No es lo mismo un PDF firmado digitalmente que un PDF en el que alguien ha dibujado su firma en la página. El término "firmado digitalmente" Se refiere a un mecanismo técnico específico que utiliza criptografía para verificar tanto la identidad del firmante como la integridad del documento después de la firma. Comprender la distinción es importante porque estas dos cosas ofrecen niveles muy diferentes de protección legal.
Qué es realmente una firma digital
Una firma digital en un PDF utiliza una infraestructura de clave pública (PKI), un sistema criptográfico que combina una clave privada (en poder del firmante) con una clave pública (disponible para cualquiera que quiera verificar la firma). Cuando firma digitalmente un PDF, su software de firma crea un hash matemático del contenido del documento y cifra ese hash con su clave privada. Este hash cifrado, junto con su certificado digital, está incrustado en el PDF.
Cuando alguien abre el PDF firmado, su lector utiliza su clave pública para descifrar el hash y lo compara con un hash recién calculado del documento actual. Si los dos hashes coinciden, el documento no ha sido modificado desde su firma y la firma es válida. Si se cambió incluso un carácter después de firmar, los hashes no coincidirán y el visor mostrará una advertencia de firma no válida. Esta detección de manipulación es lo que hace que una firma digital sea fundamentalmente diferente de una firma dibujada o basada en imágenes.
Certificados digitales y autoridades certificadoras
Para que otros confíen en una firma digital, el certificado utilizado para firmar debe ser emitido por una Autoridad de certificación (CA) confiable, una organización que haya verificado la identidad del firmante antes de emitir el certificado. Cuando un destinatario abre un PDF firmado digitalmente, su lector comprueba si el certificado fue emitido por una CA de la lista de confianza. Si lo fuera, el visor muestra una firma confiable; de lo contrario, muestra una advertencia de certificado desconocido o no confiable.
Las principales CA incluyen DigiCert, GlobalSign, Entrust y otras acreditadas bajo programas como Adobe Approved Trust List (AATL) o European Union Trusted Lists (EUTL). Adobe Acrobat y la mayoría de los visores de PDF empresariales confían automáticamente en los certificados de estas CA sin ninguna configuración adicional.
Los certificados autofirmados (los que genera usted mismo sin una CA) aún brindan detección de manipulación pero no verifican la identidad. Un destinatario que abra un PDF firmado con un certificado autofirmado verá una advertencia de que el certificado no proviene de una autoridad confiable, aunque la firma en sí sea criptográficamente válida.
Firmas digitales vs firmas electrónicas vs firmas certificadas
Estos tres términos a menudo se usan indistintamente pero se refieren a cosas significativamente diferentes. Así es como se comparan:
| Característica | Firma Electrónica | Firma digital | Firma Certificada |
|---|---|---|---|
| Verificación de identidad | No se requiere ninguno | Se requiere certificado PKI | Certificado PKI + CA |
| Detección de manipulación | No | Sí | Sí |
| Capacidad legal | Válido en la mayoría de los contextos. | Fuerte: legalmente reconocido | Más fuerte: admisible por el tribunal |
| Pista de auditoría | Limitado/ninguno | Prueba criptográfica | Pista de auditoría completa |
| Herramientas típicas | WukongPDF, Vista previa, Borde | Adobe Acrobat, DocuSign | Adobe Acrobat Pro, empresa |
| Lo mejor para | Contratos cotidianos, formularios. | Acuerdos comerciales, RRHH | Presentaciones legales, documentos regulados. |
La experiencia cotidiana PDF Sign (dibujar una firma en WukongPDF o Vista previa) crea una firma electrónica. Es legalmente válido para la mayoría de los propósitos, pero no proporciona detección de manipulación ni verificación de identidad criptográfica. Una firma digital requiere un certificado de una CA, proporciona detección de manipulación y es necesaria para documentos de alto riesgo.
Situación legal de los archivos PDF firmados digitalmente
Las firmas digitales están legalmente reconocidas en todas las jurisdicciones importantes. En los Estados Unidos, la Ley ESIGN y la UETA reconocen que las firmas electrónicas y digitales son legalmente vinculantes. El reglamento eIDAS (Identificación electrónica, autenticación y servicios de confianza) de la Unión Europea proporciona el marco más detallado, distinguiendo entre firmas electrónicas simples, firmas electrónicas avanzadas (AES) y firmas electrónicas cualificadas (QES), siendo la QES la que tiene el mayor peso legal y requiere un certificado cualificado de un proveedor acreditado.
Una firma electrónica cualificada bajo eIDAS tiene el mismo efecto legal que una firma manuscrita en todos los estados miembros de la UE. Este es el estándar utilizado para documentos de alto riesgo en industrias reguladas europeas: servicios financieros, atención médica, procedimientos legales y presentaciones gubernamentales.
Cómo verificar una firma digital en un PDF
Adobe Acrobat Reader (gratis) muestra la validez de la firma cuando abre un PDF firmado digitalmente. Una marca de verificación verde en el panel de firma indica una firma válida de un certificado confiable. Un triángulo de advertencia amarillo indica que la firma es válida pero el certificado no proviene de una CA confiable. Una X roja indica que la firma no es válida: el certificado ha caducado, ha sido revocado o el documento se modificó después de la firma.
Para ver los detalles completos de la firma, haga clic en la firma en el documento para abrir el panel Propiedades de la firma. Esto muestra la información del certificado del firmante, la fecha y hora de la firma y la cadena de confianza hasta la CA raíz. Para documentos involucrados en disputas legales, esta pista de auditoría es la evidencia principal de que la firma es auténtica.
Cuando necesitas una firma digital versus una firma simple
La mayoría de las firmas de documentos cotidianas (contratos de trabajo, términos de contratistas, formularios de consentimiento, contratos de alquiler) no requieren una firma digital criptográfica. Una simple firma electrónica añadida a través de una herramienta PDF Sign es legalmente suficiente y mucho más sencilla para todas las partes. El destinatario no necesita ningún software especial para verificar nada; abren el documento, ven la firma y ya es suficiente.
Las firmas digitales se vuelven necesarias cuando el documento está sujeto a requisitos regulatorios que las exigen explícitamente, cuando se necesita prueba de que el documento no ha sido alterado después de la firma, cuando el documento se presentará a un tribunal o autoridad gubernamental que requiere verificación criptográfica, o cuando las partes no confían entre sí lo suficiente como para confiar en una firma simple sin verificación independiente.