Firma digital: ejemplo práctico, cómo funciona y cómo verificarla
Cada día, millones de profesionales firman contratos, estados financieros y documentos oficiales con un solo clic. El mercado europeo de la firma digital alcanzó los 1.970 millones de dólares en 2024 y se prevé que crezca hasta los 26.800 millones en 2032, con una tasa de crecimiento anual compuesto del 38,8 %, según Fortune Business Insights. Esas cifras cuentan una historia clara: la firma digital se está convirtiendo en la opción por defecto para las transacciones empresariales. Y, sin embargo, cualquiera que busque un ejemplo de firma digital concreto sigue topándose con explicaciones vagas, diagramas abstractos y una confusión persistente entre conceptos que en realidad son muy distintos.
La distancia entre el uso cotidiano y la comprensión real genera un riesgo tangible. Muchos profesionales todavía confunden una firma digital con la imagen escaneada de una firma manuscrita pegada sobre un PDF. Otros no saben distinguir entre una firma electrónica básica y una firma digital con pleno valor jurídico. Las consecuencias aparecen con regularidad: documentos firmados de forma incorrecta, litigios ante los tribunales, contratos impugnados por motivos de validez.
Una firma digital es un mecanismo criptográfico basado en un par de claves asimétricas. Garantiza autenticidad (certeza sobre la identidad de quien firma), integridad (el documento no se ha alterado después de firmarlo) y no repudio (quien firma no puede negar haberlo hecho). Esta guía recorre cómo funciona el proceso en la práctica, qué aspecto tiene realmente un documento firmado digitalmente y cómo verificar su validez con herramientas oficiales.
Qué es la firma digital y por qué no es una firma escaneada
La firma digital es un tipo específico de firma electrónica que utiliza un certificado digital emitido por una autoridad de certificación de confianza y un sistema de criptografía de clave pública para lograr la equivalencia jurídica con una firma manuscrita. No tiene nada que ver con la imagen de una firma pegada sobre un documento. Una imagen de firma escaneada no contiene ninguna información criptográfica, no vincula a quien firma con el documento de forma única y verificable, y no ofrece ninguna garantía de que el contenido se haya mantenido inalterado tras insertar la imagen. En un litigio, un documento que solo lleva una imagen de firma escaneada tiene aproximadamente el mismo valor probatorio que una fotocopia sin firmar.
En el proceso civil español la diferencia se nota de inmediato. La Ley 1/2000 de Enjuiciamiento Civil (LEC) admite en su artículo 299.2 los medios de reproducción de la palabra, el sonido y la imagen, y en su artículo 384 los instrumentos que permiten archivar y reproducir datos, cifras y operaciones. Ahora bien, el tribunal valora esos soportes "según las reglas de la sana crítica": sin garantías criptográficas que acrediten autoría e integridad, ese margen de apreciación juega en contra de una simple imagen escaneada. Cuando el documento se aporta como documento privado, el artículo 326 de la LEC permite impugnar su autenticidad, y entonces la carga de demostrar quién firmó y que nada se alteró recae sobre quien lo presenta.
La distinción importa porque los marcos legales que regulan las transacciones electrónicas en la Unión Europea y fuera de ella fijan requisitos técnicos claros que separan las firmas digitales genuinas de las imitaciones visuales. Con arreglo al Reglamento eIDAS (UE 910/2014), solo las firmas que cumplen determinados estándares criptográficos y de certificación reciben reconocimiento jurídico automático en todos los Estados miembros de la UE. La Comisión Europea ha confirmado que el reconocimiento transfronterizo se aplica a las firmas electrónicas creadas con certificados emitidos por prestadores de servicios de confianza incluidos en las listas nacionales de confianza.
La diferencia entre firma electrónica simple, avanzada y firma digital
El Reglamento eIDAS (UE 910/2014) define tres niveles de firma electrónica, cada uno con requisitos técnicos progresivamente más estrictos y un peso jurídico creciente. Conocer estos niveles es el primer paso para elegir el tipo de firma adecuado a cada transacción, y también la clave para entender el debate entre firma digital y firma electrónica que tanta confusión genera.
