Qué prueba una firma electrónica blockchain y qué no

Una firma electrónica blockchain es una anotación breve en un registro público que permite a cualquiera comprobar, años después, que un archivo firmado no ha cambiado desde que se registró. El contrato no está ahí. El registro guarda una huella del archivo, el hash, y en el caso de Chaindoc también las firmas criptográficas de los firmantes: el hash cuando se publica una versión, las firmas cuando firma la última persona.

Es útil, y más limitado de lo que sugieren muchas páginas de proveedores. La blockchain no hace válida tu firma: eso lo hace la ley de firma electrónica, y la firma se hace en un flujo de firma de lo más corriente. Tampoco cifra nada. Ni sabe quiénes son tus firmantes. Lo que aporta es un registro que ni tú, ni la otra parte, ni el proveedor pueden reescribir a escondidas.

Hay cuatro cosas que conviene saber antes de pagar por ello: qué es un hash, por qué no es cifrado, cómo se compara un registro en blockchain con una pista de auditoría normal y qué dicen de todo esto el derecho europeo, el español y el mexicano.

Las páginas de los proveedores usan cuatro palabras como si significaran lo mismo. No es así, y la diferencia decide qué podrás probar más adelante.

• Una firma es el acto de aceptar un documento, recogido por la herramienta de firma.
• Un hash es una huella de longitud fija, calculada a partir de los bytes del archivo.
• Un sello de tiempo dice cuándo se registró algo, y nada más.
• El cifrado vuelve ilegible un contenido para que solo lo lea quien tiene la clave.

Una firma electrónica blockchain tiene que ver con las tres primeras. Con la cuarta no tiene nada que ver.

Hay otra trampa: la palabra "firma" significa aquí dos cosas. Toda blockchain usa firmas digitales por dentro, porque cada transacción se firma con una clave privada. Es una firma digital en el sentido criptográfico, y no dice nada de tu contrato. Tu firma en el contrato es un acto jurídico; las de la cadena solo autorizan asientos en el registro. Si el vocabulario sigue sin cuadrarte, nuestro texto sobre en qué se diferencian la firma digital y la electrónica lo ordena.

Esto es lo que significa de verdad cada afirmación sobre blockchain que te vas a encontrar, y lo que registra Chaindoc.

Quizá hayas visto la palabra "encryption" en la dirección de esta página. No debería estar ahí. El cifrado en la blockchain es la confusión más habitual de este campo, así que aquí va la versión sencilla.

El cifrado es reversible por diseño. Revuelves un documento con una clave, y quien tenga la clave adecuada vuelve a convertirlo en el documento. Su único fin es mantener el contenido lejos de quien no debe leerlo.

Un hash va en un solo sentido. El Secure Hash Standard del NIST describe los resúmenes como una forma de detectar si un mensaje ha cambiado desde que se calculó el resumen. Ese es todo su trabajo: detectar cambios. De un hash SHA-256 no se puede volver al contrato, y nadie necesita una clave para calcularlo. Dale el mismo archivo a dos personas y obtendrán los mismos 64 caracteres.

La cadena en sí también es pública. La visión general del NIST sobre blockchain dice que la información de una red blockchain suele poder verla cualquiera y que, en una red sin permisos, la lee quien quiera. Perfecto como prueba. Lo contrario de la confidencialidad.

Entonces, ¿qué mantiene privado un contrato cuando hay una firma electrónica blockchain de por medio? Lo de siempre. El archivo se queda fuera de la cadena, el acceso se limita a tu cuenta y a las personas de la solicitud, y el archivo viaja por HTTPS. Chaindoc no afirma tener cifrado de extremo a extremo, y desconfiaríamos de cualquier proveedor que diga que un registro cifra tu documento. Si alguien te pregunta por la seguridad de los documentos en blockchain, la respuesta honesta tiene dos partes: la cadena cubre la integridad, el almacenamiento y el acceso cubren la confidencialidad.

Toda herramienta de firma seria lleva una pista de auditoría: quién estaba invitado, quién abrió el documento, cuándo firmó cada persona, desde qué dirección IP, si pasó una verificación de identidad. Es una prueba rica, y es donde se resuelven de verdad la mayoría de las disputas. Nuestra guía sobre qué registra la pista de auditoría de una firma electrónica la repasa campo por campo.

Su punto débil es la custodia. La pista de auditoría está en la base de datos del proveedor, que puede corregirla, exportarla, migrarla y, si la empresa cierra, perderla. Los tribunales suelen valorarla igualmente: en España, si se impugna un documento electrónico se aplica el artículo 326 de la Ley de Enjuiciamiento Civil, y un registro bien llevado ayuda a acreditar sus características. Lo único que no es: independiente del proveedor.

Un registro en blockchain es el reverso. Contiene mucho menos, solo hashes y pruebas de firma, pero nadie lo controla después. Con franqueza, quieres las dos cosas, y la tabla muestra por qué.

Imagina la disputa de siempre. Tu cliente dice que el PDF que tienes no es la versión que firmó: el plazo de pago era de 30 días, no de 15. Así ayuda el registro en blockchain, y hasta aquí llega.

