Autenticación del firmante: métodos y desafíos

Por qué la autenticación es crítica

La autenticación del firmante es el eslabón más frágil de la cadena de prueba. Sin ella, es imposible probar quién firmó realmente. Una plataforma de firma moderna debe ofrecer varios mecanismos graduados.

Los métodos disponibles

Email de confianza

El firmante recibe un enlace único en su dirección de correo electrónico. Solo el titular de la cuenta puede hacer clic. Simple, efectivo para FES.

Riesgo residual: robo de cuenta de correo. Aceptable para documentos de bajo riesgo.

OTP por SMS

Código de un solo uso enviado al número de teléfono. Combinado con email = FEA.

Riesgo residual: intercambio de SIM (raro pero conocido para objetivos de alto valor).

OTP por aplicación

Código generado por una aplicación (Google Authenticator, Authy, Twilio Authy). Más seguro que SMS para riesgos elevados.

Biometría

Huella digital, reconocimiento facial. Utilizada en dispositivos móviles para fluidificar la experiencia. No se almacena en el servidor (respeto RGPD).

Certificado personal

Certificado criptográfico emitido por un QTSP, almacenado en un dispositivo (YubiKey, tarjeta inteligente). Obligatorio para FEA.

Video KYC

Verificación de identidad por videoconferencia o grabación. Utilizada en sectores regulados (banca, seguros).

Identidad digital nacional

FranceConnect+, itsme (Bélgica), SPID (Italia). Reconocida nivel "sustancial" por eIDAS.

Niveles de confianza (LoA)

eIDAS define tres niveles:

Nivel | Requisito | Ejemplo

Bajo | Email o equivalente | FES

Sustancial | Doble factor | FEA (email + OTP)

Elevado | Verificación de identidad estricta | FEA, KYC video

Alineación con el riesgo

• Documento interno, nota de pedido: LoA bajo (FES) es suficiente

• Contrato de trabajo, arrendamiento, NDA: LoA sustancial (FEA)

• Acta notarial, licitación pública: LoA elevado (FEA)

Errores frecuentes

• Usar FES para todo (subdimensionado)

• Apilar autenticaciones innecesariamente (fricción)

• No registrar los métodos utilizados (prueba debilitada)

• Recopilar demasiados datos biométricos (RGPD)

Protección contra ataques

• Phishing: capacitar a los firmantes para verificar el remitente

• Man-in-the-middle: TLS 1.3 obligatorio

• Intercambio de SIM: OTP por aplicación para riesgos muy elevados

• Deepfake video KYC: controles de vivacidad + verificación cruzada

Caso concreto: neobanc

Flujo de apertura de cuenta:

• Email de confianza

• OTP SMS

• Carga de documento de identidad

• Prueba de vivacidad (selfie)

• Verificación cruzada de listas de sanciones

• Firma FEA

LoA: sustancial. Conforme ACPR. Proceso en 10 minutos.

Cómo Certyneo te ayuda

Certyneo ofrece todos los mecanismos comunes: email, OTP SMS (vía Twilio Verify), integración de certificados calificados para FEA, video KYC opcional, FranceConnect+ en integración. Cada método se registra en la pista de auditoría.

Descubre la solución de firma electrónica Certyneo

Preguntas frecuentes

¿Es SMS lo suficientemente seguro?

Para FEA sí. Para riesgos muy elevados, preferir OTP por aplicación o biometría.

¿Se almacena la biometría?

En el servidor no (respeto RGPD). Los patrones permanecen en el dispositivo.

¿Se pueden combinar varios métodos?

Sí, para fortalecer la prueba.

¿Es FranceConnect+ reconocido?

Sí, nivel sustancial. Puede desencadenar FEA y FEA.

¿Qué pasa si el OTP caduca?

El firmante puede solicitar uno nuevo. Límites anti-fuerza bruta en su lugar.

Conclusión

Una buena autenticación es graduada, trazada y adaptada al riesgo. Sobreau­ten­ti­car crea fricción; subauten­ti­car debilita la prueba. El equilibrio se encuentra documento por documento.

Prueba Certyneo para enviar, firmar y realizar seguimiento de tus documentos en línea de manera simple, rápida y segura.