Firma digital segura: cómo saber si la tuya resistirá una impugnación

Una firma digital segura es la que puedes defender dentro de un año ante alguien con motivos para dudar de ella. El candado del navegador no te dice eso. La página de inicio de un proveedor tampoco.

Cuando se impugna una firma, las preguntas giran casi siempre en torno a cuatro puntos:

• ¿Quién firmó? No qué dirección de correo hizo clic, sino qué persona.
• ¿Qué firmó? Esa versión exacta, hasta el último byte.
• ¿Cuándo ocurrió cada paso y en qué orden?
• ¿Ha cambiado algo desde entonces?

En seguridad informática el resultado se llama no repudio: el firmante no puede negar el acto de forma creíble, porque las pruebas vinculan a una persona con un archivo concreto en un momento concreto.

Lo incómodo es esto: la mayoría de las herramientas de firma tienen bien la criptografía. Se diferencian en cuánto comprueban al firmante, en qué registran y en si las pruebas sobreviven sin ellas. Firmar un documento en Chaindoc lleva minutos; esta guía trata de si confiarías en el resultado en un conflicto.

Sí, en el sentido estricto. Nadie falsifica una firma digital bien hecha rompiendo las matemáticas que la sostienen. Los ataques que funcionan la rodean: alguien entra en el correo del firmante, una falsa solicitud de firma le roba la contraseña, o se vulnera a un proveedor de la cadena.

Ninguna de las cifras de arriba trata de firmas como tales. Describen el canal por el que pasa la firma: el correo, las facturas, los proveedores externos. Por eso la pregunta útil sobre una firma digital segura no es lo fuerte que sea el cifrado, sino cómo se comprueba al firmante y qué pasa cuando una solicitud parece auténtica y no lo es.

Lo que una firma digital segura no arregla

No impide que alguien firme un documento que no ha leído, y no se da cuenta de que en un correo de seguimiento cambiaron el IBAN (en México, la CLABE) de una factura. Son problemas de proceso. Una llamada a un número que ya tenías sirve más contra ellos que cualquier función de firma.

Muchas solicitudes de firma siguen funcionando así: llega un enlace por correo, el destinatario hace clic, escribe un nombre y listo. Eso prueba que alguien podía leer ese buzón en ese momento. Para pedir unos días libres, vale. Para un contrato que alguien podría desconocer más tarde, es poco.

El NIST es tajante. Sus directrices de 2025, SP 800-63B-4, dicen que el correo no debe usarse para la autenticación por un canal aparte, tratan los códigos por SMS y por voz como restringidos y exigen que los servicios de nivel de garantía medio ofrezcan una opción resistente al phishing. Esas reglas rigen para los sistemas federales de EE. UU., no para tus contratos comerciales. Aun así, es la clasificación pública más cuidadosa de los métodos que ofrecen las herramientas de firma.

La ley europea y la mexicana piden algo parecido con otras palabras: en el Reglamento eIDAS, una firma avanzada debe permitir identificar al firmante; en el Código de Comercio mexicano, los datos de creación de la firma deben estar bajo el control exclusivo del firmante. Más abajo se ve cómo se aplica cada una.

Debajo de una firma digital segura, el software pasa el documento por una función hash, que da una huella corta única de ese archivo exacto. Cambia una coma y la huella cambia por completo. Esa huella se firma con una clave privada cuyo certificado procede de una infraestructura de clave pública (PKI), y el resultado queda incrustado en el PDF. Cualquier lector de PDF puede recalcularla más tarde. Si coincide, es el documento firmado. Si no, el lector lo señala. Nada es infalsificable en sentido estricto; la firma consigue que un cambio se note.

Puedes probar a un proveedor en cinco minutos:

1. 1.
   Abre un archivo que haya firmado en Adobe Acrobat Reader u otro lector de PDF y mira el panel de firmas. Debería verse quién lo selló y si ha cambiado desde entonces.
2. 2.
   Edita un carácter en una copia, guárdala y vuelve a abrirla. Un archivo bien sellado marcará ahora la firma como no válida o el documento como alterado.

Si el panel está vacío, tienes en la mano la imagen de una firma más un registro en el servidor del proveedor. Eso puede seguir siendo jurídicamente válido, pero toda la prueba queda en manos del proveedor.

La firma demuestra que el archivo no cambió. La traza de auditoría demuestra todo lo que lo rodea, y cuando se discute una firma digital segura, suele ser la traza la que se lee en voz alta. Una completa registra al menos:

• La identidad de cada firmante y cómo se verificó: solo correo, un código, una comprobación de identidad.
• Una marca de tiempo para cada paso, desde el envío hasta la firma pasando por la lectura, con la fuente de la hora indicada.
• La dirección IP y los datos del dispositivo de cada acción.
• La huella del documento en cada versión, para que el registro corresponda al archivo que tienes.
• A qué dio su conformidad el firmante, incluido su consentimiento para firmar electrónicamente.
• Quién envió la solicitud, además de recordatorios, rechazos y versiones anuladas.

