La validez de la firma es desconocida: qué significa en Acrobat y cómo solucionarlo

Abres un contrato firmado y una barra amarilla cruza la parte superior de la página: «Al menos una firma tiene problemas.» Suena a acusación. Casi nunca lo es. Y si al pulsar sobre la firma lees que la validez de la firma es desconocida, tampoco es lo que parece.

Acrobat hace dos comprobaciones distintas con cada firma, y la guía de validación de firmas de Adobe (en inglés) dice que el estado depende de ambas. La primera es la integridad del documento: ¿han cambiado los bytes firmados desde que se aplicó la firma? La segunda es la identidad del firmante: ¿el certificado de firma enlaza con un certificado en el que confía tu Acrobat, y era válido en el momento que Acrobat toma como referencia? Si alguna de las dos no sale limpia, en cualquier firma del archivo, aparece la barra.

En la práctica falla con mucha más frecuencia la comprobación de identidad. Tu lector no sabe que debe fiarse de quien emitió el certificado: el archivo está bien y el hueco está en la lista de confianza de tu equipo. Eso lo arreglas tú, no quien lo envió.

Más raro, y conviene detectarlo, es que el documento haya cambiado de verdad después de firmarse. La tabla de abajo clasifica cada mensaje en uno de esos dos grupos, y un validador que informa de cada comprobación por separado te dice en cuál estás.

Abre el panel de firmas y la barra se vuelve más concreta. Bajo una firma, la línea más habitual es «La validez de la firma es DESCONOCIDA», y debajo van dos frases que importan más que el titular.

Una dice si el documento se ha modificado desde que se aplicó la firma. La otra dice si se conoce la identidad del firmante. Cuando la primera indica que el documento no se ha modificado desde la firma y la segunda habla de una identidad desconocida, ya sabes lo importante: el contenido es exactamente el que se firmó, y lo único que Acrobat no puede garantizar es quién lo firmó.

Hay tres motivos corrientes:

• La autoridad de certificación emisora no está en ninguna lista que lleve tu Acrobat, o tu copia de esas listas está desactualizada.
• El certificado es autofirmado, y ningún lector se fía por sí solo de una identidad autofirmada.
• No se pudieron obtener los datos de revocación, así que la comprobación se detuvo antes de dar un sí.

Cuando la validez de la firma es desconocida en un PDF de un portal público o de un gran proveedor, casi siempre es el primer motivo.

No existe una lista mundial única de firmantes de confianza. Acrobat saca su veredicto de una pequeña pila de fuentes, así que el mismo PDF firmado puede ser válido en un escritorio y desconocido en el de al lado sin que nadie se equivoque.

Primero está la Adobe Approved Trust List, el programa con el que Adobe reúne a las autoridades de certificación y los proveedores de sellado de tiempo cuyos certificados Acrobat y Reader aceptan de fábrica. Cuando contamos la página de miembros de la AATL el 14 de octubre de 2026, listaba 92 proveedores: autoridades comerciales como DigiCert, GlobalSign y Sectigo junto a organismos nacionales como la CCA india y el ITI brasileño y, entre los de habla hispana, Camerfirma, Firmaprofesional e Izenpe en España y Certicámara y GSE en Colombia. En esa página no figura ningún proveedor con sede en México, y tampoco FNMT. Si en México recibes un PDF firmado con la e.firma del SAT y la cadena del SAT no está en tu almacén de confianza, Acrobat mostrará que la validez de la firma es desconocida, y la decisión pasa a ser la del paso 5. Si el emisor de tu firma aparece en ella y la advertencia sigue ahí, lo más probable es que la culpa sea de tu copia local de la lista.

Luego viene la lista de confianza de la UE. Según el artículo 22 del Reglamento eIDAS, cada Estado miembro publica la lista de sus prestadores cualificados de servicios de confianza; en España la publica el Ministerio para la Transformación Digital y de la Función Pública, y FNMT-RCM consta en ella con servicios cualificados. La página de Adobe sobre la EUTL cifra el total en más de 400 prestadores activos y antiguos. Acrobat no consulta esas listas en directo. Guarda una instantánea, limitada a los prestadores de certificados de firma, de sello y de sellado de tiempo, y la actualiza más o menos una vez al mes, por lo que un prestador recién incluido puede seguir apareciendo como desconocido durante unas semanas.

