Un PDF firmado digitalmente llega a su bandeja de entrada procedente de un proveedor, un cliente o una agencia gubernamental. El panel de firma muestra un certificado válido, se confirma la identidad del firmante y el documento parece autorizado. Pero el certificado que validaba esa firma fue revocado hace tres meses, después de la firma del documento. ¿La firma todavía tiene peso legal? ¿El documento todavía se considera auténtico? La respuesta depende de cuándo ocurrió la revocación en relación con el evento de firma, qué tipo de certificado se utilizó y si se aplicó validación a largo plazo (LTV) en el momento de la firma.
Según un análisis de 2025 realizado por el Consejo de Seguridad de CA, aproximadamente el 8 % de los certificados digitales utilizados para la firma de documentos se revocan dentro de su período de validez debido a compromisos clave, cambios organizativos o violaciones de políticas (Consejo de Seguridad de CA, "Informe global de revocación de certificados", 2025). Un certificado revocado no invalida automáticamente todos los documentos firmados antes de la fecha de revocación. La distinción fundamental es si la firma se aplicó antes o después de la fecha de revocación del certificado. Una Firma digital válida aplicada antes de la revocación sigue siendo legalmente válida, pero demostrar ese momento ante un tercero, como un tribunal o un organismo de auditoría, requiere medidas técnicas específicas que se aplicaron en el momento de la firma o poco después.
Cómo se validan los certificados de firma digital y qué significa la revocación
Un certificado de firma digital lo emite una autoridad certificadora (CA) que garantiza la identidad del firmante. Cuando firma un PDF, la firma incorpora una marca de tiempo del reloj de su sistema local, la clave pública del certificado y un hash criptográfico del contenido del documento. El lector de PDF de un destinatario verifica tres cosas: si el certificado se encadena a una CA raíz confiable, si el certificado estaba dentro de su período de validez en el momento de la firma y si el certificado ha sido revocado.
La revocación ocurre cuando la CA agrega el número de serie del certificado a una Lista de revocación de certificados (CRL) o lo marca como revocado en un respondedor del Protocolo de estado de certificados en línea (OCSP). Los motivos comunes de revocación incluyen que la clave privada del firmante esté comprometida, que el firmante abandone la organización que emitió el certificado, que el certificado se emita a la entidad equivocada o un cambio en la política de la CA que afecte la validez del certificado. Una vez revocada, cualquier firma nueva aplicada utilizando ese certificado se considera inválida. Las firmas aplicadas antes de la fecha de revocación no quedan invalidadas por la revocación en sí, pero la revocación puede dificultar la prueba de que la firma se aplicó antes de que se revocara el certificado. Las herramientas Sign PDF de WukongPDF incluyen opciones de marca de tiempo que incorporan una marca de tiempo de un tercero confiable en el momento de la firma, creando un registro independiente de cuándo se aplicó la firma que no se ve afectado por una revocación posterior del certificado.
El papel de las marcas de tiempo confiables en la protección de firmas previas a la revocación
Una marca de tiempo confiable es la defensa más importante contra la revocación de un certificado posterior a la firma. Cuando firma un PDF y aplica una marca de tiempo de una Autoridad de sello de tiempo (TSA), la TSA genera un token criptográfico que demuestra que el documento existía en su forma actual en un momento específico. Esta marca de tiempo la emite un tercero independiente cuyo reloj es confiable y auditado, y está integrada directamente en la estructura de firma del PDF.
Si el certificado del firmante se revoca posteriormente, un verificador puede utilizar la marca de tiempo de la TSA para establecer que la firma se aplicó antes de la fecha de revocación. El propio certificado y la clave de firma de la TSA son independientes del certificado del firmante, por lo que la revocación del certificado del firmante no tiene ningún efecto sobre la validez de la marca de tiempo de la TSA. El verificador verifica dos cadenas separadas: la cadena de certificado del firmante para confirmar que el certificado del firmante era válido en el momento indicado por la marca de tiempo, y la cadena de certificado de la TSA para confirmar que la marca de tiempo en sí es confiable.
Adobe Acrobat y la mayoría de los lectores de PDF de nivel empresarial admiten marcas de tiempo TSA automáticamente. Cuando abre un PDF firmado digitalmente con una marca de tiempo TSA, el panel de firma a menudo muestra que la hora de la firma proviene de un servidor de marca de tiempo confiable en lugar del reloj local del firmante. Esta distinción es importante porque el firmante puede configurar arbitrariamente un reloj del sistema local, mientras que una marca de tiempo de la TSA es verificable de forma independiente. La diferencia entre una firma con marca de tiempo local y una con marca de tiempo de la TSA se vuelve crítica exactamente cuando surge una disputa por la revocación de un certificado (Instituto Europeo de Normas de Telecomunicaciones, "ETSI EN 319 102-1: Electronic Signatures and Infrastructures", 2025).
