con sello de tiempo recertificado). Certyneo produce PDF PAdES B-LT, garantizando la verificabilidad sin conexión en Adobe Acrobat Reader y un valor probatorio duradero. Ver también XAdES / PAdES / CAdES →
PDF/A (archivado a largo plazo): PDF/A es una versión normalizada ISO del formato PDF (ISO 19005) especialmente diseñada para el archivado a largo plazo. Integra todas las fuentes, imágenes y recursos en el archivo, prohíbe el cifrado y los contenidos dependientes de un entorno externo. Esto garantiza que el documento seguirá siendo legible dentro de 30 años sin dependencia de software. Para el archivado electrónico con valor probatorio, combinar PDF/A con PAdES B-LTA es la práctica recomendada.
PIPEDA (Ley de protección de información personal y documentos electrónicos): PIPEDA es la ley federal canadiense sobre la protección de la información personal en el sector privado (L.C. 2000, c. 5). Regula la recogida, uso y divulgación de información personal en actividades comerciales interprovinciales e internacionales. Para la firma electrónica, impone que los datos de firma (nombre, correo, metadatos de sesión) se recaben con consentimiento informado, se almacenen de forma segura y se eliminen a petición. Certyneo aloja los datos de firma en Europa (IONOS Alemania).
Pista de auditoría: La pista de auditoría (o audit trail) es el registro con sello de tiempo de todas las acciones realizadas en un documento: envío, apertura, consulta, introducción de OTP, firma, rechazo, vencimiento. Constituye la principal prueba de valor probatorio en caso de litigio, demostrando que el proceso de firma se realizó conforme a las reglas. En Certyneo, la pista de auditoría está integrada en el PDF final y almacenada en nuestra base de datos durante 10 años. Comprender la pista de auditoría en detalle →
PKI (Infraestructura de clave pública): Una PKI (Public Key Infrastructure) es el conjunto de componentes hardware, software, procedimientos y políticas que permiten emitir, gestionar y revocar certificados electrónicos. Se basa en la criptografía asimétrica: una clave privada (secreta) sirve para firmar digitalmente, una clave pública (difundida en el certificado) permite a cualquiera verificar la firma. Los prestadores cualificados y los QTSP operan PKI conformes con los estándares ETSI EN 319 411 (políticas de certificación) y EN 319 421 (sellos de tiempo) — base técnica de toda firma cualificada (QES).
Prestador de servicios de confianza (PSC / TSP): Un prestador de servicios de confianza (PSC o TSP en inglés) es una entidad que proporciona servicios de sellado de tiempo, emisión de certificados, firma o archivado en el sentido del reglamento eIDAS. Un PSC cualificado está sujeto a auditorías regulares y figura en la lista de confianza nacional (en Francia: lista ANSSI). La cualificación garantiza el nivel de garantía más alto reconocido en la UE.

Q

QES (Firma Electrónica Cualificada): ¿Qué es la firma electrónica cualificada? La firma electrónica cualificada (QES, Qualified Electronic Signature) es el nivel más alto definido por el reglamento eIDAS (UE 910/2014). Es jurídicamente equivalente a una firma manuscrita en toda la Unión Europea y se admite como prueba plena ante cualquier tribunal de los 27 Estados miembros, sin necesidad de demostrar su validez en el procedimiento.

Tres requisitos obligatorios. Su emisión exige: (1) una verificación de identidad presencial o equivalente certificada; (2) un certificado cualificado emitido por un QTSP inscrito en la lista oficial de la Comisión Europea (EU Trusted List); (3) el uso de un dispositivo cualificado de creación de firma (QSCD) — típicamente un HSM certificado FIPS 140-2 nivel 3 o una tarjeta inteligente con chip criptográfico (DNIe en España).

