¿Firma digital y certificado digital es lo mismo? Y qué dice la ley de la firma electrónica

¿Firma digital y certificado digital es lo mismo? No. El certificado digital es el carné: un fichero (o un chip) que te identifica y guarda tus claves, como el de la FNMT o el que lleva el DNIe. La firma digital es el acto de firmar con ese carné: un método de infraestructura de clave pública (PKI) que une la firma a un certificado y a los bytes exactos de un solo archivo. La firma electrónica es una tercera cosa, la categoría jurídica: cualquier dato electrónico que alguien adopta con la intención de firmar, sea un nombre tecleado, un garabato en la pantalla o una casilla marcada. Toda firma digital es una firma electrónica, pero la mayoría de las firmas electrónicas no son digitales.

La confusión tiene explicación. eIDAS, la Ley 6/2020 y la LEC hablan de firma electrónica y de servicios de confianza, no de «firma digital», y el Código de Comercio mexicano trata la firma digital como una especie de la electrónica. En el uso diario, en cambio, cada palabra sirve para todo. El resto de la guía muestra cuándo importa la diferencia entre firma digital y firma electrónica, qué documento pide cada una y cómo saber qué lleva un PDF.

¿Solo quieres enviar un documento a firmar? Tranquilo: para la mayoría de los contratos corrientes basta una firma electrónica con una buena pista de auditoría.

La definición europea está en el artículo 3.10 de eIDAS: son firma electrónica «los datos en formato electrónico anejos a otros datos electrónicos o asociados de manera lógica con ellos que utiliza el firmante para firmar». La ley estadounidense dice lo mismo con otras palabras (ESIGN, § 7006(5)), y en el Código de Comercio mexicano la definición del artículo 89 añade que produce los mismos efectos jurídicos que la firma autógrafa. En ninguno de esos textos aparece una definición de «firma digital». El sector llama «firma electrónica simple» a este nivel básico; es una etiqueta comercial, y el Reglamento solo dice «firma electrónica».

Ninguna definición menciona claves ni certificados. Lo que cuenta es la intención de firmar, así que todo esto vale:

• Un nombre escrito al final de un correo
• Una firma dibujada con el dedo en la pantalla del móvil
• La casilla «acepto» marcada antes de pulsar Continuar
• Una imagen escaneada de tu firma manuscrita pegada en un PDF. Válida, sí. Prueba sólida, no.

Con ese último caso la diferencia entre firma electrónica y firma digital se nota en la práctica. Un nombre tecleado prueba poco si el remitente niega después haberlo escrito. Un servicio que registra cómo se identificó cada persona, cuándo abrió el archivo y desde qué dirección IP te da mucho más. Ese registro es la pista de auditoría de la firma electrónica, y en un conflicto suele ser lo que lee un juez.

Sigue sin ser una firma digital. La prueba está en los registros del servicio, no en el archivo.

Una firma digital PKI une tres cosas: un par de claves, una persona y los bytes exactos de un archivo. Esta es la secuencia, sin fórmulas:

1. 1.
   Tienes un par de claves. La privada se queda contigo, en un token, una tarjeta o el hardware seguro de un prestador; la pública va dentro de un certificado.
2. 2.
   El programa calcula el hash del documento, una huella corta de ese archivo exacto. Cambia una coma y la huella sale completamente distinta.
3. 3.
   Tu clave privada firma ese hash, y la firma y el certificado se incrustan en el archivo (en un PDF, en un campo de firma PAdES).
4. 4.
   Un validador recalcula el hash, comprueba la firma con tu clave pública y sigue la cadena de tu certificado hasta una raíz en la que confía.

Si todo cuadra, quedan probadas dos cosas a la vez: firmó esa clave, y el archivo no ha cambiado desde entonces. Ninguna depende de que el servicio de firma siga existiendo. Los proveedores lo llaman no repudio, que promete algo de más: el firmante aún puede alegar que le robaron la clave, y el juez sigue valorando la prueba.

La referencia estadounidense es el FIPS 186-5 del NIST, el Digital Signature Standard (en inglés), publicado el 3 de febrero de 2023. Según el NIST, las firmas digitales sirven para detectar modificaciones no autorizadas de los datos y para autenticar la identidad del firmante. Más corto no se puede decir.

Qué es un certificado digital para firmar

El certificado es el carné; la firma, el acto de firmar con él. Un certificado digital para firmar une tu nombre a tu clave pública y lo firma a su vez quien lo emite. Todo depende de ese emisor. Un certificado que creas tú mismo en Acrobat produce una firma matemáticamente válida que la mayoría de los validadores marcarán igualmente, porque nadie responde del nombre que contiene.

Quién lo emite: el prestador de servicios de confianza

Una autoridad de certificación comprueba tu identidad y emite el certificado. Para una firma cualificada en la UE, el emisor tiene que ser un prestador cualificado de servicios de confianza, y puedes consultarlos en la lista de confianza de la UE: nuestro artículo sobre el prestador cualificado de servicios de confianza y la lista de confianza de la UE explica cómo hacerlo. En España los ejemplos más conocidos son el certificado de persona física de la FNMT y el que lleva el chip del DNIe; en México, la e.firma del SAT es el certificado que emite el Estado, sobre todo para trámites fiscales. Son certificados de identidad ante la Administración, y un contrato entre particulares no los exige por regla general.

