Trazabilidad documental en la firma electrónica: qué registra la pista de auditoría y qué prueba

Alguien dice que nunca firmó. El garabato de la página cuatro no resuelve nada, porque cualquiera puede pegar la imagen de un nombre en un PDF. Lo que sí resuelve es la trazabilidad documental del contrato: el registro ordenado en el tiempo que guarda el servicio de firma, la pista de auditoría: quién recibió el documento, cómo lo abrió, cómo acreditó su identidad, cuándo firmó y qué aspecto tenía el archivo en ese momento.

Los servicios la llaman certificado de finalización, informe de auditoría, constancia de firma electrónica o archivo de evidencias, y en México es habitual decir bitácora de auditoría; en inglés se llama audit trail. El nombre importa menos que el contenido.

¿Qué es una pista de auditoría en general? El glosario del NIST la define como un registro cronológico que permite reconstruir la secuencia de actividades detrás de un evento. Esa es la trazabilidad de documentos resumida en una línea. En un contrato firmado, el registro son sobre todo metadatos: nombres, correos electrónicos, marcas de tiempo, direcciones IP, hashes del documento. Nada de eso es el contrato. Todo eso es lo que usted necesitará si el contrato se discute.

A continuación: qué registra la pista de auditoría que sostiene la trazabilidad documental de una firma electrónica, qué prueba cada campo, qué exigen el derecho español, el mexicano y eIDAS, y qué quería ver un tribunal californiano sin conseguirlo nunca. Si solo quiere enviar algo a firmar, empiece por el flujo de firma.

La mayoría de los servicios de firma registra los mismos eventos. Se diferencian en cuánto guardan sobre la identidad y en si algo ajeno a su propia base de datos puede confirmar el registro más adelante.

La tabla enumera los campos habituales de la trazabilidad documental de una firma electrónica en el orden en que ocurren, con el límite honesto de cada uno. Lea dos veces la última columna: ahí empiezan las disputas.

Este es un ejemplo breve de trazabilidad documental para un contrato de servicios entre dos partes, tal como lo imprimen la mayoría de los informes de pista de auditoría. Los nombres, direcciones y hashes son inventados.

1. 1.
   2026-10-02 09:14:05 UTC. Documento "Contrato de servicios v3" creado por Priya Nair (priya@agency.example). Hash 9b1e…c07.
2. 2.
   09:15:40. Enviado a firma a Tom Weller (tom@client.example).
3. 3.
   11:02:19. Tom Weller abrió el enlace. IP 198.51.100.23, Safari en iOS.
4. 4.
   11:03:02. Tom Weller superó la verificación por SMS a un número terminado en 4471.
5. 5.
   11:04:47. Tom Weller firmó. IP 198.51.100.23.
6. 6.
   11:20:13. Priya Nair firmó. IP 203.0.113.9.
7. 7.
   11:20:14. Finalizado. Hash final a41d…e52.

Léala como la leería el abogado de la otra parte. Las líneas 3 a 5 vinculan la firma de Tom con un buzón y un teléfono, desde una sola dirección de red, en menos de tres minutos. Es una historia coherente. Las líneas 1 y 7 dan dos hashes: el archivo que salió y el archivo que volvió firmado. Si el PDF que usted presenta ante el tribunal da como hash a41d…e52, nadie lo modificó después de la finalización.

¿Qué falta? Nada registra qué versión vio Tom al abrir el enlace. Una buena pista de auditoría o bien registra cada edición posterior al envío, o bien bloquea el borrador en cuanto sale. Pregunte a su proveedor cuál de las dos hace, porque "eso no lo registramos" es una mala noticia que conviene no oír por primera vez en la audiencia.

En España y en México, la pregunta ante una firma electrónica discutida es estrecha: ¿fue un acto de esa persona? En España, el artículo 326 de la LEC (al que remite la Ley 6/2020, art. 3) distingue según el servicio de confianza. Con uno cualificado se presume que el documento reúne la característica cuestionada, y comprobarlo corresponde a quien impugna. Con uno no cualificado, el tribunal puede acudir al cotejo pericial u otra prueba y, si no queda acreditado, valora el documento conforme a la sana crítica. En México, el Código de Comercio presume del emisor el mensaje de datos enviado con sus claves o contraseñas (art. 90) y manda estimar, sobre todo, la fiabilidad del método con que se generó, archivó, comunicó o conservó (art. 1298-A).

Ahí es donde trabaja la pista de auditoría, aunque no sola. Da a un testigo (alguien de su empresa, a veces del proveedor) los hechos que explican por qué la firma solo pudo proceder de esa persona. Sin testigo, la trazabilidad documental queda en una lista de líneas.

Los puntos débiles: identidad y hora

Por eso la línea de autenticación pesa más que cualquier otro campo de la trazabilidad documental. Un enlace por correo prueba que el firmante pudo abrir ese buzón. Un código SMS añade un teléfono. Una verificación de identidad con pasaporte añade una cara y un documento. Cada capa reduce el grupo de personas que pudieron firmar, y ninguna lo reduce a una sola. Un buzón compartido, un asistente que firma por su jefa, un teléfono olvidado sobre un escritorio: la pista registra las credenciales, y el tribunal decide qué dicen sobre la persona.