Por último está tu propio equipo: los certificados que hayas añadido a los de confianza y, en Windows, opcionalmente las raíces del almacén de certificados de Windows, en las que Acrobat puede configurarse para confiar al validar firmas.

Cualquier cosa fuera de esas tres fuentes provoca la advertencia. Lo hace una CA interna de empresa, una identidad autofirmada que alguien creó en su editor de PDF o una CA nacional que no está en ninguna de las dos listas. Y, sinceramente, esta es la parte que la mayoría de las guías se salta, aunque cambia lo que conviene hacer. Antes de fiarte de nada a mano, comprueba si el emisor ya está listado. Si lo está, actualiza. Si no, estás tomando una decisión de confianza, y saber qué certifica un certificado cualificado merece cinco minutos antes de tomarla.

La India es donde más se busca «signature validity is unknown» (en un Acrobat en inglés; en español, «la validez de la firma es desconocida»), y los archivos suelen ser oficiales: un acuse de declaración de impuestos, un certificado de alta en el GST, una presentación ante el registro mercantil (MCA), un certificado de notas universitario, un contrato de préstamo firmado con Aadhaar eSign. Todos llevan un certificado de una autoridad de certificación autorizada por el Controller of Certifying Authorities (CCA).

Aquí se equivocan las guías antiguas. CCA India y eMudhra aparecen ambas en la página de miembros de la AATL de Adobe, así que lo primero ante una validez desconocida en un PDF firmado con Aadhaar o con DSC no es importar nada. Es el paso 4: Actualizar ahora para la AATL y volver a abrir el archivo.

Si no basta, mira en qué raíz termina la cadena del paso 3. La CCA publica sus raíces con sus fechas en su página de certificados raíz: CCA India 2014 caducó el 5 de marzo de 2024 y CCA India 2022 llega hasta el 2 de febrero de 2042. Una cadena que acaba en una raíz que tu Acrobat no lista es el caso en el que está justificada una importación manual. Descarga esa raíz del propio cca.gov.in, compara la huella y confía en ella como en el paso 5.

Un límite por nuestra parte: el validador de Chaindoc se ancla en la lista de confianza de la UE, así que un archivo emitido por la CCA vuelve con un veredicto de integridad y una cadena sin resolver. Para un veredicto sobre la cadena india en sí, Acrobat con la AATL al día es la mejor herramienta.

Acrobat no es el único lector que te avisa, y algunos no comprueban nada. Según el programa, el mensaje pasa a ser «firma no verificada» o «firma no válida»; detrás suele estar la misma falta de confianza.

Foxit PDF Reader hace su propia validación. Su manual dice que una firma puede aparecer como desconocida o no verificable hasta que añades al emisor a sus certificados de confianza y que, si lo activas, también puede tomar las raíces del almacén de certificados del sistema operativo. El manual no menciona la AATL ni las listas de la UE: un PDF que sale en verde en Acrobat puede salir desconocido en Foxit en el mismo equipo.

Vista Previa de macOS es el caso contrario. La guía de Apple explica cómo capturar una firma con el trackpad, la cámara o un iPhone, y no dice nada sobre comprobar certificados. Un archivo firmado puede verse impecable en Vista Previa sin que haya comprobado nada. Si no tienes claro qué tipo de firma tienes delante, aquí está la diferencia entre una firma dibujada y una firma con certificado.

En el móvil depende de la aplicación. Si tu visor no muestra ni panel de firmas ni datos del certificado, no ha comprobado nada, por bien que se vea la página.

A veces el panel dice que el documento se ha modificado o dañado desde que se firmó, o marca la firma como no válida. Entonces falla la comprobación de integridad, y ningún ajuste de confianza la toca. La versión firmada, que se abre desde el panel de firmas, muestra exactamente lo que se firmó; compárala con lo que recibiste y pide el original al remitente.

Una distinción ayuda. Un PDF certificado puede permitir rellenar formularios o comentar después de la firma, y Acrobat lo recoge como cambios permitidos, no como fallos. «Firma no válida» es otra cosa que «tiene problemas»: pide una llamada al remitente, no un cambio de ajustes.

Si los destinatarios te avisan una y otra vez de la barra en los archivos que firmas, el arreglo está de tu lado, y casi siempre es cuestión de certificado.