Sinceramente, esta parte es la que cuesta tiempo: comprobación de identidad, un token o una app, una renovación cuando caduca. Por eso pocos firman así un NDA de rutina.

Estados Unidos: un término, sin niveles

La ley federal ESIGN dice en el § 7001(a) que no se puede negar efecto jurídico, validez o fuerza ejecutiva a una firma, contrato o registro solo porque sea electrónico. Una firma PDF con certificado y un nombre tecleado en un correo son ambas firmas electrónicas. Si se impugna la autenticidad, el tribunal pesa la prueba de cada una.

Unión Europea: tres niveles

El Reglamento (UE) n.º 910/2014 fija tres niveles:

• La firma electrónica, art. 3.10: el nivel básico de arriba.
• La firma electrónica avanzada, art. 3.11, que debe cumplir las cuatro condiciones del art. 26: estar vinculada al firmante de manera única, permitir identificarlo, crearse con datos que él puede utilizar «bajo su control exclusivo» y estar vinculada a los datos firmados de modo que «cualquier modificación ulterior de los mismos sea detectable».
• La firma electrónica cualificada, art. 3.12: una avanzada creada con un dispositivo cualificado de creación de firmas y basada en un certificado cualificado.

El art. 25.1 impide negar efectos jurídicos o admisibilidad como prueba a una firma electrónica por el mero hecho de ser electrónica o de no ser cualificada. El art. 25.2 da solo a la cualificada un efecto equivalente al de una firma manuscrita. Nuestra guía de la firma electrónica cualificada explica ese nivel superior con detalle.

Fíjate en lo que falta: el texto de 2014 nunca emplea la expresión «firma digital». En la práctica europea designa la técnica PKI en la que suelen apoyarse las firmas avanzadas y cualificadas. El Reglamento (UE) 2024/1183, conocido como eIDAS 2.0, mantuvo las tres definiciones y el art. 25, apartados 1 y 2, y trasladó el reconocimiento transfronterizo a un nuevo art. 24 bis.

España: eIDAS, Ley 6/2020 y LEC

La Ley 6/2020, de 11 de noviembre, complementa eIDAS en España y modificó el artículo 326 de la Ley de Enjuiciamiento Civil, que es donde se nota la diferencia entre niveles. Con un servicio de confianza no cualificado que se impugna, se aplica el régimen general de prueba (art. 326.3 en relación con el 326.2) y el tribunal valora la autenticidad. Con un servicio cualificado que figuraba en la lista de confianza en el momento relevante, se presume que el documento reúne la característica discutida y que el servicio se prestó bien: quien impugna carga con la comprobación y, si sale mal, con sus costes (art. 326.4).

México: Código de Comercio y NOM-151

El Título Segundo del Código de Comercio, sobre comercio electrónico, define en el art. 89 la firma electrónica como los datos en forma electrónica asociados a un mensaje de datos que identifican al firmante e indican que aprueba su contenido, con los mismos efectos jurídicos que la firma autógrafa. La misma disposición llama firma electrónica avanzada o fiable a la que cumple los requisitos del art. 97, y añade que donde la ley hable de firma digital se la considerará una especie de la electrónica. El art. 89 bis prohíbe negar efectos jurídicos a la información solo por estar en un mensaje de datos. Para conservar esos mensajes, el art. 49 remite a una norma oficial mexicana, la NOM-151-SCFI-2016.

Al elegir entre firma digital y firma electrónica, guíate por el documento y la ley que lo rige, no por la costumbre. La tabla cubre los casos que más se preguntan. Una firma más fuerte rara vez te perjudica en lo jurídico, pero cuesta tiempo y, a veces, la paciencia de la otra parte.

India es el único lugar donde la diferencia entre firma digital y firma electrónica está escrita en la ley como dos instrumentos. Esta sección vale para India, no para España ni México.

La Information Technology Act, 2000 define la firma digital en la sección 2(1)(p) por remisión a la sección 3: un sistema criptográfico asimétrico y una función hash. En la práctica es un Digital Signature Certificate (DSC) de una autoridad de certificación con licencia del Controller of Certifying Authorities (CCA), casi siempre en un token. La reforma de 2008 añadió la sección 2(1)(ta): una firma electrónica usa una técnica de la Second Schedule e incluye expresamente la firma digital.

Aadhaar eSign funciona por la segunda vía. El CCA describe eSign como un servicio de firma en línea al que se llama por API: el firmante supera una comprobación e-KYC por biometría u OTP, se emite un certificado de vida corta y la clave se destruye justo después de un único uso. La sección 5 admite las dos vías, salvo que un portal exija un DSC.

Un detalle para quien valide fuera de India: ambas vías enlazan con la raíz del CCA. Un validador anclado en la lista de confianza de la UE lee entonces la criptografía como íntegra y la cadena como no resuelta. Es una brecha de ancla de confianza, no un archivo falsificado.