Validación a largo plazo y por qué la mayoría de los archivos PDF carecen de ella en el momento de la firma
La validación a largo plazo (LTV) es una característica que incorpora toda la información necesaria para verificar una firma, incluidas las CRL, las respuestas OCSP y la cadena de certificados completa, directamente en el PDF. Con LTV habilitado, un verificador puede confirmar la validez de la firma incluso si el servidor CRL de la CA o el respondedor OCSP ya no están disponibles en el momento de la verificación, e incluso si el certificado del firmante ha sido revocado desde entonces.
El problema es que LTV debe activarse en el momento de la firma o poco después, mientras los datos CRL y OCSP para el certificado aún válido estén disponibles. Una vez que se revoca el certificado, la respuesta de OCSP mostrará un estado revocado y agregar LTV después de la revocación bloquea ese estado revocado en lugar del estado válido que existía en el momento de la firma. Para un documento firmado sin LTV, un verificador cinco años después que intente validar la firma consultará los servidores actuales de la CA. Si el certificado ha sido revocado, la verificación devuelve una advertencia: el certificado está revocado ahora, pero la validez de la firma en el momento de la firma es ambigua sin evidencia adicional.
La solución práctica es aplicar LTV poco después de cada evento de firma importante, idealmente dentro de unas horas o días. Adobe Acrobat proporciona una opción para agregar información de verificación. comando que recupera los datos CRL y OCSP actuales y los incrusta en el PDF. Para documentos que ya están firmados sin LTV y que ahora enfrentan una situación de certificado revocado, este comando no ayudará porque la respuesta actual de OCSP reflejará el estado revocado. En ese momento, el único recurso para probar la fecha de la firma es una marca de tiempo de la TSA incorporada en el momento de la firma (Adobe, "Digital Signatures Guide for Acrobat and Reader", 2025).
Qué sucede cuando diferentes lectores de PDF manejan un certificado revocado de manera diferente
Uno de los aspectos más confusos de la revocación de un certificado posterior a la firma es que diferentes lectores de PDF muestran diferentes resultados de validación para el mismo documento. Adobe Acrobat puede mostrar un triángulo amarillo con "Al menos una firma tiene problemas" si el certificado del firmante ahora está revocado pero la firma tenía una marca de tiempo antes de la revocación. Otro lector de PDF puede mostrar una X roja con "Firma no válida" porque verifica el estado actual del certificado sin verificar la marca de tiempo en absoluto.
| Lector de PDF | Comportamiento cuando se revoca el certificado después de la firma | ¿Confiable? |
|---|---|---|
| Adobe Acrobat (con marca de tiempo TSA) | Muestra la firma como habilitada para LTV: válida en el momento de la firma; El estado del certificado se indica como revocado pero se acepta la firma. | Sí, si la marca de tiempo de la TSA está presente |
| Adobe Acrobat (sin marca de tiempo TSA) | Muestra advertencia amarilla: validez de la firma desconocida; El estado del certificado no se puede confirmar. | Requiere verificación adicional |
| Visores de PDF basados en navegador (Chrome, Edge, Safari) | La mayoría no verifica en absoluto el estado de revocación; mostrar la firma como presente pero no validar | No, para efectos legales |
| Sistemas de gestión de documentos empresariales. | Configurable: según la política, puede rechazar todas las firmas de los certificados revocados o aceptar las con marca de tiempo. | Depende de la configuración |
La variación entre lectores significa que el mismo PDF firmado digitalmente puede parecer válido en una aplicación y no válido en otra. Esta inconsistencia es particularmente peligrosa para los flujos de trabajo legales y de cumplimiento, donde un solo mensaje de advertencia del lector puede paralizar un contrato, una fusión o una presentación ante el gobierno. El enfoque más seguro tanto para firmantes como para destinatarios es estandarizar aplicaciones que interpreten correctamente las marcas de tiempo de la TSA y distingan entre la validez del certificado en el momento de la firma y el estado del certificado en el momento de la verificación.
Situación legal: ¿Aceptan los tribunales y los reguladores firmas de certificados revocados
El marco legal para las firmas digitales, incluida la Ley ESIGN de EE. UU. y el reglamento eIDAS de la Unión Europea, no aborda directamente la cuestión de si una firma previa a la revocación sigue siendo válida. En cambio, el análisis jurídico se centra en la confiabilidad del proceso de firma y las pruebas disponibles para demostrar que la firma fue aplicada por el firmante reclamado en el momento reclamado.
Un PDF firmado digitalmente con una marca de tiempo de la TSA y datos LTV integrados presenta la evidencia más sólida posible: la marca de tiempo de la TSA prueba la hora, la cadena de certificados prueba la identidad y los datos de LTV prueban que el certificado era válido en ese momento. Los tribunales y reguladores generalmente aceptan dichas firmas como válidas porque el paquete de evidencia es completo y verificable de forma independiente. Un PDF firmado digitalmente sin marca de tiempo y sin LTV presenta un caso más débil. La identidad del firmante aún puede confirmarse a través del certificado, pero el momento de la firma en relación con la revocación se convierte en una cuestión de hecho que puede requerir pruebas adicionales, como registros de correo electrónico, registros de gestión de documentos o testimonios de testigos.