Cuándo es obligatoria la QES. Escrituras notariales electrónicas, contratos públicos por encima de ciertos umbrales, actos administrativos sensibles, contratos del sector financiero regulados por MiFID II, y en algunos Estados miembros también contratos de trabajo y arrendamientos. Para el resto del B2B y la mayoría de los contratos civiles y mercantiles, la firma electrónica avanzada (AES) es suficiente y mucho más ágil de implementar.
QSCD (Dispositivo Cualificado de Creación de Firma): ¿Qué es un QSCD? Un QSCD (Qualified Signature Creation Device, dispositivo cualificado de creación de firma) es un dispositivo hardware o software que cumple los estrictos requisitos del Anexo II de eIDAS para la creación de firmas cualificadas (QES). Garantiza que la clave privada de firma se genera en el dispositivo, nunca lo abandona en claro y solo puede ser utilizada por su titular legítimo tras una autenticación reforzada.

Tipos de QSCD. (1) HSM certificados (FIPS 140-2 nivel 3, Common Criteria EAL4+) operados por un QTSP — base de la firma cualificada en la nube; (2) tarjetas inteligentes con chip criptográfico (DNIe español, carte CPS francesa, cartões portugueses); (3) tokens USB criptográficos (eToken, YubiKey 5 FIPS); (4) aplicaciones móviles certificadas con autenticación biométrica reforzada (firma móvil cualificada).

QSCD vs HSM. Todo QSCD basado en hardware tiene un HSM en su núcleo, pero no todo HSM es un QSCD: la certificación QSCD añade requisitos adicionales sobre el control exclusivo del titular y la trazabilidad de cada operación de firma (pista de auditoría completa de cada autorización). La firma en la nube utiliza QSCD virtuales alojados en HSM certificados — el firmante autoriza cada firma mediante OTP o biometría, sin tener que llevar la tarjeta físicamente.
QTSP (Prestador de servicios de confianza cualificado): Un QTSP (Qualified Trust Service Provider) es un PSC que ha sido auditado e inscrito en la lista de confianza de un Estado miembro de la UE en virtud del reglamento eIDAS. La cualificación es el nivel de reconocimiento europeo más alto: es obligatorio para emitir certificados cualificados, sellos de tiempo cualificados o firmas cualificadas (QES). Certyneo está conectado con varios QTSP para activar la QES cuando se requiere el nivel cualificado.

R

Recordatorio automático: El recordatorio automático es la funcionalidad de una plataforma de firma electrónica que envía automáticamente recordatorios por correo electrónico o SMS a los firmantes que aún no han firmado, según una frecuencia configurable. Reduce los abandonos de firma y acelera la finalización de los flujos de trabajo. En Certyneo, los recordatorios son configurables por sobre (frecuencia, contenido del mensaje) y todas las acciones quedan registradas en la pista de auditoría.
RGPD (Reglamento General de Protección de Datos): El RGPD (Reglamento General de Protección de Datos, Reglamento UE 2016/679) regula la recogida, el tratamiento y la conservación de datos personales en la UE. En el marco de la firma electrónica, impone en particular minimizar los datos recogidos sobre los firmantes, definir un plazo de conservación y garantizar el derecho de supresión. Certyneo cumple el RGPD con alojamiento en la UE (Alemania) y un registro de tratamientos disponible. Ver nuestra página de seguridad →
ROI de la firma electrónica: El ROI (retorno de la inversión) de la firma electrónica se mide en cuatro ámbitos: (1) reducción del ciclo de firma — de 5-10 días (correo/escaneo) a menos de 1 hora de media, (2) ahorros directos — impresión, franqueo, archivado físico (estimados entre 15 y 30 € por sobre), (3) reducción de la tasa de abandono — los contratos en espera de firma en papel tienen una tasa de abandono 3 veces mayor, (4) cumplimiento — las multas del RGPD por mala conservación pueden superar el coste anual de una herramienta SaaS.

