¿Cómo funciona una firma electrónica?

El principio general

Una firma electrónica no es una imagen. Es un procedimiento criptográfico que vincula cuatro elementos inseparables: el documento, la identidad del firmante, el momento de la firma y una prueba técnica de que nada fue modificado posteriormente.

Este procedimiento se basa en dos pilares: la autenticación del firmante y la integridad del documento.

Paso 1: autenticar al firmante

La autenticación consiste en establecer un vínculo entre la persona que coloca su firma y una identidad verificable. Existen varias técnicas, combinables entre sí:

• Correo electrónico de confianza: se envía un enlace único. Solo el titular del correo puede hacer clic y firmar.

• Código OTP (One-Time Password): se envía un código de uso único por SMS. El firmante lo ingresa para demostrar que posee el número de teléfono asociado.

• Certificado personal: para la firma cualificada, un certificado emitido por un prestador cualificado acredita la identidad del firmante.

El nivel de exigencia varía según el nivel de firma deseado — ver las diferencias entre niveles.

Paso 2: calcular la huella criptográfica

Antes de la firma, la plataforma calcula una huella (hash) del documento. Es una cadena de caracteres única que representa el contenido del archivo. Cualquier modificación, incluso de un solo carácter, produce una huella completamente diferente.

La huella es como una firma digital del archivo: es pequeña (algunas decenas de bytes) pero garantiza la integridad. Si alguien modifica el documento después de la firma, la huella ya no corresponde — la firma queda invalidada.

Paso 3: asociar identidad y huella

La plataforma cifra la huella con una clave criptográfica vinculada a la identidad del firmante (mediante PKI para la QES, o mediante la plataforma para la SES/AES). El resultado es el token de firma: un objeto digital que contiene a la vez:

• la huella del documento

• el identificador del firmante

• el sellado de tiempo preciso

• la firma criptográfica en sí misma

Este token se incorpora al PDF final según el formato PAdES (PDF Advanced Electronic Signatures), un estándar europeo. En términos prácticos, cuando abre un PDF firmado en Adobe Acrobat Reader, el lector verifica automáticamente el token y muestra "Firma válida" si todo corresponde.

Paso 4: sellar con marca de tiempo

El sellado de tiempo vincula la firma a un instante preciso y verificable. Un sellado de tiempo cualificado emitido por un prestador de confianza proporciona una prueba legal de que el documento existía en esa fecha — argumento decisivo en caso de controversia sobre la fecha de compromiso.

Ver sellado de tiempo electrónico para comprender el rol y los niveles de sellado de tiempo.

Paso 5: registrar en la pista de auditoría

En cada etapa del ciclo de firma, la plataforma registra un evento con sellado de tiempo:

• envío del sobre

• apertura por parte del firmante (con IP y user-agent)

• ingreso del OTP

• firma efectiva

• rechazo eventual

• vencimiento

El conjunto constituye la pista de auditoría (audit trail). Es la prueba operacional del proceso. Se integra al PDF final y se conserva por 10 años. Ver prueba de firma electrónica.

Lo que ocurre concretamente del lado del firmante

Desde el punto de vista del firmante, la experiencia es mínima:

• Recibe un correo electrónico con un enlace.

• Hace clic y abre el documento en su navegador.

• Lo lee y luego hace clic en "Firmar".

• Para la AES: ingresa un código SMS recibido en su teléfono.

• Listo. Recibe una copia del PDF firmado.

Sin necesidad de crear una cuenta, instalar una aplicación ni generar un certificado (excepto para la QES). Todo se realiza en 1 a 3 minutos.

Lo que ocurre del lado del emisor

El emisor gestiona el proceso desde su panel de control:

• carga del documento (PDF, conversión automática si es Word)

• adición de destinatarios y colocación de los campos de firma

• elección del nivel de firma y del orden (paralelo o secuencial)

• configuración de los recordatorios automáticos y la fecha de vencimiento

• envío

En tiempo real, ve cómo cada sobre pasa del estado "enviado" a "abierto" a "firmado". Los webhooks o notificaciones push pueden enviar estos eventos a un CRM o un SIRH.

Por qué la firma electrónica es difícil de falsificar

• Huella criptográfica: cualquier modificación invalida la firma

• Autenticación fuerte: sin acceso al correo electrónico Y al teléfono (para la AES), es imposible hacerse pasar por el firmante

• Pista de auditoría con sellado de tiempo: cada etapa queda registrada con IP y user-agent

• Claves criptográficas: la clave privada del firmante (QES) nunca abandona su dispositivo físico

• Archivo por 10 años: la prueba puede ser utilizada mucho tiempo después de la firma

Cómo Certyneo le ayuda

En Certyneo, todo el pipeline criptográfico funciona en el backend sobre servidores europeos (Alemania, IONOS): carga del PDF, cálculo de hash SHA-256, integración del token PAdES, sellado de tiempo, guardado de la pista de auditoría en una base de datos PostgreSQL cifrada. Usted se beneficia de un procedimiento conforme con eIDAS sin necesidad de comprender los detalles técnicos.

Descubrir la solución de firma electrónica Certyneo

Preguntas frecuentes

¿Puedo verificar una firma sin la plataforma que la emitió?

Sí. Un PDF firmado en formato PAdES puede ser verificado por cualquier lector PDF compatible (Adobe Reader, pdfsig, etc.). Aunque la plataforma emisora desaparezca, la firma sigue siendo verificable.

¿Qué sucede si modifico el PDF después de firmarlo?

La firma queda invalidada. El lector PDF muestra una advertencia "El documento ha sido modificado desde la firma" y la huella ya no corresponde.

¿Cuál es la vigencia de una firma electrónica?

La firma sigue siendo válida mientras los algoritmos criptográficos utilizados lo sean. Para garantizar una validez a largo plazo, se utilizan formatos PAdES-LTA (Long Term Archive) que integran sellos de tiempo cualificados regenerados periódicamente.

¿Se pueden firmar varios documentos a la vez?

Sí. Un sobre de Certyneo puede incluir varios documentos que se firman todos con un solo clic. Cada documento conserva su propia huella, pero la pista de auditoría es común.

¿La huella revela el contenido del documento?

No. La huella es unidireccional: se puede calcular la huella a partir del documento, pero no recuperar el documento a partir de la huella. Esta es una de las propiedades fundamentales de las funciones de hash criptográfico.

Conclusión

Una firma electrónica es un procedimiento criptográfico que vincula de manera verificable a un firmante, un documento, una fecha y un consentimiento. El firmante no necesita entender nada de esto — para él, es un clic y un código SMS. Para usted, es una prueba sólida, archivada y disponible.

Pruebe Certyneo para enviar, firmar y dar seguimiento a sus documentos en línea de forma simple, rápida y segura.