¿Cómo funciona una firma electrónica?

El principio general

Una firma electrónica no es una imagen. Es un proceso criptográfico que vincula cuatro elementos inseparables: el documento, la identidad del firmante, el momento de la firma y una prueba técnica de que nada ha sido modificado después.

Este proceso se basa en dos pilares: la autenticación del firmante y la integridad del documento.

Paso 1: autenticar al firmante

La autenticación consiste en establecer un vínculo entre la persona que apone su firma y una identidad verificable. Existen varias técnicas, combinables:

• Dirección de correo electrónico de confianza: se envía un enlace único. Solo el titular del correo puede hacer clic y firmar.

• Código OTP (One-Time Password): se envía un código de un solo uso por SMS. El firmante lo ingresa para demostrar que posee el número de teléfono asociado.

• Certificado personal: para la firma calificada, un certificado emitido por un proveedor calificado prueba la identidad del firmante.

El nivel de exigencia varía según el nivel de firma deseado — ver las diferencias entre niveles.

Paso 2: calcular la huella criptográfica

Antes de la firma, la plataforma calcula una huella (hash) del documento. Es una secuencia de caracteres única que representa el contenido del archivo. Cualquier modificación, incluso de un solo carácter, produce una huella completamente diferente.

La huella es como una firma digital del archivo: es pequeña (algunos decenas de bytes) pero garantiza la integridad. Si alguien modifica el documento después de la firma, la huella ya no coincide — la firma se invalida.

Paso 3: asociar identidad y huella

La plataforma cifra la huella con una clave criptográfica vinculada a la identidad del firmante (mediante PKI para QES, o mediante la plataforma para SES/AES). El resultado es el token de firma: un objeto digital que contiene:

• la huella del documento

• el identificador del firmante

• la marca de tiempo precisa

• la firma criptográfica en sí

Este token se integra en el PDF final según el formato PAdES (PDF Advanced Electronic Signatures), un estándar europeo. Concretamente, cuando abre un PDF firmado en Adobe Acrobat Reader, el lector verifica automáticamente el token y muestra "Firma válida" si todo coincide.

Paso 4: marcar con marca de tiempo

La marca de tiempo vincula la firma a un instante preciso y verificable. Una marca de tiempo calificada emitida por un proveedor de confianza proporciona una prueba legal de que el documento existía en esa fecha — argumento decisivo en caso de disputa sobre la fecha del compromiso.

Ver marca de tiempo electrónica para entender el rol y los niveles de marca de tiempo.

Paso 5: registrar en la pista de auditoría

En cada etapa del ciclo de firma, la plataforma registra un evento marcado con fecha y hora:

• envío de la envoltura

• apertura por el firmante (con IP y user-agent)

• ingreso del OTP

• firma efectiva

• rechazo eventual

• expiración

El conjunto constituye la pista de auditoría (audit trail). Es la prueba operacional del proceso. Se integra en el PDF final y se conserva durante 10 años. Ver prueba de firma electrónica.

Lo que sucede concretamente para el firmante

Desde el punto de vista del firmante, la experiencia es minimalista:

• Recibe un correo con un enlace.

• Hace clic y abre el documento en su navegador.

• Lee y luego hace clic en "Firmar".

• Para AES: ingresa un código SMS recibido en su teléfono.

• Listo. Recibe una copia del PDF firmado.

Sin cuenta que crear, sin aplicación que instalar, sin certificado que generar (excepto para QES). Todo se hace en 1 a 3 minutos.

Lo que sucede para el emisor

El emisor controla el proceso desde su panel:

• depósito del documento (PDF, conversión automática si es Word)

• adición de destinatarios y ubicación de campos de firma

• elección del nivel de firma y del orden (paralelo o secuencial)

• configuración de recordatorios automáticos y fecha de expiración

• envío

En tiempo real, ve cada envoltura pasar del estado "enviada" a "abierta" a "firmada". Los webhooks o notificaciones push pueden enviar estos eventos a un CRM o SIRH.

Por qué la firma electrónica es difícil de falsificar

• Huella criptográfica: cualquier modificación invalida la firma

• Autenticación fuerte: sin acceso al correo Y al teléfono (para AES), es imposible hacerse pasar por el firmante

• Pista de auditoría con marca de tiempo: cada etapa se registra con IP y user-agent

• Claves criptográficas: la clave privada del firmante (QES) nunca abandona su dispositivo de hardware

• Archivado 10 años: la prueba sigue siendo movilizable mucho tiempo después de la firma

Cómo Certyneo le ayuda

En Certyneo, todo el pipeline criptográfico se ejecuta en backend en servidores europeos (Alemania, IONOS): depósito del PDF, cálculo de hash SHA-256, integración del token PAdES, marca de tiempo, almacenamiento de la pista de auditoría en una base de datos PostgreSQL cifrada. Usted se beneficia de un proceso conforme a eIDAS sin tener que entender el detalle técnico.

Descubra la solución de firma electrónica Certyneo

Preguntas frecuentes

¿Puedo verificar una firma sin la plataforma que la emitió?

Sí. Un PDF firmado en formato PAdES es verificable por cualquier lector PDF compatible (Adobe Reader, pdfsig, etc.). Incluso si la plataforma emisora desaparece, la firma sigue siendo verificable.

¿Qué sucede si modifico el PDF después de la firma?

La firma se vuelve inválida. El lector PDF muestra una advertencia "El documento ha sido modificado desde la firma" y la huella ya no coincide.

¿Cuál es la vida útil de una firma electrónica?

La firma sigue siendo válida mientras los algoritmos criptográficos utilizados lo sean. Para garantizar una validez a largo plazo, se utilizan formatos PAdES-LTA (Long Term Archive) que integran marcas de tiempo calificadas regeneradas periódicamente.

¿Puedo firmar varios documentos a la vez?

Sí. Una envoltura Certyneo puede incluir varios documentos que se firman todos en un solo clic. Cada documento mantiene su propia huella pero la pista de auditoría es común.

¿Revela la huella el contenido del documento?

No. La huella es unidireccional: puede calcular la huella a partir del documento, pero no recuperar el documento a partir de la huella. Esta es una de las propiedades fundamentales de las funciones de hash criptográfico.

Conclusión

Una firma electrónica es un proceso criptográfico que vincula de manera verificable a un firmante, un documento, una fecha y un consentimiento. El firmante no tiene que entender nada de esto — para él, es un clic y un código SMS. Para usted, es una prueba sólida, archivada, movilizable.

Pruebe Certyneo para enviar, firmar y seguir sus documentos en línea de forma sencilla, rápida y segura.