S

SES (Firma Electrónica Simple): La firma electrónica simple (SES, Simple Electronic Signature) es el nivel básico definido por el reglamento eIDAS. No requiere ningún requisito técnico específico: un clic en «Acepto», una imagen de firma o una firma por correo electrónico lo satisface. Su valor probatorio se presume pero puede impugnarse si el firmante niega su acto. Es adecuada para documentos con bajo riesgo jurídico. Para situaciones importantes, se recomienda el nivel AES o QES.
Firmante: El firmante es la persona física (o jurídica a través de un sello electrónico) que coloca su firma electrónica en un documento. En Certyneo, el firmante recibe un enlace único por correo electrónico, visualiza el documento, se autentica mediante OTP y firma sin necesidad de crear una cuenta. Su identidad queda registrada en la pista de auditoría.
Firma avanzada (AES / eIDAS nivel 2): La firma avanzada (Advanced Electronic Signature — AES) es el segundo nivel de firma electrónica definido por el reglamento eIDAS. Debe estar vinculada de forma única al firmante, permitir su identificación, crearse con datos bajo su control exclusivo y hacer detectable cualquier modificación posterior del documento. Certyneo la implementa mediante autenticación reforzada (correo + OTP correo/SMS) y una pista de auditoría con sello de tiempo. Ver también: AES, SES, QES.
Firma biométrica: La firma biométrica es una forma de firma electrónica que captura, además de la imagen del trazo manuscrito, datos conductuales dinámicos: presión del lápiz, velocidad, ángulo de inclinación, aceleración. Estos parámetros crean una huella única difícil de imitar. Ofrece una autenticación más robusta que una simple imagen de firma. Los datos biométricos se consideran sensibles según el RGPD y requieren consentimiento explícito. Sola, la biometría no es suficiente para alcanzar el nivel AES eIDAS; debe combinarse con una autenticación reforzada.
Firma en la nube: La firma en la nube es una firma electrónica en la que la clave privada del firmante es generada, almacenada y gestionada por un proveedor de confianza en la nube, en lugar de en un dispositivo local (llave USB, tarjeta inteligente). Este enfoque simplifica la experiencia del usuario y permite la firma cualificada (QES) desde un simple navegador. Las claves están protegidas en un HSM certificado operado por un QTSP.
Firma electrónica: La firma electrónica es un mecanismo que permite colocar en un documento digital una prueba de identidad y consentimiento equivalente a una firma manuscrita. En el sentido del reglamento eIDAS, engloba tres niveles de confianza: simple (SES), avanzada (AES) y cualificada (QES). A diferencia de la firma digital, la firma electrónica es un concepto jurídico que puede apoyarse en diferentes tecnologías. Descubra nuestra guía completa →
Firma móvil: La firma móvil designa la capacidad de firmar un documento electrónicamente desde un smartphone o tableta, sin aplicación nativa — a través del navegador web. El firmante recibe un enlace por correo electrónico o SMS, visualiza el documento en su navegador móvil, rubrica y firma mediante un gesto táctil o escribiendo su nombre completo (según el nivel requerido), luego valida mediante OTP SMS. En Certyneo, la interfaz de firma es 100% responsive: identidad verificada, pista de auditoría generada y PDF cofirmado transmitido al destinatario en menos de 60 segundos en móvil 4G.
Firma digital: La firma digital es una implementación técnica de la firma electrónica basada en criptografía asimétrica. Consiste en cifrar el hash de un documento con la clave privada del firmante, produciendo una huella verificable por cualquiera que disponga de la clave pública correspondiente (contenida en el certificado). Garantiza tanto la identidad del firmante como la integridad del documento.
Suite criptográfica (cipher suite): Una suite criptográfica es una combinación nombrada de algoritmos criptográficos (intercambio de claves, autenticación, cifrado simétrico, MAC/HMAC) negociada entre el cliente y el servidor durante el handshake TLS. TLS 1.3 impone suites modernas como TLS_AES_256_GCM_SHA384, eliminando algoritmos débiles (RC4, 3DES, MD5). Certyneo solo acepta suites TLS 1.3 para maximizar la seguridad de las sesiones de firma.

