Una firma digital en un PDF proporciona dos cosas que una imagen de firma manuscrita no puede: prueba criptográfica de quién firmó y prueba criptográfica de que el documento no ha cambiado desde la firma. No es necesario dibujar su firma, cargar un escaneo ni utilizar una pantalla táctil. Una firma digital basada en certificado utiliza un certificado digital emitido por una autoridad certificadora confiable para crear un sello a prueba de manipulaciones que está vinculado matemáticamente tanto a su identidad como al contenido del documento.
La capacidad Firma digital en PDF forma parte de la especificación desde la versión 1.2, lanzada en 1996. A pesar de tener casi treinta años, sigue infrautilizada porque el proceso de obtención y uso de un certificado digital es más complejo que escribir un nombre o cargar una imagen de firma. Comprender el proceso lo hace accesible.
Lo que realmente demuestra una firma digital basada en certificados
Una firma digital basada en certificado demuestra tres cosas. Primero, prueba la identidad del firmante, porque el certificado fue emitido por una autoridad certificadora que verificó la identidad del firmante antes de emitir el certificado. En segundo lugar, prueba la integridad del documento, porque la firma incluye un hash criptográfico del contenido del documento en el momento de la firma, y cualquier cambio posterior en el documento invalida ese hash. En tercer lugar, prueba la hora de la firma, porque la firma puede incluir una marca de tiempo de un servidor de hora confiable.
Estas tres pruebas juntas hacen de la firma basada en certificado Sign PDF la forma más potente de firma electrónica disponible en formato PDF. Un nombre escrito no proporciona ninguna de estas pruebas. Una imagen de firma dibujada no proporciona ninguno de ellos. Una firma basada en certificado proporciona los tres.
Obtención de un certificado digital para firma de PDF
Los certificados digitales para la firma de PDF están disponibles a través de autoridades certificadoras que emiten certificados personales u organizacionales. Estas son las mismas autoridades certificadoras que emiten certificados SSL para sitios web. La autoridad certificadora verifica su identidad, generalmente verificando la identificación emitida por el gobierno o los registros organizacionales, y emite un archivo de certificado que usted instala en su computadora.
Muchas organizaciones emiten certificados digitales a sus empleados a través de una autoridad certificadora interna. Si su organización utiliza tarjetas inteligentes o tokens de hardware para crear acceso o iniciar sesión en la red, esas mismas credenciales a menudo se pueden usar para firmar PDF. Consulte con su departamento de TI si ya tiene un certificado digital que pueda usarse para firmar documentos.
Algunas plataformas de firma basadas en la nube emiten certificados bajo demanda. Verificas tu identidad una vez a través de la plataforma y ésta emite un certificado válido para una única sesión de firma o por un período de tiempo limitado. Este enfoque elimina la complejidad de instalar y administrar certificados localmente y al mismo tiempo proporciona solidez de firma basada en certificados.
Aplicar una firma basada en certificado a un PDF
En Adobe Acrobat, abra el documento y seleccione Herramientas, Certificados y luego Firmar digitalmente. Dibuja un rectángulo donde debería aparecer la firma. Acrobat le solicita que seleccione qué certificado usar y configure la apariencia de la firma. La apariencia puede incluir su nombre, la fecha, los detalles del certificado y una imagen de fondo, como un logotipo corporativo.
WukongPDF proporciona funciones de PDF Security a través del navegador para agregar firmas a documentos. La plataforma admite varios métodos de firma, incluida la firma basada en certificados, cuando esté disponible.
Después de firmar, guarde el documento con un nuevo nombre de archivo. La versión firmada debe conservarse como copia autorizada y la versión no firmada debe archivarse o eliminarse para evitar confusión sobre qué versión se firmó realmente.
Verificación de una firma basada en certificado
Cuando un destinatario abre un PDF firmado con certificado, su lector de PDF valida automáticamente la firma. Una cinta azul o una marca de verificación verde indican una firma válida con un certificado confiable. Un triángulo de advertencia amarillo indica una firma que es técnicamente válida pero utiliza un certificado de una fuente que no es de confianza. Una X roja indica una firma no válida, lo que significa que el documento fue modificado después de la firma o que el certificado ha caducado o ha sido revocado.
El proceso de validación verifica la cadena de confianza del certificado. Su certificado fue emitido por una autoridad certificadora cuyo certificado fue emitido por una autoridad certificadora raíz. El lector de PDF comprueba cada eslabón de esta cadena. Si algún enlace está roto, caducado o revocado, la firma se muestra como no válida aunque la firma matemática del documento sea correcta.
La validación de firmas a largo plazo es una preocupación activa para los documentos que deben seguir siendo verificables años o décadas después de la firma. Los certificados caducan. Las autoridades certificadoras cierran. Una firma que era válida hace diez años puede resultar inválida hoy porque la cadena de certificados ya no se puede verificar. Agregar una marca de tiempo de un servidor de tiempo confiable en el momento de la firma proporciona evidencia de que la firma era válida cuando se aplicó, incluso si el certificado expiró desde entonces.
Las firmas basadas en certificados se pueden combinar con apariencias de firma visibles para documentos que necesitan tanto seguridad criptográfica como una apariencia de firma tradicional. El certificado proporciona la prueba criptográfica. La capa de apariencia muestra una imagen de firma manuscrita, un nombre escrito a máquina o un sello corporativo. Las dos capas son independientes.