Una firma electrónica simple comprende cualquier dato en formato electrónico que se adjunta a otros datos, o se asocia lógicamente con ellos, con fines de autenticación. La categoría es deliberadamente amplia: un nombre tecleado al pie de un correo, una casilla marcada en un formulario en línea, un código PIN introducido al pagar. Las firmas electrónicas simples tienen un valor probatorio limitado, y su eficacia jurídica depende de la valoración judicial caso por caso. El artículo 25.1 de eIDAS establece que a una firma electrónica no se le pueden negar efectos jurídicos por el mero hecho de estar en formato electrónico, pero ese reconocimiento de base deja un amplio margen para la impugnación.
Una firma electrónica avanzada (artículo 26 de eIDAS) debe cumplir cuatro requisitos acumulativos: estar vinculada de forma única a quien firma, permitir su identificación, haberse creado con datos bajo el control exclusivo del firmante y estar ligada a los datos firmados de modo que cualquier modificación posterior sea detectable. Estos requisitos elevan considerablemente el listón, aunque el Reglamento no impone una tecnología concreta para cumplirlos.
La firma digital se sitúa en el nivel más alto de este marco. Se apoya en un certificado digital emitido por un prestador de servicios de confianza y en la criptografía asimétrica. Conforme al artículo 25.2 de eIDAS, una firma electrónica avanzada basada en un certificado emitido por un prestador de confianza goza de la presunción legal de integridad y de correcta identificación de quien firma. El Tribunal de Justicia de la UE ha confirmado el principio de reconocimiento transfronterizo: una firma digital creada en un Estado miembro debe aceptarse en todos los demás sin requisitos adicionales.
El marco normativo: eIDAS, la Ley 6/2020 y los estándares internacionales
Hoy gobiernan la firma digital en las transacciones transfronterizas dos pilares normativos. El Reglamento eIDAS (UE 910/2014) fija el marco legal de la identificación electrónica y los servicios de confianza en todos los Estados miembros de la UE. El artículo 25 establece la regla central: una firma electrónica avanzada basada en un certificado tiene efectos jurídicos equivalentes a los de una firma manuscrita. Los artículos 28 a 34 regulan a los prestadores de servicios de confianza, la emisión de certificados y su supervisión. Antes de eIDAS, cada país tenía sus propias reglas; el Reglamento sustituyó ese mosaico por un mercado único de servicios electrónicos de confianza.
En España, el desarrollo interno de este marco es la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza. Esta ley complementa eIDAS en el ordenamiento español, regula el valor probatorio de los documentos electrónicos firmados y precisa el régimen de supervisión de los prestadores. Su lectura conjunta con la LEC ofrece el cuadro completo: eIDAS aporta la equivalencia jurídica y la presunción de integridad, la Ley 6/2020 la adapta al derecho nacional y la LEC determina cómo se aprecia esa prueba en juicio.
eIDAS 2.0 (UE 2024/1183), adoptado en 2024, va más allá. Introduce la Cartera Europea de Identidad Digital (EUDI Wallet), endurece los requisitos de los sellos electrónicos y amplía el alcance de los servicios de confianza. Los Estados miembros deben poner las EUDI Wallet a disposición de la ciudadanía en 2026. El objetivo es una infraestructura única de identidad y firma digital en toda Europa (Comisión Europea, Digital Strategy).
Fuera de Europa, Estados Unidos opera bajo la ESIGN Act (2000) y la UETA (1999). Ambas otorgan a las firmas electrónicas la misma condición jurídica que a las manuscritas en la mayoría de las transacciones comerciales. Estos marcos estadounidenses adoptan un enfoque neutral respecto a la tecnología, en lugar de prescribir métodos criptográficos concretos, pero el efecto práctico es similar: una firma digital correctamente ejecutada es jurídicamente vinculante. A escala global, la norma ISO/IEC 27001 proporciona el marco de gestión de la seguridad de la información que muchas organizaciones siguen al implantar su infraestructura de firma digital, de modo que los sistemas subyacentes cumplen estándares de seguridad reconocidos.
