Una Firma digital estándar en un PDF demuestra quién firmó el documento. Una firma digital con marca de tiempo demuestra cuándo la firmaron. La marca de tiempo la emite una autoridad de sellado de tiempo de terceros confiable y está vinculada criptográficamente a la firma. Juntos proporcionan no repudio: el firmante no puede negar haber firmado y la marca de tiempo demuestra que el certificado era válido en el momento de la firma, incluso si expiró más tarde.
El sellado de tiempo es esencial cuando la validez de la firma puede ser cuestionada años después del evento de la firma. Un contrato firmado hoy con un certificado que vence dentro de dos años puede necesitar verificación dentro de cinco años. Sin una marca de tiempo, la firma deja de ser válida cuando el certificado caduca o es revocado. Con una marca de tiempo, la verificación sigue siendo posible indefinidamente porque la marca de tiempo congela la validez del certificado en el momento de la firma.
Las herramientas Sign PDF de WukongPDF admiten firmas digitales basadas en certificados con integración de marca de tiempo confiable.
Cómo funcionan técnicamente las firmas con marca de tiempo
Cuando firma un PDF con la marca de tiempo habilitada, el software de firma calcula un hash del contenido del documento y lo envía a una autoridad de marca de tiempo. La TSA combina el hash con la hora actual de un reloj de alta precisión y firma esta combinación utilizando su propio certificado. La marca de tiempo firmada está incrustada en el PDF junto a los datos de su firma.
Cuando alguien verifica más tarde la firma, el lector de PDF verifica tanto la validez de su firma como la validez de la marca de tiempo de la TSA. Si su certificado ha caducado pero la marca de tiempo muestra que era válido en el momento de la firma, la firma se muestra como válida con una notación de que se admite la validación a largo plazo. La TSA actúa como testigo confiable con un certificado de larga duración, generalmente válido entre 10 y 20 años.
Obtención de Certificado Digital de Firma
En la mayoría de los casos, un certificado digital para la firma de PDF puede ser autofirmado o emitido por una autoridad certificadora comercial. Los certificados autofirmados son adecuados para documentos internos en los que el destinatario ya conoce y confía en su identidad. Los certificados emitidos por CA de proveedores como GlobalSign, IdenTrust o DigiCert proporcionan verificación de identidad de terceros para documentos intercambiados con terceros.
El proceso de emisión de un certificado emitido por una CA requiere verificación de identidad. Los certificados individuales requieren una identificación con fotografía emitida por el gobierno. Los certificados de organización requieren documentos de registro empresarial. La verificación demora desde unas pocas horas para la validación básica hasta varios días para la validación extendida. Después de su emisión, el certificado tiene una validez de uno a tres años y debe renovarse antes de su vencimiento.
Guarde la clave privada del certificado con el mismo cuidado que cualquier otra autoridad de firma legal. La clave privada protegida por una contraseña es la que crea la firma. Cualquier persona que tenga acceso al archivo clave y la contraseña puede firmar documentos como usted. Utilice una contraseña segura y guarde la clave en un lugar seguro separado de los documentos firmados.
Configurar una autoridad de sellado de tiempo en Acrobat Pro
Abra Acrobat Pro y vaya a Editar, Preferencias, Firmas. En Sellado de tiempo del documento, haga clic en Más para abrir la lista de servidores de marca de tiempo. Haga clic en Nuevo e ingrese la URL de una TSA confiable. Hay varias TSA públicas gratuitas disponibles para uso no crítico. Para documentos legales y regulatorios, las TSA comerciales ofrecen tiempo de actividad garantizado y compromisos de confiabilidad contractual.
Después de agregar la TSA, selecciónela como servidor de marca de tiempo predeterminado. Cada firma aplicada después de esta configuración incluirá automáticamente una marca de tiempo de la TSA seleccionada. Las propiedades de apariencia de la firma controlan si la marca de tiempo se muestra visualmente junto a su nombre y fecha de firma.
Verificación de una firma con sello de tiempo
Abra el PDF firmado en Acrobat Reader y haga clic en el campo de firma. El panel Propiedades de la firma muestra la identidad del firmante, la hora de firma certificada por la TSA y el estado de validación. Una marca de verificación verde indica que tanto la firma como la marca de tiempo son válidas. El panel también muestra la cadena de certificados de la TSA y cuándo caduca el certificado de la TSA.
Si el certificado de firma ha caducado pero la marca de tiempo es válida, la firma muestra un triángulo de advertencia en lugar de una marca de verificación verde. El texto de advertencia explica que el certificado expiró pero el documento se firmó cuando el certificado era válido. Este es el comportamiento de validación a largo plazo esperado y no indica un problema con la firma.
Estrategia de validación de firma a largo plazo
Para documentos que requieran verificabilidad dentro de décadas, combine el sellado de tiempo con una nueva firma periódica. Antes de que caduque el certificado de firma actual, aplique una nueva firma con una marca de tiempo nueva utilizando un certificado actual. La cadena de firmas y marcas de tiempo crea un historial de validación continuo. Cada nuevo eslabón de la cadena da fe de que todos los eslabones anteriores eran válidos cuando se agregó el nuevo eslabón.
Guarde los archivos PDF firmados con su información de validación intacta. No optimice ni comprima archivos PDF firmados con herramientas que eliminen los datos de la firma. Algunas operaciones de optimización eliminan la información de la firma criptográfica y conservan únicamente la apariencia visual de la firma. Un PDF que parece firmado pero que no tiene datos de firma verificables es peor que un PDF sin firmar porque crea una falsa impresión de autenticidad.