Qué puede probar una firma electrónica blockchain

• Tu archivo es el que se publicó y se firmó. Calcula el hash SHA-256 de tu copia y compáralo con el de la cadena; si coinciden, es el mismo archivo, byte por byte.
• Cuándo existía el archivo. La hora del bloque indica que el registro estaba allí como muy tarde en ese momento.
• Las pruebas de firma de los firmantes se registraron al completar, y nadie las ha tocado desde entonces, tampoco Chaindoc.
• La comprobación no depende de fiarse de la base de datos de un proveedor. Cualquiera con el archivo y el enlace de la transacción puede hacerla.

Eso es verificación de documentos en blockchain en sentido estricto, y es una verificación sólida. Si prefieres no abrir una terminal, el servicio de verificación de PDF de Chaindoc comprueba las firmas y la integridad de un PDF firmado una vez que confirmas tu correo con un código de un solo uso.

Qué no puede probar

• Quién estaba ante el teclado. Una dirección de correo no es una persona; eso lo aportan la pista de auditoría y, si la hay, la verificación de identidad.
• Si el firmante leyó las condiciones, las entendió o actuó bajo presión.
• Si el contenido es cierto o el negocio es lícito. El hash de un mal contrato es un hash perfectamente bueno.
• Cuándo se escribió el documento por primera vez. El registro dice "como muy tarde", nunca "creado el".
• Nada sobre una copia que hayas vuelto a guardar, impreso a PDF o comprimido. Otros bytes, otro hash.

En la disputa de 30 contra 15 días, la cadena resuelve qué archivo se firmó. Si la compañera de tu cliente tenía poder para firmarlo, lo deciden la pista de auditoría, el contrato y, al final, un juez. En España, además, un registro así no goza de presunción legal: si se impugna, hay que acreditarlo con los medios del artículo 326.2 de la Ley de Enjuiciamiento Civil, y solo los servicios de confianza cualificados reciben la presunción del 326.4.

En breve: la firma puede tenerla, y el registro en blockchain es una prueba. Las grandes leyes de firma electrónica no mencionan las blockchains en absoluto, y es a propósito. Son neutrales en cuanto a la tecnología.

España y la Unión Europea

El artículo 25.1 del Reglamento eIDAS prohíbe negar efectos jurídicos y admisibilidad como prueba en un procedimiento judicial a una firma electrónica por el mero hecho de ser electrónica o de no cumplir los requisitos de la firma cualificada. El artículo 26 dice qué hace avanzada a una firma: vinculada al firmante de manera única, que permita identificarlo, creada con datos que el firmante controla en exclusiva con un alto nivel de confianza, y vinculada a los datos firmados de modo que cualquier modificación posterior sea detectable. Ese último requisito se refiere a la firma, no al registro. Las firmas de Chaindoc son firmas electrónicas avanzadas (PAdES-BES), y el registro en la blockchain las acompaña como prueba.

En España, el artículo 3 de la Ley 6/2020 remite la prueba de los documentos electrónicos privados al artículo 326 de la Ley de Enjuiciamiento Civil. Con un servicio de confianza no cualificado, si alguien impugna la autenticidad o la integridad, se sigue el apartado 2: quien presentó el documento puede proponer un cotejo pericial u otro medio de prueba, y si no se logra acreditar la autenticidad el tribunal lo valora conforme a la sana crítica. Con un servicio cualificado se presume que el documento reúne la característica cuestionada, y la carga de comprobar lo contrario recae en quien impugna. Un registro en blockchain corriente cae en el primer supuesto, y no hay presunción.

El Reglamento no usa la palabra "blockchain". Su reforma de 2024, el Reglamento (UE) 2024/1183, habla de libros mayores electrónicos y reserva la presunción de integridad y de exactitud del orden cronológico a los libros mayores cualificados, que ofrece un prestador cualificado de servicios de confianza (QTSP). SKALE no lo es, y Chaindoc no lo presenta como tal.

México

El Código de Comercio es neutral en cuanto a la tecnología: su artículo 89 manda interpretarlo conforme a los principios de neutralidad tecnológica y equivalencia funcional. El artículo 93 da por cumplida la forma escrita con un mensaje de datos cuya información se mantenga íntegra y accesible, y el 97 llama "avanzada o fiable" a la firma electrónica cuyos datos de creación corresponden solo al firmante, estaban bajo su control exclusivo y permiten detectar cualquier alteración posterior de la firma o de la información. Ese último punto es el que refuerza un registro en blockchain, siempre que la herramienta cumpla los demás.

La conservación es otro asunto. El artículo 49 obliga al comerciante a conservar diez años los originales de los contratos y de los mensajes de datos, íntegros e inalterados, y encarga a la Secretaría de Economía una norma oficial. Esa norma es la NOM-151-SCFI-2016, cuya "constancia de conservación" la emite un prestador de servicios de certificación (PSC) acreditado y se apoya en la huella digital del mensaje y en sellos de tiempo. Dicho sin rodeos: un anclaje en blockchain no es una constancia NOM-151, y Chaindoc no es un PSC. Si tu contrato o tu sector la exigen, se pide a un PSC acreditado. Un anclaje en blockchain puede acompañarla, pero no sustituirla.