• Deja de usar una identidad autofirmada para documentos que salen de casa. Acrobat y Foxit crean una en un minuto, y ningún lector de tus destinatarios se fía de ella por defecto.
• Consigue un certificado de firma de PDF de un emisor listado. Un certificado de firma de documentos de un miembro de la AATL, como Camerfirma, Firmaprofesional o Izenpe, se abre como de confianza en Acrobat y Reader. El de un prestador cualificado de una lista de la UE se reconoce también a través de la instantánea de la EUTL de Adobe, tras su retraso de actualización.
• Añade un sello de tiempo de confianza si tu herramienta lo ofrece. La norma PAdES de ETSI describe el nivel B-T como la adición de un token que prueba que la firma existía en un momento dado, de modo que un validador puede mostrar que es anterior a la caducidad del certificado.
• Abre un archivo firmado en un ordenador que no sea el tuyo antes de enviar un lote.

Firmar a través de un servicio cambia quién guarda el certificado, no cómo lo juzgan los lectores. Un PDF firmado con Chaindoc es un archivo PAdES como cualquier otro, así que todo lo anterior sobre la AATL y las listas de la UE le afecta. Para la firma cualificada, Chaindoc firma en PAdES-BES, que no lleva token de sello de tiempo; por eso Acrobat indica la hora de firma según el reloj del sistema firmante y no según un servidor de sellado. Si envías documentos a firmar a destinatarios que los abren en Acrobat, conviene saberlo antes de que llegue la primera consulta.

La marca verde responde a una pregunta técnica. La norma de validación de ETSI, la EN 319 102-1, llama al mejor resultado TOTAL-PASSED y añade que eso no significa necesariamente que la firma sirva para un propósito concreto. Quedan fuera tres cosas.

Quién firmó

Una firma impecable puede pertenecer a la empresa equivocada. Abre el sujeto (Subject) del certificado y compara el nombre de la organización con la parte con la que de verdad estás tratando. El fraude de desvío de pagos vive de un nombre casi correcto.

Si es cualificada

Según el artículo 32 de eIDAS, una firma cualificada exige un certificado cualificado de un prestador cualificado, válido al firmar, creado en un dispositivo cualificado de creación de firmas y con los datos firmados intactos. En España, la Ley 6/2020 regula los servicios electrónicos de confianza junto con el reglamento. En México, la regla de partida es el artículo 97 del Código de Comercio: una Firma Electrónica cumple el requisito de firma cuando es apropiada para los fines del mensaje, y se considera Avanzada o Fiable si reúne los requisitos que ese artículo enumera. Acrobat solo indica el estado cualificado cuando la cadena se resuelve en su instantánea de la UE. Aquí está cuándo una firma cualificada es el listón legal.

Si el contenido es correcto

Alguien puede firmar a la perfección un total de factura equivocado.

Entonces, ¿cómo se comprueba bien la validez de una firma digital? Integridad, una cadena de confianza, la revocación en el momento de la firma y, después, tu propia lectura del sujeto. Ese último paso es el que nadie automatiza.

Quizá prefieras no tocar los ajustes de confianza de un portátil de trabajo, o no tengas Acrobat. Un validador en el navegador hace el trabajo con los certificados en su propio servidor, lo que además lo convierte en la vía práctica en el móvil.

El servicio de verificación de Chaindoc ejecuta las comprobaciones con la biblioteca EU DSS, con la lista de confianza de la UE y las grandes autoridades comerciales como anclas de confianza, y devuelve integridad, cadena, revocación, sellos de tiempo y perfil PAdES como resultados separados. Confirmas tu correo electrónico con un código de un solo uso antes del primer informe. Si la integridad pasa y solo falla la cadena, la advertencia trata de confianza, y puedes decidir con calma qué hacer en Acrobat. En España, la Administración General del Estado ofrece además VALIDe, que comprueba la validez de documentos firmados electrónicamente y de certificados.

¿No es un PDF? El mismo servicio procesa archivos XAdES, CAdES y ASiC. Y si la pregunta es más grande que una firma, empieza por comprobar si un archivo recibido es auténtico.

Cuando la validez de la firma es desconocida, el orden no cambia: averigua qué comprobación falló, arregla la confianza solo de tu lado y devuelve al remitente los fallos de integridad.