En la mayoría de los casos, una firma digital con marca de tiempo en un PDF proporciona la forma más sólida de autenticación de documentos disponible fuera de las plataformas de documentos legales especializadas. La combinación de una verificación de identidad criptográficamente sólida y una sincronización certificada de forma independiente crea una firma que resiste el escrutinio años o décadas después del evento de firma original, proporcionando la autenticidad del documento a largo plazo que los contextos legales, financieros y regulatorios exigen durante años después de que el certificado de firma original haya expirado hace mucho tiempo y ya no se pueda verificar directamente.
| Tipo de firma | Verificación de ID | Soporte de marca de tiempo |
|---|---|---|
| Certificado autofirmado | Ninguno, basado en la confianza | TSA pública gratuita o ninguna |
| Certificado emitido por CA | Identificación gubernamental/organizacional | Se recomienda la TSA comercial |
| Servicio de firma en la nube | Proveedor de servicios verificado | Incluido con el servicio |
Durante los flujos de trabajo típicos, cuando se trata de flujos de trabajo de documentos, para las organizaciones que firman documentos con regularidad, establezca una política de firma que especifique cuándo se requiere la marca de tiempo. Es posible que los documentos internos de rutina no necesiten marcas de tiempo. Los contratos, las presentaciones reglamentarias y los documentos con relevancia plurianual se benefician del sellado de tiempo. La política elimina la ambigüedad sobre cuándo se justifica el paso adicional de configurar una TSA.
Desde un punto de vista práctico, en la práctica, el esfuerzo marginal de habilitar el sellado de tiempo es mínimo después de la configuración inicial de la TSA. La configuración de marca de tiempo predeterminada se aplica automáticamente a cada firma posterior. El beneficio de la verificabilidad a largo plazo se acumula en cada documento firmado sin esfuerzo por documento.
Elección entre autoridades de sellado de tiempo comerciales y gratuitas
Las TSA públicas gratuitas, como las operadas por universidades y autoridades certificadoras, proporcionan marcas de tiempo básicas adecuadas para documentos no críticos. Es posible que tengan límites de uso, garantías de tiempo de actividad y no soporte si la marca de tiempo no se puede verificar más adelante. Las TSA comerciales ofrecen acuerdos de nivel de servicio que garantizan la disponibilidad y soporte de verificación de marca de tiempo a largo plazo.
En el punto en que, cuando se trata de flujos de trabajo de documentos, documentos legales y presentaciones reglamentarias, vale la pena el costo de una TSA comercial con un compromiso contractual para mantener los servicios de verificación de marcas de tiempo durante 10 años o más. La tarifa de la TSA es insignificante en comparación con el valor de una firma verificable en un contrato que puede ser impugnado años después. Para aprobaciones internas y documentos de rutina, las TSA gratuitas son adecuadas.
Solución de problemas de fallas de verificación de marca de tiempo
Si una firma con marca de tiempo no pasa la verificación, verifique la cadena de certificados de la TSA. El certificado TSA debe encadenarse a un certificado raíz confiable instalado en el lector de PDF. Si el lector no confía en la raíz de TSA, no se puede verificar la marca de tiempo. La instalación del certificado raíz de TSA en el almacén de certificados confiable del lector resuelve este problema.
También verifique que el reloj del sistema en la computadora de verificación sea aproximadamente correcto. La verificación de la marca de tiempo implica comparar la hora de la marca de tiempo con la hora actual para confirmar que no es en el futuro. Un reloj del sistema configurado años en el pasado o en el futuro puede provocar que las marcas de tiempo válidas no superen la verificación. Corregir el reloj del sistema y volver a verificarlo resuelve las fallas relacionadas con el reloj.
Uso de servicios de firma basados en la nube con marca de tiempo integrada
La mayoría de los servicios de firma de PDF basados en la nube incluyen la marca de tiempo como característica predeterminada. DocuSign, Adobe Acrobat Sign y Dropbox Sign aplican automáticamente marcas de tiempo de sus propias TSA. El usuario no necesita configurar una TSA por separado. La marca de tiempo se incluye de forma predeterminada con cada firma.
Los servicios de firma en la nube simplifican la gestión de marcas de tiempo al manejar la configuración de TSA, la renovación de certificados y la verificación de marcas de tiempo entre bastidores. El PDF firmado incluye una marca de tiempo incrustada que cualquier lector de PDF puede verificar. Para las organizaciones que prefieren no administrar certificados digitales y TSA internamente, los servicios de firma en la nube brindan firmas con marca de tiempo con una configuración mínima.
Las firmas digitales con marca de tiempo son el estándar de oro para la autenticación de documentos PDF. Combinan prueba criptográfica de identidad con prueba de sincronización certificada de forma independiente. Para documentos cuya autenticidad puede ser cuestionada años después de la firma, la marca de tiempo es la diferencia entre una firma verificable y una no verificable.
La configuración de la marca de tiempo lleva unos minutos y se aplica a cada firma posterior. La protección que proporciona dura toda la vida del documento firmado. Para los documentos importantes, el pequeño esfuerzo de configuración está ampliamente justificado por la garantía de verificación a largo plazo.
Las firmas digitales con marcas de tiempo proporcionan la autenticación de documentos más sólida disponible para archivos PDF. La tecnología es madura, cuenta con un amplio soporte y es accesible tanto a través de software de escritorio como de servicios en la nube. Para cualquier documento donde sea necesario demostrar su autenticidad en el futuro, la firma con sello de tiempo es el estándar a cumplir.
En este contexto, en la práctica, las prácticas descritas aquí se aplican a cualquier flujo de trabajo de firma de PDF. Las herramientas específicas varían, pero los principios de gestión de certificados, configuración de marca de tiempo y validación a largo plazo son universales en todas las implementaciones de firma de PDF. La combinación de verificación de identidad criptográfica y sellado de tiempo confiable proporciona una autenticación de documentos que resiste el escrutinio años o décadas después del evento de firma original.