Los dos proveedores trazan la línea entre firma digital y firma electrónica como lo hace esta guía, lo que ayuda. La página «Digital Signature» de DocuSign (en inglés), leída el 14 de octubre de 2026, presenta la firma digital como un tipo de firma electrónica que ofrece una verificación adicional y precisa que toda firma digital incluye un certificado digital emitido por un prestador de servicios de confianza. El certificado marca, pues, la diferencia, y la página no dice en qué planes están esos niveles. Si buscas «docusign firma digital», esta es la distinción que te interesa.

Adobe traza la misma línea dentro de Acrobat. Sus páginas de ayuda (en inglés) separan las e-signatures, como rellenar y firmar o solicitar firmas, de las firmas digitales, que Adobe describe como firmar con una identidad digital basada en un certificado. Acrobat también te deja crear tu propia identidad digital. Sigue siendo una firma digital, solo que en la que ningún validador confía hasta que alguien se lo indica.

Así lo vemos, sin rodeos: Chaindoc no es una autoridad de certificación ni un proveedor de certificados de firma digital. Es un servicio de firma con dos vías.

La vía de uso diario produce firmas electrónicas avanzadas PAdES-BES en el sentido del art. 26 de eIDAS: una firma PKI incrustada en el PDF, de modo que el propio archivo muestra si cambió después de firmar. BES es el perfil PAdES básico, y el nuestro no lleva sello de tiempo de confianza. La validación a largo plazo no está incorporada: si un archivo tiene que seguir siendo verificable años después de que caduquen sus certificados, planifícalo aparte.

La vía cualificada es para los documentos que necesitan una firma cualificada. Chaindoc conduce la sesión de firma y el firmante aporta su certificado cualificado, mediante una identidad electrónica nacional como Smart-ID, itsme o ID Austria, o con cualquier proveedor que use la API del Cloud Signature Consortium. Quien aún no tiene certificado dispone de una firma cualificada puntual. El certificado siempre viene del prestador cualificado de servicios de confianza, nunca de nosotros.

Alrededor de las dos vías está el registro de evidencias. El servidor calcula el hash de cada archivo al subirlo. Cuando publicas un documento, el hash de su versión se escribe en la blockchain, y la prueba de cada firmante se registra al completarse la firma. Los nombres y los correos se quedan en la pista de auditoría, no en la blockchain, y los archivos viajan por TLS. Una verificación KYC opcional añade una identidad comprobada cuando un trato la pide.

La diferencia entre firma digital y firma electrónica se ve enseguida si sabes dónde mirar: un panel de firmas, no una imagen. En Acrobat o Reader, una firma digital aparece en el panel Firmas con el certificado del firmante, un estado de validez y una nota que indica si el documento cambió desde entonces. ¿Una firma dibujada o pegada que no figura ahí? Es una firma electrónica, y su prueba está en la pista de auditoría del servicio de firma. En España también puedes usar VALIDe, el servicio de validación de firmas de la Administración General del Estado.

Para una segunda opinión, nuestro verificador de firmas PDF informa de la integridad, la cadena de certificados, la revocación, los sellos de tiempo incrustados y el perfil PAdES, cada uno con su propio resultado. Admite archivos de hasta 50 MB, pide tu correo y un código de un solo uso antes de la primera comprobación y no guarda el archivo después. Su ancla de confianza principal es la lista de confianza de la UE.

Las firmas que reclaman el nivel cualificado son un trabajo aparte, que la validación de firmas cualificadas contrasta con las reglas de eIDAS.

¿Y si Acrobat dice que la validez de la firma es desconocida? Calma, y no vuelvas a guardar el archivo. Suele significar que el lector no confía en la raíz emisora. Nuestra guía explica qué significa el aviso de firma no verificada y los pasos a seguir.

La mayor parte de la confusión viene de unos pocos hábitos. Estos son los cinco que más vemos:

• Tratar una firma escaneada como digital. Es una imagen. No valida como nada, y cualquiera puede pegarla en otro archivo.
• Confundir el certificado con la firma. Tener el certificado instalado en el navegador no es haber firmado nada. Y ojo con el nombre de los productos: muchas herramientas llaman «digital» a cualquier firma dibujada en pantalla, así que pregunta si hay certificado y de quién.
• Pensar que una firma digital es automáticamente cualificada. La cualificada exige un certificado cualificado y un dispositivo cualificado de creación; la mayoría de las firmas PKI no tienen ninguno de los dos.
• Comprar el nivel más fuerte para todo. A una contraparte a la que le pides un certificado para un NDA de rutina quizá no le dé la gana firmar. ¿Lo necesitaba el contrato?
• Olvidar la norma de forma. Para algunos actos ninguna firma electrónica sirve; el testamento ológrafo es el ejemplo clásico.

El remedio para los cinco es la pregunta del principio de esta guía. ¿Firma digital y certificado digital es lo mismo? A estas alturas ya sabes que no, y que firma digital vs firma electrónica tampoco es un «cuál es mejor» en abstracto. La pregunta útil es qué tiene que probar este documento, y ante quién.