Después haz dos preguntas. ¿Puedes exportar la traza como un archivo que conserves tú? ¿Podría el proveedor modificarla más adelante sin dejar rastro? Una traza que solo vive en una base de datos editable es una prueba que aceptas de buena fe. Nuestra guía repasa qué contiene una traza de auditoría completa, campo por campo.

El no repudio impide que un firmante niegue de forma creíble haber firmado. En los manuales de seguridad informática se deriva de la criptografía: solo el titular de una clave privada pudo producir esa firma. En un juzgado es más desordenado. La clave prueba que se usó un dispositivo o una cuenta; el debate pasa entonces a si la persona de detrás es quien dice ser. Por eso el derecho de la firma fija un listón bajo para la validez y deja el resto a la prueba.

Unión Europea (eIDAS)

El artículo 25 del Reglamento eIDAS establece que no se denegarán efectos jurídicos ni admisibilidad como prueba a una firma electrónica por el mero hecho de serlo o de no cumplir los requisitos de la firma cualificada, y da a la firma cualificada un efecto equivalente al de una firma manuscrita. El artículo 26 define el nivel intermedio, la firma avanzada: vinculada al firmante de manera única, que permita identificarlo, creada con datos que el firmante puede utilizar, con un alto nivel de confianza, bajo su control exclusivo, y vinculada a los datos firmados de modo que cualquier modificación ulterior sea detectable. La mayoría de los contratos de empresa en la UE se firman con firma simple o avanzada, y es jurídicamente correcto. La diferencia aparece cuando alguien se opone.

España

La Ley 6/2020 remite a la Ley de Enjuiciamiento Civil para la prueba. Si el documento privado usa un servicio de confianza no cualificado, se aplica el artículo 326.3 de la LEC: si se impugna su autenticidad o integridad, se acreditan por los medios de prueba habituales y el tribunal valora el resultado según la sana crítica. Si se usó un servicio cualificado, el artículo 326.4 presume que el documento reúne la característica cuestionada y que el servicio se prestó correctamente, siempre que figurara en la lista de confianza de prestadores y servicios cualificados en el momento relevante. Y si aun así se impugna, la comprobación corre a cargo de quien impugna.

México

El Código de Comercio parte de la equivalencia funcional: no se niegan efectos jurídicos a la información por estar en un mensaje de datos (artículo 89 bis). Una firma electrónica se considera avanzada o fiable si los datos de creación corresponden exclusivamente al firmante y estaban bajo su control exclusivo en el momento de firmar, y si es posible detectar cualquier alteración de la firma o de la información firmada (artículo 97). Para valorar un mensaje de datos como prueba, el juez estima primordialmente la fiabilidad del método con que se generó, archivó, comunicó o conservó (artículo 1298-A). Los comerciantes deben conservar los mensajes de datos al menos diez años, íntegros e inalterados y accesibles, con los requisitos que fija la NOM-151-SCFI-2016 (artículo 49).

Estados Unidos y Reino Unido, en breve

La ESIGN Act de EE. UU., en 15 U.S.C. § 7001, dice que a una firma o a un contrato no se le puede negar efecto jurídico solo por ser electrónico. No nombra ninguna tecnología, y su regla de conservación pide que el registro refleje el contrato con exactitud y siga accesible en una forma reproducible. A nivel estatal, la UETA funciona igual. En el Reino Unido, la sección 7 de la Electronic Communications Act 2000 hace admisible una firma electrónica como prueba de la autenticidad y la integridad de un documento. Admisible no es lo mismo que convincente. En todas partes la cuestión final es la misma: quién firmó y cómo lo demuestras.

Así que el no repudio no es una función que se compra. Es la suma de cómo se comprobó al firmante, cómo se selló el archivo y qué se registró, y vale lo que valga el más débil de los tres eslabones.

Todo proveedor que vende una firma digital segura muestra una fila de insignias en su página de seguridad. Trátalas como afirmaciones que hay que comprobar; lleva unos diez minutos por proveedor.

Certificación ISO 27001

La certificación ISO 27001 acredita un sistema de gestión de la seguridad de la información, auditado por un organismo acreditado con una periodicidad fija. Busca el certificado en IAF CertSearch, la base de datos de certificados acreditados. Comprueba que está vigente, quién lo emitió y cuál es su alcance, porque puede cubrir una sola oficina en lugar del servicio que compras.

SOC 2 Type 2

SOC 2 es un informe de atestación de un auditor, habitual entre los proveedores estadounidenses y a menudo exigido por compradores de EE. UU. El Type 2 cubre cómo funcionaron los controles durante meses; el Type 1 los describe en una fecha concreta. Cuenta con firmar un acuerdo de confidencialidad para verlo, y luego lee el periodo, los sistemas incluidos y las excepciones, que es donde están los hallazgos de verdad.