La hora es el otro punto débil. La mayoría de las pistas de auditoría toman sus marcas de tiempo de los servidores del proveedor. Casi siempre basta, porque nadie tiene motivos para dudar de ellas, pero sigue siendo la palabra del proveedor. Un sello de tiempo cualificado de un prestador de servicios de confianza, o un hash escrito en una blockchain pública, pone a una segunda parte detrás de la hora.

La UE enuncia la misma idea de otro modo. Según el artículo 25.1 de eIDAS, no se deniegan efectos jurídicos ni admisibilidad como prueba en procedimientos judiciales a una firma electrónica por el mero hecho de ser electrónica o de no cumplir los requisitos de la firma cualificada. Con las firmas simples y avanzadas se discute, pues, el peso, y ese peso sale de la pista de auditoría. La firma cualificada tiene un efecto jurídico equivalente al de una firma manuscrita (art. 25.2), y ahí la pista pasa a un segundo plano.

Siendo sinceros, la mayoría de las disputas no llega tan lejos. Una pista coherente suele cerrar la discusión antes de que nadie presente una demanda, porque la otra parte también la lee.

Ninguna ley enumera los campos que debe contener una pista de auditoría, tampoco eIDAS. El derecho fija el resultado: el registro es fiable y recuperable, la firma es atribuible a una persona y, en el nivel avanzado, cualquier cambio en los datos firmados es detectable. Esos son los requisitos reales, y la trazabilidad documental es su manera de cumplirlos.

Las reglas españolas están en la Ley de Enjuiciamiento Civil y en la Ley 6/2020; las mexicanas, en el Código de Comercio; las europeas, en el reglamento eIDAS consolidado. En México, la NOM-151-SCFI-2016 añade otra capa: la constancia de conservación, un sello digital de tiempo que un prestador de servicios de certificación emite sobre la huella del mensaje de datos. Las reglas de EE. UU. aparecen para comparar, porque muchos servicios se diseñaron a partir de ellas. La tabla asigna cada regla al campo que la responde. Para el Reino Unido y el RGPD, vea qué exigen ESIGN, eIDAS y la parte 11 de un proceso de firma.

El equivalente europeo de la parte 11 es el anexo 11 de las normas de correcta fabricación (EudraLex, volumen 4), sobre sistemas informatizados. Su apartado 9 pide valorar, según el riesgo, que el sistema registre todos los cambios y borrados relevantes (una "pista de auditoría") con su motivo, en forma legible y revisada con regularidad; el apartado 14, que la firma electrónica quede vinculada de forma permanente a su registro e incluya fecha y hora. En España, el Real Decreto 824/2010 somete a los laboratorios farmacéuticos a autorización e inspección conforme a esas normas; en México, la fabricación de medicamentos se rige por la NOM-059-SSA1-2015.

En Fabian v. Renovate America (Tribunal de Apelación de California, noviembre de 2019), una propietaria dijo que nunca había firmado un contrato de financiación que llevaba su firma electrónica. La empresa quería el arbitraje previsto en ese contrato, así que tenía que probar que ella había firmado. No pudo. El contrato había pasado por DocuSign, pero el tribunal constató que Renovate no aportó ninguna prueba sobre el procedimiento usado para verificar la firma electrónica de la demandante a través de DocuSign. La palabra DocuSign ni siquiera aparecía en sus escritos.

La sentencia enumera después lo que nadie había respondido, y la lista parece el índice de la trazabilidad documental de un contrato. También se apoya en un caso anterior, Ruiz v. Moss Bros. Auto Group, donde un gerente afirmó que una empleada había firmado sin explicar nunca cómo la firma solo pudo proceder de alguien que usara su usuario y contraseña personales.

Fíjese en lo que Fabian no es: no es la historia de una pista de auditoría de DocuSign deficiente. El registro nunca llegó ante el tribunal. Una pista de auditoría solo ayuda si usted la conserva, la presenta y tiene a alguien que explique el procedimiento que hay detrás. En los tribunales federales de EE. UU., la regla 902(13) permite que la certificación escrita de una persona cualificada haga esa explicación.

Un tribunal español o mexicano preguntará lo mismo, con otro andamiaje. En España, si se impugna el documento y no hay servicio cualificado, el artículo 326.2 de la LEC deja a quien lo presentó pedir el cotejo pericial u otra prueba, y el tribunal valora lo que quede acreditado. En México, el artículo 1298-A del Código de Comercio manda mirar la fiabilidad del método con que se generó y conservó el mensaje. En los dos países, la trazabilidad documental que usted pueda mostrar y explicar es lo que convence.

