¿Cómo se comprueba una firma electrónica? Guía sencilla de los validadores.

Una firma manuscrita le pide que confíe en ella. Una firma electrónica le permite comprobarla. Esa es toda la diferencia, y es la razón por la que toda firma electrónica seria incluye todo lo que un desconocido necesita para verificarla, sin tener que preguntar al firmante, al remitente ni al prestador que la generó.

¿Necesito software de pago? No. Comprobar una firma es gratis. Lo que cuesta dinero es firmar, porque un prestador de servicios de confianza tiene que verificar identidades y responder de sus certificados. La comprobación solo lee lo que ya está en el archivo.

¿Necesito Adobe Acrobat? No. El Adobe Acrobat Reader gratuito comprueba las firmas de forma fiable y es una opción entre varias. Un validador web funciona en cualquier navegador y en cualquier dispositivo, y muchos explican cada comprobación con palabras sencillas.

Tiene, por tanto, tres caminos, del más rápido al más formal:

• Un validador en línea. Suba el PDF y lea el informe. El nuestro es la validación de firmas PDF gratuita: sin cuenta, y el archivo no se almacena.
• Adobe Acrobat Reader. Abra el PDF y fíjese en el Panel de firmas. Le explicamos cada paso en Comprobar una firma en Adobe Reader.
• Un servicio de validación cualificado. Cuando necesite un resultado que tenga a su vez peso jurídico, ante un tribunal o una autoridad, algunos prestadores de servicios de confianza ofrecen la validación como servicio cualificado conforme a eIDAS.

Una firma solo se puede verificar si trae consigo sus propias pruebas. Piense en un sello de lacre sobre una carta, con una copia notarial del documento de identidad del remitente adjunta y un matasellos de correos que muestra la fecha. Una firma electrónica moderna tiene las tres cosas, en formato digital:

1. 1
   Una huella del documento

   El software de firma calcula primero un hash: un valor corto que se obtiene a partir de cada byte del archivo. Cambie una sola coma y la huella será completamente distinta.

2. 2
   Un sello sobre esa huella

   Después, la huella se sella con la clave privada del firmante, una clave que solo controla él. Cualquiera puede abrir el sello con la clave pública correspondiente, pero nadie puede falsificarlo sin la privada.

3. 3
   Un certificado con el nombre del firmante

   La clave pública viaja dentro de un certificado: un documento de identidad digital que emite un prestador de servicios de confianza tras verificar la identidad del firmante. A su vez, el prestador firma el certificado, de modo que siempre se puede rastrear hasta su origen.

4. 4
   Una marca de tiempo de un reloj independiente

   Una autoridad de sellado de tiempo confirma en qué momento existía la firma. Sin ella, la hora procede del propio ordenador del firmante, que cualquiera puede ajustar a la fecha que quiera.

5. 5
   La prueba para el futuro

   Con la validación a largo plazo (LTV), el archivo guarda además los certificados y las respuestas de revocación vigentes en el momento de la firma, de modo que la firma se puede seguir comprobando cuando esos certificados ya hayan caducado hace tiempo.

En un PDF, todo esto se encuentra dentro del propio archivo, en un estándar europeo abierto llamado PAdES. Por eso cualquier validador puede leerlo: no depende del software, ni siquiera de la empresa, que creó la firma.

Un validador es un programa que lee las pruebas que contiene el archivo y examina cada una de ellas. No se fía de lo que el documento dice de sí mismo: recalcula, rastrea y pregunta. Este es el orden en que trabaja un buen validador:

1. 1
   Recalcular la huella

   El validador vuelve a calcular el hash del documento y lo compara con el que contiene la firma. Si coinciden, no ha cambiado ni un solo bit desde la firma.

2. 2
   Abrir el sello

   Con la clave pública del certificado, comprueba que el sello se hizo realmente con la clave privada correspondiente.

3. 3
   Seguir la cadena de certificados

   Remonta el certificado a través de sus emisores hasta una raíz de confianza, normalmente una de las listas de confianza de la UE o de la AATL de Adobe.

4. 4
   Preguntar por la revocación

   Pregunta al emisor si el certificado había sido revocado y compara la respuesta con el momento de la firma.

5. 5
   Confirmar la hora

   Comprueba la marca de tiempo, para que la pregunta «¿válida desde cuándo?» tenga una respuesta que no dependa de la palabra de nadie.

