Comprobar una firma electrónica cualificada según eIDAS
Validar una firma electrónica.
Sube el archivo firmado: Chaindoc revisa integridad, cadena de certificados, lista de confianza UE y sellos de tiempo. Compatible con PAdES XAdES CAdES ASiC. Gratis.Qué incluye la validación de firma
- Validación de PAdES, XAdES, CAdES y ASiC
- Comprobación de cadena de certificados y revocación
- Informe detallado en segundos
- Tu archivo nunca se almacena
Dos cosas que se suelen mezclar. Primera: el archivo que subes no se almacena en ningún momento. Segunda: el informe de validación sí se guarda, en privado, durante 7 días, y después se borra. A partir de ahí solo queda un registro mínimo en tu cuenta (resultado, número de firmas, fecha).
Identifica el formato de tu firma
Cuatro formatos cubren casi todo lo que te vas a encontrar en la UE, y el formulario de arriba los admite todos. Si no sabes cuál tienes entre manos, sube el archivo y deja que lo resuelva la detección. Cuando necesites el detalle de un formato concreto, estas páginas van más a fondo.
Una firma incrustada dentro del propio PDF, perfilada por ETSI EN 319 142. Es lo que generan Adobe Acrobat, DocuSign y casi todos los portales públicos europeos. No viaja nada por separado, así que el archivo se valida solo. El detalle del perfil está en verificación de firma PDF.
Firmas XML bajo ETSI EN 319 132, las que sostienen la facturación electrónica europea (Facturae, FatturaPA) y la mayoría de presentaciones ante la administración. Las extensiones son .xml y .xsig. Ojo con la variante separada, donde la firma y los datos firmados viven en dos archivos distintos. Mira verificación XAdES.
Firmas CMS binarias de ETSI EN 319 122. La firma digitale italiana usa .p7m, que envuelve el documento dentro de la firma: si tu sistema no sabe abrirlo, el archivo no está corrupto. Un .p7s es el primo separado y necesita el archivo original al lado. Más en verificación CAdES.
Un paquete ZIP descrito por ETSI EN 319 162 que lleva documentos y firmas juntos. ASiC-S contiene un único objeto de datos; ASiC-E contiene varios más un manifiesto. Las extensiones .sce y .scs significan esas mismas dos cosas. El .bdoc estonio es un contenedor ASiC-E con un nombre más antiguo: renómbralo a .asice o .zip si la subida lo rechaza. Mira verificación ASiC.
Qué significan de verdad B, T, LT y LTA
La misma escalera en todos los formatos AdES: XAdES B-B hasta B-LTA, PAdES-BASELINE-B hasta LTA, y el equivalente CAdES. Detrás de todos ellos hay un único procedimiento, ETSI EN 319 102-1. El nivel que necesitas depende de cuánto tiempo tenga que seguir siendo demostrable la firma.
B: la firma en sí
El certificado del firmante, los atributos firmados y el vínculo criptográfico con el documento: basta para ser una firma electrónica avanzada según eIDAS, pero no dice cuándo se firmó.
T: un sello de tiempo de confianza
Un sello de tiempo de una autoridad de confianza prueba que la firma existía antes de un momento concreto. Sin la T confías en el reloj de otra persona.
LT: datos de validación a largo plazo
Empaqueta la cadena de certificados y las respuestas de revocación (CRL u OCSP) dentro del propio archivo, para que la firma se valide aunque la autoridad emisora ya no esté.
LTA: sellos de tiempo de archivo
Un sello de tiempo de archivo que se renueva con los años, para que la firma siga siendo verificable mientras los algoritmos de hash envejecen. Excesivo para un NDA, correcto para un plazo legal de conservación.
El certificado caduca. La prueba no
Chaindoc vincula cada firma que crea con un rastro en blockchain a prueba de manipulaciones, así que lo que puedas demostrar dentro de años no depende de un certificado ya caducado.
Firmar un documentoQué hace que una firma sea cualificada
Válida y cualificada son dos veredictos distintos, y confundirlos es el error más común en una revisión de cumplimiento. Una firma puede ser criptográficamente perfecta y aun así no ser una QES. Esto es lo que las separa, y quién lo decide.
Según eIDAS, una firma electrónica cualificada necesita un certificado cualificado y un dispositivo cualificado de creación de firma. Solo una QES obtiene equivalencia jurídica automática con la firma manuscrita en todos los Estados miembros. Una firma avanzada sigue siendo admisible como prueba, simplemente no lleva esa equivalencia automática.
Que un certificado sea cualificado no es cuestión de criterio. Los Estados miembros publican listas de confianza nacionales conforme a ETSI TS 119 612, agregadas en la lista de confianza de la UE (EUTL). Chaindoc contrasta los certificados de firma con la EUTL, así que el veredicto de cualificación es una consulta y no una opinión.