Servicios de confianza cualificados

Para las firmas cualificadas en la UE, el proveedor o su socio de certificados debe figurar en la lista de confianza de la UE. En España, el ministerio competente publica la lista de prestadores y servicios cualificados (artículo 16 de la Ley 6/2020). En México, para ser prestador de servicios de certificación hace falta la acreditación de la Secretaría de Economía (Código de Comercio, artículos 100 a 102). Nuestra explicación de cómo funciona la lista de confianza de la UE muestra dónde mirar.

Hay otra pregunta que casi todos los proveedores de firma electrónica omiten en sus webs: dónde se almacenan los datos y qué subencargados acceden a ellos. En la UE, el contrato de encargado del tratamiento (artículo 28 del RGPD) debería nombrarlos.

En certificaciones, DocuSign va por delante de Chaindoc. Su página de cumplimiento indica una certificación ISO 27001:2022 para toda la empresa, informes SOC 1 Type 2 y SOC 2 Type 2, y PCI-DSS (leída el 14 de octubre de 2026). Si tu departamento de compras exige SOC 2, es una razón genuina para incluirlo en la lista corta.

El riesgo que la gente encuentra de verdad es un correo que se hace pasar por DocuSign, porque una solicitud conocida rara vez recibe una segunda mirada. La página de seguridad de DocuSign dice que las solicitudes reales vienen de dominios oficiales como docusign.net, nunca llegan como archivo adjunto y llevan un código de seguridad para abrir el documento en su web en lugar del enlace. Para la parte jurídica, consulta la validez de DocuSign ante un tribunal.

Los proveedores son adquiridos, cambian de planes y cierran cuentas. Los contratos suelen durar más que las tres cosas. Pregúntate, pues: si esta empresa desapareciera mañana, ¿qué podría seguir probando?

Una buena respuesta tiene dos partes. El PDF firmado lleva su propia firma, que cualquier lector de PDF puede comprobar. Y la traza de auditoría es un archivo que has descargado, no una página en el panel de otro.

Algunos proveedores dan además a la firma digital segura un anclaje independiente. Chaindoc escribe la huella de una versión del documento en una blockchain pública cuando la publicas para firma, y registra allí la prueba de cada firmante al completarse. Con el enlace de la transacción, cualquiera puede consultarla en un explorador de bloques público, estén o no en marcha los servidores de Chaindoc. Nuestro servicio de verificación de firmas en PDF lee las firmas incrustadas en un archivo firmado.

Un límite que conviene conocer: los certificados caducan, y las firmas antiguas se validan mejor cuando el archivo lleva también un sello de tiempo de confianza y datos de validación, que añaden los niveles PAdES superiores al básico. Las firmas de Chaindoc son PAdES-BES, el nivel básico sin sello de tiempo, así que para conservar durante diez años guarda la traza de auditoría y el informe de verificación junto al archivo. Pregunta a cada proveedor qué nivel PAdES produce.

En México, la constancia de conservación de mensajes de datos conforme a la NOM-151 la expide un prestador de servicios de certificación acreditado por la Secretaría de Economía. Si tu contrato la exige, pregunta al proveedor quién la expide.

Haz a los proveedores de firma electrónica de tu lista corta las mismas siete preguntas, sean Signaturit, Mifiel, DocuSign u otro. La mayoría de los rankings del mejor software de firma electrónica ordenan por precio e integraciones; estas preguntas ordenan por lo que podrías probar más tarde. Para el lado del coste, consulta nuestra guía para comparar software de firma por precio y funciones.

Así estamos frente a esa lista, carencias incluidas.

Chaindoc tiene certificados ISO 27001 e ISO 9001, ambos listados en IAF CertSearch. No tenemos un informe SOC 2; si tu comprador lo exige, es una carencia real, y es mejor que lo sepas por nosotros.

Las firmas son firmas electrónicas avanzadas en formato PAdES-BES, incrustadas en el PDF. Los archivos viajan por TLS, y las claves privadas de firma de los usuarios se cifran con AES-256. No hay cifrado de extremo a extremo: el servidor lee cada archivo para buscar malware y aplicar la firma. El servidor calcula la huella de un archivo al subirlo; esa huella va a la cadena cuando lo publicas, y la prueba de cada firmante le sigue al completarse. La traza de auditoría y un informe de verificación se descargan en PDF.

En los planes de pago, la verificación de identidad opcional añade un documento de identidad oficial y un selfie en directo dentro del flujo de firma, activable por documento. Para las firmas cualificadas traes un certificado de un prestador cualificado de servicios de confianza; Chaindoc ejecuta el flujo de firma pero no es uno. Un orden de firma fijo funciona mediante rutas de aprobación en el plan Business (consulta planes y precios).

Si eso encaja con tu forma de firmar, crear una firma digital segura lleva unos minutos. Si hoy necesitas un informe SOC 2 o una validación a largo plazo integrada en el archivo, otro proveedor te servirá mejor.