T

Tercero de confianza: Un tercero de confianza es un actor neutral e independiente cuya misión es asegurar un intercambio entre dos partes: en la firma electrónica, atestigua la identidad de los firmantes, sella el documento, marca temporalmente las acciones y conserva las pruebas. Históricamente, los notarios desempeñaban este papel para los documentos en papel. En el ámbito digital, el tercero de confianza está formalizado por el reglamento eIDAS en forma de prestadores de servicios de confianza (PSC/TSP) y su versión cualificada (QTSP).
TLS (Seguridad de la capa de transporte): TLS (Transport Layer Security) es el protocolo criptográfico que asegura las comunicaciones en Internet, sucesor de SSL. Garantiza la confidencialidad (cifrado), la integridad y la autenticación del servidor (a través de su certificado). TLS 1.3, la versión actual, impone suites criptográficas modernas y un handshake en un solo viaje de ida y vuelta. El candado en el navegador señala que una conexión TLS está activa. Certyneo impone TLS 1.3 como mínimo en todos sus endpoints.
Lista de confianza (UE): La lista de confianza es la lista oficial publicada por cada Estado miembro de la UE y supervisada por la Comisión Europea, que enumera los prestadores de servicios de confianza cualificados (QTSP) y sus servicios (certificados cualificados, sellos de tiempo, etc.). En Francia, la lista la mantiene la ANSSI. Es la prueba de legitimidad de un QTSP en el marco del reglamento eIDAS.

U

UETA (Ley Uniforme de Transacciones Electrónicas): UETA (Uniform Electronic Transactions Act, 1999) es la ley modelo estadounidense que reconoce el valor probatorio de las firmas electrónicas en 47 de los 50 estados. Complementada por el ESIGN Act (2000) a nivel federal, establece que los contratos y firmas «no pueden declararse inválidos por el solo motivo de estar en forma electrónica». Es el equivalente funcional estadounidense del reglamento europeo eIDAS, con un enfoque más liberal. Para los contratos transatlánticos, una firma avanzada (AES) eIDAS suele reconocerse como conforme a UETA/ESIGN.

V

Valor probatorio: El valor probatorio es la capacidad de un documento electrónico de ser aceptado como prueba ante un tribunal. Se basa en la fiabilidad del proceso de firma, la trazabilidad asegurada por la pista de auditoría, la integridad garantizada por el hash y la conservación asegurada por el archivado electrónico. El reglamento eIDAS establece una presunción legal de valor probatorio para las firmas avanzadas y cualificadas.
Verificación de identidad (identity proofing): La verificación de identidad (identity proofing) es el proceso de comprobación de la identidad real de una persona antes de emitirle credenciales o autorizarla a firmar. Va desde la simple recogida de una dirección de correo electrónico (nivel simple) hasta la verificación biométrica de documento de identidad por vídeo (KYC vídeo, nivel cualificado). Es obligatoria para emitir un certificado cualificado y activar una firma cualificada (QES).
Visto electrónico (paráf): El visto electrónico (o paráf electrónico) es una acción de validación intermedia colocada en un documento por un aprobador antes de la firma final. Indica que un lector ha tomado conocimiento del documento y lo aprueba sin firmarlo de manera jurídicamente vinculante. En Certyneo, los flujos de trabajo multiactor permiten combinar etapas de visto (validación interna) y etapas de firma (compromiso jurídico externo), garantizando una trazabilidad completa del circuito de validación.

W

Webhook: Un webhook es un mecanismo de API que permite a Certyneo enviar automáticamente una notificación HTTP a la aplicación del cliente cuando se produce un evento (documento firmado, rechazado, vencido, pista de auditoría generada). A diferencia del polling, el webhook funciona en modo push: el cliente no necesita consultar la API regularmente. Permite integrar Certyneo en sistemas de terceros (CRM, ERP, SIRH) para desencadenar acciones de negocio en tiempo real al completarse un flujo de trabajo de firma.
Flujo de trabajo de firma: El flujo de trabajo de firma es el proceso organizado que define el orden, las condiciones y los actores implicados en la firma de un documento. Puede ser secuencial (cada firmante firma tras el anterior), paralelo (todos firman al mismo tiempo) o mixto. En Certyneo, el flujo de trabajo incluye la gestión de recordatorios automáticos, plazos de vencimiento y sobres multidocumento.