Italia y Estados Unidos: dos leyes que nombran la blockchain

Italia es la excepción que conviene conocer. El artículo 8-ter del decreto-ley 135/2018, convertido por la ley 12/2019, establece que guardar un documento con tecnologías de registros distribuidos produce los efectos jurídicos de un sello de tiempo electrónico del artículo 41 de eIDAS. Con él vienen dos límites. El efecto es el de un sello de tiempo ordinario, no cualificado, y el artículo dejó las normas técnicas en manos de la AgID, la agencia digital italiana. Fuera de Italia es un precedente, no una regla.

En Estados Unidos, la ESIGN Act y la UETA son neutrales, y algunos estados fueron más lejos. Arizona dispuso en 2017, con el A.R.S. § 44-7061, que una firma asegurada mediante tecnología blockchain es una firma electrónica y que un registro asegurado así es un registro electrónico. El 12 V.S.A. § 1913 de Vermont permite que un registro inscrito en una blockchain se autentique solo ante un tribunal, si una persona cualificada declara bajo juramento cuándo entró en la cadena. La presunción no alcanza la veracidad ni la validez del contenido, y nadie está obligado a adoptar blockchain.

"Blockchain" en una lista de funciones dice casi nada. Estas preguntas separan las implementaciones útiles de las decorativas, y cualquier proveedor, Chaindoc incluido, debería contestarlas por escrito.

1. 1.
   ¿Qué se escribe exactamente en la cadena? Un hash y pruebas de firma están bien. Nombres, correos o el propio documento son una señal de alarma.
2. 2.
   ¿Cuándo se escribe: al cargar, al publicar, al completar o en un lote nocturno?
3. 3.
   ¿Qué cadena, y quién paga cada transacción? Una tarifa por documento que sube y baja con las criptomonedas acaba siendo problema de alguien.
4. 4.
   ¿Puede alguien sin cuenta comprobar el registro? Pide el algoritmo de hash y cómo es el enlace de la transacción.
5. 5.
   ¿Qué pasa con el registro, y con tus archivos, si el proveedor cierra?
6. 6.
   ¿La firma en sí es avanzada o cualificada según eIDAS, y quién es el prestador de servicios de confianza si es cualificada?
7. 7.
   ¿El registro en la cadena viene activado por defecto o es un añadido que alguien tiene que acordarse de encender?

La última pregunta tiene historia. En su versión Fall '18, DocuSign anunció una integración opcional con Ethereum: para los clientes que la activaban, DocuSign calculaba un hash unidireccional de cada transacción completada y lo escribía en la blockchain de Ethereum. La misma idea que un registro de firma electrónica blockchain, vendida como opción. Si llegaste aquí buscando "docusign blockchain", el anuncio de 2018 es el registro que citamos; para el estado actual en tu plan, pregunta a DocuSign. En México, la pregunta de fondo suele ser otra, la NOM-151, y el blog de DocuSign sobre la NOM 151 dice que ofrece integraciones con PSC socios que facilitan la conservación de mensajes de datos.

Muchas páginas prometen documentos inalterables. Ninguna tecnología lo cumple. Cualquiera con una copia de un PDF puede editarla, y los bytes no oponen resistencia. Lo que te da una firma electrónica blockchain es un registro con alteración detectable: una edición no puede ocultarse, porque el archivo modificado ya no coincide con la huella escrita al publicar o al completar. Parece quisquilloso hasta que el perito de la otra parte pregunta cuál de las dos cosas querías decir. Escribe "con alteración detectable" en tus políticas y contratos. Esa es la afirmación que puedes defender.

La mayoría de los contratos firmados nunca se cuestionan, y para ellos el registro en la cadena simplemente está ahí, sin costarle nada a nadie. Se gana su sitio en un conjunto más estrecho de casos. Una contraparte puede discutir qué versión firmó. Un acuerdo puede sobrevivir a las herramientas que lo produjeron, de modo que quien lo compruebe dentro de diez años nunca habrá oído hablar de tu proveedor. Dos partes de países distintos pueden no compartir ningún sistema ni motivo para fiarse del de la otra. La propiedad útil es siempre la misma: la prueba es pública y no depende de que una empresa concreta siga en pie.

No salvará un acuerdo que la ley reserva a una firma cualificada o a un fedatario, ni a un firmante al que engañaron. Y no sustituye la pista de auditoría, que lleva el quién y el cómo. Si trabajas en México, tampoco sustituye la constancia NOM-151 cuando te la piden.

Si ese equilibrio te sirve, un registro de firma electrónica blockchain es algo que esperar de serie, no que pagar aparte. En Chaindoc forma parte del flujo normal de firma, y no es un interruptor que haya que encontrar. Compara los planes y envía por ahí tu próximo contrato.