6. 6
   Determinar el nivel

   A partir del certificado y de las listas de confianza, le indica si la firma es cualificada (QES), avanzada (AdES) o ninguna de las dos.

Las listas de confianza de la UE merecen una explicación. Cada Estado miembro publica una lista oficial y firmada de los prestadores de servicios de confianza que supervisa, y la Comisión Europea las enlaza todas en una lista de listas. Cuando un validador dice «cualificada», es ahí donde lo ha consultado: no en el material publicitario del prestador, sino en un registro que llevan las autoridades de supervisión.

Un certificado puede anularse antes de caducar, igual que una tarjeta bancaria que se denuncia como perdida. Quizá una clave quedó comprometida, una persona dejó la empresa o los datos del certificado eran incorrectos. El emisor lo revoca entonces y, a partir de ese momento, ya no debe utilizarse para firmar.

Los validadores lo averiguan de una de estas dos maneras:

• Una lista de revocación (CRL). El emisor publica periódicamente una lista firmada con todos los certificados que ha revocado. El validador la descarga y busca en ella el certificado en cuestión.
• Una consulta en tiempo real (OCSP). El validador pregunta directamente al emisor por un certificado concreto y recibe una respuesta firmada: válido, revocado o desconocido. Si está revocado, la respuesta indica desde cuándo.

Lo decisivo es el «cuándo». Un certificado revocado después de realizarse la firma no anula esa firma: el día en que se firmó, el certificado estaba en regla. Un certificado revocado antes es otra historia. Precisamente por eso la marca de tiempo es tan valiosa: sin una hora fiable, nadie puede decir a qué lado de la revocación queda la firma.

La mayoría de los validadores resumen sus conclusiones en una de tres respuestas. Cada una dice algo preciso, y también deja algo sin decir:

Hay un límite que vale para todos los validadores: comprueban la firma, no el negocio. «Válida» le dice quién firmó, qué firmó y cuándo. No le dice si el contenido es cierto, ni si el firmante tenía poder para obligar a su empresa. Esa parte le corresponde a usted, o a su abogado.

Es tentador ver la firma electrónica como la copia cómoda de la auténtica. Técnicamente, es al revés. Una firma en tinta demuestra sorprendentemente poco, y para demostrar incluso eso hace falta un perito.

La ley ya ha sacado su conclusión. Según el artículo 25, apartado 2, del Reglamento eIDAS, una firma electrónica cualificada tiene el mismo efecto jurídico que una firma manuscrita en todos los Estados miembros de la UE. En la práctica es la más sólida de las dos: más fácil de comprobar y mucho más difícil de impugnar.

Todos los buenos validadores examinan las mismas pruebas. Se diferencian en qué listas de confianza consultan, en cómo explican el resultado y en qué ocurre con su archivo:

• Validación de firmas PDF de swipesign: gratuita, sin cuenta; el archivo se procesa en memoria y no se almacena. Comprueba con las listas de confianza de la UE y la AATL de Adobe, incluidas la revocación, las marcas de tiempo y el nivel de cualificación, con un informe en lenguaje claro.
• Comprobación de firmas de la RTR (Austria): la autoridad de supervisión austriaca está obligada por ley a ofrecer un servicio gratuito para validar firmas y sellos cualificados. Una opción natural para documentos firmados con un certificado austriaco o con una firma oficial de la Administración.
• Demo DSS de la Comisión Europea: basada en la biblioteca de validación de código abierto de la Comisión, con informes muy detallados. La Comisión la presenta como una demostración para pruebas, así que evite subir documentos sensibles.
• Adobe Acrobat Reader: gratuito, funciona sin conexión y ya está instalado en muchos ordenadores. Muestra el resultado en el Panel de firmas, con los detalles en las propiedades de cada firma.
• Swisscom Validator: para firmas según la ley suiza de firma electrónica (ZertES), el lugar adecuado para comprobarlas.

Elija el que elija, una comprobación lleva menos de un minuto. Si un documento firmado es importante para usted, compruébelo. Para eso está la firma.

Adobe, Acrobat y Reader son marcas comerciales o marcas registradas de Adobe Inc. en Estados Unidos y/u otros países. swipesign no está vinculada a Adobe ni cuenta con su respaldo.