X

XAdES (XML Advanced Electronic Signature): XAdES (XML Advanced Electronic Signatures, norme ETSI EN 319 132) est le standard européen pour les signatures numériques appliquées à des documents XML. Adopté par le règlement eIDAS, XAdES est le format de référence pour signer des fichiers XML structurés : factures électroniques (Factur-X, PEPPOL), bordereaux EDI, déclarations administratives, données de marché, transcriptions SEPA.

Quatre profils XAdES de maturité croissante, alignés sur PAdES et CAdES :
• XAdES B-B : signature XML de base avec attributs ETSI minimaux. Cas d'usage : signature ponctuelle d'un échantillon XML sans contrainte de date.
• XAdES B-T : ajoute un horodatage qualifié RFC 3161. Standard pour les factures électroniques et les flux EDI où la date d'émission doit être prouvée.
• XAdES B-LT : validation long terme avec chaîne de certificats et données de révocation embarquées. Reste vérifiable après expiration du certificat d'origine.
• XAdES B-LTA : horodatages d'archivage périodiques pour maintenir la valeur probante sur 10+ ans. Indispensable pour les archives fiscales et les registres réglementés.

XAdES vs PAdES : choisir XAdES pour signer un document XML natif (facture Factur-X, bordereau PEPPOL, échange EDI). Choisir PAdES pour signer un PDF (contrats, devis, documents RH). Les deux formats sont juridiquement équivalents — la différence est technique : le format adapté au type de document.

Variantes XAdES : XAdES enveloppante (le document XML est inclus dans la structure de signature), XAdES enveloppée (la signature est ajoutée au document), XAdES détachée (signature stockée dans un fichier séparé). Certyneo gère les trois variantes via l'API REST. Voir le comparatif PAdES / XAdES / CAdES.
XAdES / PAdES / CAdES: XAdES, PAdES y CAdES son los tres formatos estándar de firma digital definidos por ETSI para el reglamento eIDAS. XAdES (XML Advanced Electronic Signatures, EN 319 132) firma documentos XML, PAdES (PDF, EN 319 142) incrusta el token de firma directamente en el PDF — es el formato utilizado por Certyneo para producir archivos verificables sin conexión en Acrobat Reader. CAdES (CMS, EN 319 122) se aplica a flujos binarios arbitrarios. Cada formato se divide en perfiles (B-B, B-T, B-LT, B-LTA) con garantías crecientes.

Y

YubiKey (llave de seguridad hardware): Una YubiKey es una llave de seguridad hardware (USB/NFC) diseñada por Yubico que almacena secretos criptográficos no extraíbles y soporta los protocolos FIDO2/WebAuthn, OpenPGP y PIV. En el contexto de una firma cualificada (QES), una YubiKey puede servir como dispositivo de creación de firma cualificado (QSCD): la clave privada asociada al certificado cualificado nunca abandona el dispositivo, garantizando el nivel más alto de garantía sobre la identidad del firmante.

Z

Sin papel (Zero Paper): El enfoque «sin papel» (o paperless) consiste en reemplazar íntegramente los flujos documentales en papel por equivalentes digitales firmados. Más allá de la ganancia operativa (ciclo de firma dividido entre 5 y 20 de media), el papel cero reduce la huella de carbono vinculada a la impresión, el franqueo y el archivado físico. La firma electrónica, asociada al archivado electrónico con valor probatorio (mínimo 10 años para contratos comerciales), es el prerrequisito técnico del cambio.

Profundizar con nuestras guías

Estas guías profundizan en los conceptos clave del glosario con ejemplos prácticos y casos de uso.

¿Listo para poner en práctica estos conceptos?

Certyneo le permite crear sobres de firma conformes con eIDAS en pocos clics, sin instalación.

Probar gratis Ver planes