La trazabilidad documental que el personal del proveedor pudiera reescribir sin que se note sigue siendo una prueba, pero una que depende de confiar en ellos. Tres técnicas hacen visible cualquier manipulación y sacan esa confianza de la ecuación:

• Calcular el hash del documento. Un hash es una huella corta de un archivo; si cambia un solo carácter, cambia. Si el hash de la pista coincide con el archivo que usted tiene, es el archivo que se firmó. La nota del comité a la regla 902(14) de las Federal Rules of Evidence de EE. UU. trata los valores hash como el modo habitual de mostrar que una copia coincide con su original.
• Encadenar el registro: cada entrada lleva el hash de la anterior, de modo que editar una línea antigua rompe todas las siguientes.
• Escribir un hash donde el proveedor no tenga control, por ejemplo una blockchain pública, para que ni siquiera él pueda cambiarle la fecha.

Chaindoc usa las dos últimas de una forma concreta y limitada. La aplicación guarda un registro de eventos encadenado por hash de cada firma. Dos momentos se escriben en la cadena, en la red SKALE: al publicar un documento para firma se registra el hash de su versión, y al terminar la firma, la prueba de cada firmante. Las identidades, las direcciones IP y cada visualización quedan en el registro de la aplicación, no en la cadena. Para ampliar: por qué Chaindoc registra en SKALE.

Para el propio PDF firmado, el servicio de verificación de firmas PDF indica si la integridad del archivo se mantiene y qué certificado firmó. Pide su correo y un código de un solo uso antes de la primera comprobación.

Todos los servicios habituales producen la trazabilidad documental de una firma electrónica en forma de pista de auditoría; se diferencian en lo que registran y en lo fácil que es sacarla.

La propia guía de Adobe enumera cuatro cosas que debe incluir una pista de auditoría: fecha y hora de la firma, confirmación de que el firmante fue verificado, un registro de los cambios hechos durante o después de la firma y la dirección IP de cada firmante. Es un mínimo razonable para revisar la pista de auditoría de Adobe Sign o la de cualquier otro. En cuanto al certificado de finalización de DocuSign, Fabian recuerda que solo funciona cuando alguien lo presenta y explica el procedimiento.

La de Chaindoc es así. Cuando firma la última parte, puede descargar una pista de auditoría en PDF con cada firmante, sus marcas de tiempo y direcciones IP, el hash del documento y el ID de la transacción en la blockchain. Si activó la verificación de identidad opcional (una función de los planes de pago), su resultado también entra en la pista. Las firmas cualificadas de Chaindoc son PAdES-BES y no llevan sello de tiempo cualificado, así que allí la prueba de la hora es la pista más el bloque que contiene el registro de finalización. Chaindoc tampoco es un prestador de servicios de confianza: el certificado cualificado lo emite un prestador que lleva sus propios registros. Para ampliar: cómo funcionan las firmas cualificadas.

Cinco preguntas para cualquier proveedor

¿Busca una firma electrónica con pista de auditoría que sirva como prueba? Pregunte:

1. 1.
   ¿Qué eventos registran, y registran las ediciones hechas después de enviar un documento?
2. 2.
   ¿Qué opciones de autenticación puedo exigir para un solo documento?
3. 3.
   ¿De dónde salen sus marcas de tiempo?
4. 4.
   ¿Puedo exportar la pista junto con el archivo firmado y conservarla sin cuenta?
5. 5.
   ¿Puede un tercero comprobar el registro sin su ayuda?

Conserve la trazabilidad documental mientras conserve el contrato, y guárdelos juntos. En España, el artículo 30 del Código de Comercio manda conservar libros, correspondencia y justificantes seis años desde el último asiento; en México, el artículo 49 del Código de Comercio fija un mínimo de diez años para los originales de contratos, mensajes de datos incluidos, que deben mantenerse íntegros e inalterados. Las acciones personales sin plazo especial prescriben en España a los cinco años (Código Civil, art. 1964). Nuestra guía de plazos de conservación de documentos recoge los casos habituales. Exporte ambos al finalizar, sin depender de un acceso que podría perder.

Tome un contrato firmado hace seis meses y reconstruya su historia solo con el registro. Es la forma más rápida de saber si la trazabilidad documental de sus firmas electrónicas aguantaría una impugnación.

1. 1.
   Encuéntrela. ¿Puede descargar la pista hoy sin pedir ayuda a soporte?
2. 2.
   Compare el hash. ¿Coincide el hash de la pista con el archivo de sus registros? Que no haya ningún hash impreso también es un hallazgo.
3. 3.
   Lea las líneas de autenticación. ¿Solo un enlace por correo, o algo más fuerte?
4. 4.
   Busque huecos. ¿Hay un evento de visualización antes de cada firma, y se registran las ediciones posteriores al envío?
5. 5.
   Compruebe el reloj. ¿Las horas van en orden, en una zona horaria indicada?

Si alguna respuesta es no, corríjala para el próximo contrato: cambie la autenticación por defecto, exporte la pista al finalizar y guárdela con el PDF firmado. En Chaindoc, cómo funciona la firma en Chaindoc muestra dónde está la pista.