El IRS, por ejemplo, acepta documentos tributarios firmados digitalmente si la firma cumple con los requisitos de la Publicación 4704 del IRS, que especifica que una firma digital debe incluir un certificado de una CA aprobada por el IRS y una marca de tiempo de la TSA (IRS, "Publicación 4704: Firmas digitales para servicios electrónicos del IRS", 2025). El reglamento eIDAS de la Unión Europea proporciona protecciones más estrictas: el artículo 25 establece que no se le negará efecto legal a una firma electrónica calificada únicamente por el hecho de que esté en formato electrónico o que el certificado haya expirado desde entonces, siempre que la firma se haya aplicado mientras el certificado era válido. La palabra clave es "siempre" en ambos marcos, y cumplir esa condición de manera confiable requiere las medidas de marca de tiempo y LTV descritas anteriormente.
Cómo volver a firmar o validar un PDF después de revocar el certificado original
Si usted es el firmante y su certificado ha sido revocado, no puede volver a firmar legalmente el mismo documento con el certificado revocado. Si la revocación se debió a un compromiso de clave, debe obtener un nuevo certificado de una CA, verificar que el documento no haya sido alterado desde su firma original y aplicar una nueva firma con el nuevo certificado. Incluya una marca de tiempo de la TSA y habilite LTV en la nueva firma. La nueva firma no reemplaza a la original; Ambas firmas coexisten en el PDF y un verificador puede comparar los dos eventos de firma.
Si usted es el destinatario y necesita validar un documento firmado por alguien cuyo certificado ha sido revocado desde entonces, sus opciones dependen de lo que se aplicó en el momento de la firma. Si la firma incluye una marca de tiempo TSA, utilice un lector de PDF que la interprete correctamente, como Adobe Acrobat con verificación LTV habilitada. Si la firma carece de marca de tiempo, solicite que el firmante vuelva a firmar el documento con un certificado válido y una marca de tiempo de la TSA, u obtenga evidencia independiente de la fecha de la firma a partir de metadatos de correo electrónico, registros del sistema de gestión de documentos o declaraciones juradas de testigos. Si ni el firmante ni pruebas independientes están disponibles, la postura PDF Security del documento se basa en la corroboración externa, que es inherentemente menos confiable que las garantías criptográficas de una firma con sello de tiempo adecuado y habilitada para LTV. La carga administrativa de reconstruir los plazos de firma después de la revocación de un certificado es precisamente para lo que se diseñaron las marcas de tiempo de la TSA y el LTV. Incluir ambos en el momento de la firma cuesta unos segundos adicionales y evita horas o días de trabajo forense posterior.
Medidas preventivas: configuración de su flujo de trabajo de firma para sobrevivir a una revocación de certificado
La mejor defensa contra la revocación de un certificado posterior a la firma es aplicar todas las protecciones de validación disponibles en el momento de la firma, en todo momento, independientemente de cuán rutinario parezca el documento. Utilice un certificado de firma de una CA que sea ampliamente confiable y esté incluida en la Lista de confianza aprobada por Adobe (AATL) o la Lista de confianza de la Unión Europea (EUTL). Configure su aplicación de firma de PDF para solicitar una marca de tiempo de la TSA de una TSA confiable, como las operadas por DigiCert, GlobalSign o Entrust, para cada firma. Habilite LTV inmediatamente después de firmar utilizando las funciones de validación en su herramienta PDF para incrustar datos CRL y OCSP.
Para las organizaciones que procesan un gran volumen de documentos firmados digitalmente, automatice estos pasos mediante la configuración del flujo de trabajo de firma. La mayoría de las plataformas de firma empresarial, incluidas DocuSign, Adobe Acrobat Sign y GlobalSign DSS, admiten perfiles de firma basados en políticas que solicitan automáticamente marcas de tiempo de la TSA y agregan datos LTV a cada documento firmado. La configuración lleva unos minutos y se aplica silenciosamente a cada firma posterior. Una encuesta realizada en 2025 a profesionales de la gestión de documentos empresariales encontró que las organizaciones con políticas LTV y TSA automatizadas reportaron un 94% menos de disputas de validación de firmas que las organizaciones que dependían de los firmantes para configurar estos ajustes manualmente (DocuSign, "Enterprise Digital Signature Trends", 2025). El rendimiento de configurar estos ajustes una vez se mide en disputas evitadas en lugar de tiempo ahorrado, lo que lo convierte en uno de los cambios de configuración de seguridad más rentables disponibles para cualquier organización que firme documentos digitalmente.