Un prestador de servicios de confianza cualificado (QTSP) es un emisor de certificados al que un organismo supervisor nacional ha auditado y admitido en la lista de confianza. Los certificados de un QTSP llevan el estatus de cualificados. Una autoridad de certificación comercial de toda solvencia que no esté en la lista producirá firmas válidas que no son cualificadas, y eso sorprende a más gente de la que debería.
Un sello electrónico acredita origen e integridad para una persona jurídica, en lugar de la voluntad de una persona física. Las facturas, los extractos registrales y las presentaciones automatizadas suelen llevar un sello, no una firma. Los sellos cualificados suben la misma escalera de B a LTA y se validan aquí igual.
Una firma que resiste eIDAS
Chaindoc une cada firma electrónica a una pista de auditoría blockchain a prueba de manipulaciones y la valida con las mismas reglas EU DSS de esta herramienta. Firma online gratis; cuando el contrato exige una firma electrónica cualificada, el informe te dice si la tienes.
Ya tienes el informe. ¿Y ahora qué?
Un veredicto solo sirve si sabes qué hacer con él. Estos son los cuatro resultados que te vas a encontrar de verdad, y cómo se suele resolver cada uno.
Válida y cualificada
Has terminado. El informe deja constancia del firmante, el certificado, el sello de tiempo y el ancla de confianza tal y como estaban en la comprobación, y se queda 7 días en tu cuenta. Si la firma es de nivel B o T, guarda tu propia copia antes: los datos de revocación en que se apoyaba no seguirán accesibles.
Válida pero no cualificada
Es habitual y casi siempre no pasa nada. La firma aguanta criptográficamente; el emisor es el que no está en la lista de confianza. Eso es política interna, no técnica. La guía de la firma electrónica cualificada repasa dónde basta una firma avanzada y dónde hace falta una QES.
No válida: falla la integridad
El documento cambió después de firmarse, aunque sea en un solo byte. Aplanarlo, volver a guardarlo o pasarle un OCR basta, y nada de eso es malintencionado. Pídele al remitente el archivo firmado original, no una copia que ha pasado por un gestor documental.
No válida: falla la confianza o la revocación
La criptografía está bien, pero la cadena no llega a una raíz de confianza o algún certificado fue revocado. Ninguno de los dos casos es definitivo. Las preguntas de abajo leen cada uno; cumplimiento con eIDAS, RGPD y NIST cuenta qué documentar. ¿Comprobaciones en volumen? Mira precios y la API.
Cuando la validación falla, y qué significa
Las preguntas que salen cuando el informe no dice lo que esperabas. Tienes más en nuestra página de soporte.
Significa que el validador siguió el certificado hasta su emisor y allí no encontró ninguna raíz que reconozca. Casi siempre se trata de una autoridad de certificación interna o nacional que no está en la lista de confianza de la UE, no de un ataque. La firma puede seguir siendo impecable en lo criptográfico. Mira quién emitió el certificado y decide después si tu política acepta a ese emisor. Si es tu propia PKI interna, añadir tus anclas de confianza es la solución de verdad, no un apaño.
Casi siempre porque el documento cambió después de firmarse. Una firma se compromete con el hash de unos bytes concretos, así que cualquier edición la rompe, incluidas las que parecen inofensivas: volver a guardar con otro motor de PDF, aplanar anotaciones, pasar un OCR o dejar que una pasarela de correo reescriba el adjunto. No tiene por qué haber pasado nada malicioso. Hay un caso propio del PDF que conviene conocer antes de acusar a nadie: un PDF puede llevar revisiones añadidas después, así que una firma puede cubrir legítimamente una revisión anterior y no la versión que estás mirando ahora. Comprueba qué revisión cubre. Si no, pídele al remitente el archivo tal y como salió de su herramienta de firma, no una copia que ha pasado por un gestor documental.
Dos causas habituales. O se trata de una firma separada que vive en un archivo aparte, con lo cual el que has subido no lleva ninguna. O lo que hay en el documento es una imagen de una firma, un escaneo o un garabato dibujado, sin criptografía detrás y sin nada que validar.
Porque las firmas separadas no contienen los datos que firman. Un archivo .p7s, y algunos .xml y .xsig, guardan el certificado del firmante y un hash, nada más. Sin el original no hay nada que volver a calcular ni con qué comparar. Sube las dos cosas: el archivo de firma y exactamente el documento sobre el que se firmó. Exactamente es la palabra que importa, porque una versión reexportada o vuelta a guardar no va a coincidir.
No, y aquí es donde tropieza más gente. Lo que cuenta es si el certificado era válido en el momento de firmar, no si lo es hoy. Justo para eso existe el sello de tiempo de confianza: demuestra que la firma existía mientras el certificado seguía vigente. Sin sello de tiempo, en una firma de nivel B a secas, no puedes probar cuándo se firmó, y ahí sí un certificado caducado se convierte en un problema real.
Guías de eIDAS y firma cualificada
Dónde basta una firma avanzada, dónde se exige una QES y qué cambia eIDAS 2.0 para los equipos que recogen firmas en la UE.