Los servicios de firma digital basados en la nube han simplificado el proceso de gestión de certificados. Servicios como DocuSign, Adobe Sign y otros administran los certificados en nombre de los usuarios. El usuario se autentica en el servicio, que aplica una firma basada en certificado. El usuario no necesita instalar ni administrar ningún certificado localmente.
Para las organizaciones que firman grandes volúmenes de archivos PDF, los flujos de trabajo de firma automatizados utilizan un certificado administrado centralmente para aplicar firmas mediante programación. Un sistema de generación de facturas firma cada factura a medida que se crea. Un sistema de distribución de informes firma cada informe antes de enviarlo por correo electrónico. El certificado lo gestiona TI y lo utiliza el flujo de trabajo automatizado.
Cuando un PDF firmado debe validarse años después de que el certificado haya expirado, la información de validación a largo plazo incorporada en la firma proporciona la evidencia necesaria. La información de validación incluye la cadena de certificados, el estado de revocación del certificado en el momento de la firma y una marca de tiempo confiable. Esta información permite a un futuro validador determinar que la firma era válida cuando se aplicó.
El reglamento eIDAS de la Unión Europea define las firmas electrónicas cualificadas que requieren un certificado cualificado emitido por un proveedor cualificado de servicios de confianza. Estas firmas tienen el mayor peso legal. Si sus documentos deben cumplir con los requisitos de firma calificada de eIDAS, verifique que su proveedor de certificados esté en la Lista de confianza de la UE.
Las firmas basadas en certificados se pueden aplicar a carteras de PDF y colecciones de documentos, no solo a archivos individuales. Un portafolio que contiene un contrato y sus anexos se puede firmar como una unidad, y la firma cubre todos los documentos del portafolio. Esta capacidad es útil para transacciones que involucran múltiples documentos relacionados.
Se pueden aplicar varias firmas al mismo PDF en secuencia, creando una cadena de firmas. Cada firmante firma el documento tal como lo firmaron los firmantes anteriores. El panel de firma en el lector de PDF muestra el orden de firma y el estado de validación de cada firma. Esta firma secuencial es común para los flujos de trabajo de aprobación.
Al firmar un PDF que ya contiene campos de formulario, la firma se puede configurar para bloquear todos los campos del formulario después de la firma, evitando cambios adicionales en los datos del formulario completado. Este comportamiento de bloqueo después de la firma se puede configurar en las propiedades del campo de firma.
La apariencia visual de una firma basada en certificado puede incluir una versión digital de su firma manuscrita, su nombre escrito, la fecha y hora de la firma, el nombre del emisor del certificado y un logotipo corporativo. La apariencia se puede personalizar en la configuración de la firma.
Para documentos que deben ser firmados por varias partes en diferentes ubicaciones, las plataformas de firma basadas en la nube coordinan la secuencia de firma. Cada parte recibe el documento por turno, aplica su firma y la plataforma lo envía al siguiente firmante. El documento completo contiene todas las firmas con información de validación completa.
Para documentos que deben ser verificables dentro de décadas, incluya información de validación a largo plazo (LTV) en la firma. LTV incluye la cadena de certificados completa, el estado de revocación del certificado y una marca de tiempo confiable.
Cuando un PDF firmado se modifica después de firmarlo, incluso agregando una página en blanco, la firma deja de ser válida. La invalidación es intencionada. Si necesita agregar contenido a un PDF firmado, agréguelo antes de firmar, no después.
Las agencias gubernamentales aceptan firmas basadas en certificados para muchos tipos de presentaciones electrónicas. Los requisitos específicos del certificado varían según la agencia. Consulte las pautas de presentación electrónica de la agencia para conocer las autoridades certificadoras aceptadas y los formatos de firma antes de preparar su envío.
Al recibir un PDF firmado con certificado de un tercero, valide la firma antes de confiar en el documento. Una firma válida confirma la identidad del firmante y la integridad del documento. Una firma no válida indica que el documento puede haber sido modificado o que el certificado no es confiable.
Las firmas digitales basadas en certificados proporcionan la forma más sólida de autenticación de documentos electrónicos disponible en formato PDF, combinando la verificación de identidad con el sellado a prueba de manipulaciones en una única operación criptográfica.
Las firmas digitales basadas en certificados representan el estándar más alto de autenticación de documentos electrónicos, proporcionando una prueba matemática de identidad e integridad que los nombres escritos y las imágenes de firmas no pueden igualar.
Las organizaciones que adoptan firmas digitales basadas en certificados para sus flujos de trabajo de PDF obtienen la protección más sólida disponible contra la manipulación de documentos y la suplantación de firmantes, al tiempo que agilizan el proceso de firma para documentos internos y externos.
La seguridad criptográfica proporcionada por una firma digital basada en certificados supera la de cualquier método de firma visual, lo que la convierte en la opción preferida para documentos donde la autenticidad y la integridad son esenciales para el propósito legal o comercial del documento.
| Método de firma | Prueba de identidad | Evidencia de manipulación | Peso Legal |
|---|---|---|---|
| Nombre escrito | Ninguno (autoafirmado) | Ninguno | Básico; aceptado para la mayoría de los documentos comerciales |
| Imagen dibujada/cargada | Ninguno (solo visual) | Ninguno | Básico; familiaridad visual |
| Digital basado en certificados | Autoridad certificadora verificada | Criptográfico; cualquier cambio detectado | Más alto; las firmas cualificadas conllevan presunción legal |
| Servicio de firma en la nube | Identidad verificada por la plataforma | Prueba criptográfica administrada por plataforma | Alto; la plataforma proporciona un seguimiento de auditoría |