Cómo funciona la firma digital: el proceso técnico explicado de forma sencilla
La firma digital se apoya en tres componentes técnicos. La criptografía asimétrica genera la firma en sí. El certificado digital la vincula a la identidad verificada de quien firma. Y la función hash garantiza que el documento no pueda alterarse tras la firma sin que se detecte. Si falla uno solo de estos elementos, todo el conjunto se viene abajo.
El cimiento es un principio matemático llamado criptografía asimétrica, desarrollado por primera vez en los años setenta por investigadores como Whitfield Diffie y Martin Hellman. La idea: existen dos claves criptográficas como un par vinculado matemáticamente, pero ninguna puede deducirse de la otra mediante cálculo. Quien firma custodia una clave privada, almacenada en un dispositivo seguro: una tarjeta inteligente, un token USB o un módulo de seguridad hardware (HSM) remoto. La clave pública va incrustada en el certificado digital y resulta accesible a cualquiera que necesite verificar la firma. Las implementaciones modernas favorecen cada vez más la firma remota, en la que la clave privada reside en un servidor HSM y quien firma se autentica mediante OTP o verificación biométrica antes de cada operación.
Criptografía asimétrica: claves pública y privada
Cuando un profesional firma un documento, el software de firma calcula primero una huella digital única del archivo: el hash, una cadena alfanumérica de longitud fija producida por una función matemática unidireccional (normalmente un hash criptográfico SHA-256 o SHA-512). A continuación, el software cifra ese hash con la clave privada de quien firma. El resultado es la firma digital en sí: un bloque de datos criptográficos que se adjunta al documento o se incrusta dentro de él.
El destinatario verifica la firma usando la clave pública del firmante (obtenida del certificado digital) para descifrar el bloque de firma. Si el valor descifrado coincide con el hash del documento recibido, la verificación confirma dos cosas a la vez: el documento no se ha modificado desde que se firmó y la firma la creó quien controla la clave privada correspondiente. Si ha cambiado un solo carácter del documento, los hashes diferirán y la verificación falla al instante.
El papel del certificado digital y la autoridad de certificación
El certificado digital es el documento electrónico que vincula la clave pública con la identidad verificada de quien firma. Un prestador de servicios de confianza (también llamado autoridad de certificación) lo emite tras un riguroso proceso de verificación de identidad. Ese prestador debe figurar en la lista de confianza nacional correspondiente. Bajo eIDAS, cada Estado miembro de la UE mantiene una lista de este tipo y la Comisión Europea publica la Lista de Listas de Confianza agregada.
Un certificado digital estándar contiene el nombre completo y el identificador único de su titular, la clave pública, el periodo de validez del certificado (habitualmente de uno a tres años), el nombre de la autoridad de certificación emisora y el número de serie del certificado. El propio certificado está firmado por la autoridad de certificación. Esto crea una cadena de confianza: quien verifica confía en el certificado porque confía en la autoridad que lo emitió, y el propio certificado de esa autoridad está anclado a un certificado raíz mantenido a escala nacional.
Hash, sello de tiempo e integridad del documento
La función hash es la garantía de integridad. Cualquier modificación del documento tras la firma, aunque sea añadir un solo espacio, produce un valor hash completamente distinto. Esta propiedad hace que cualquier manipulación posterior a la firma sea detectable de inmediato mediante una simple comparación matemática.
Un sello de tiempo añade otra capa de certeza: da fe del momento exacto en que se creó la firma, con efecto jurídico oponible frente a terceros. El sello de tiempo cualificado resulta especialmente valioso cuando un certificado caduca después de la fecha de firma. Si el sello se aplicó mientras el certificado seguía siendo válido, el documento firmado conserva su valor jurídico de forma indefinida, incluso años después de la caducidad del certificado. Firma digital más sello de tiempo: un documento cuya integridad, autoría y ubicación temporal quedan todas garantizadas criptográficamente.
Ejemplo de firma digital: cómo se ve en un PDF y cómo reconocerla
Un PDF firmado digitalmente tiene un aspecto distinto según el formato de firma, pero en el formato más habitual (PAdES) el archivo conserva su extensión estándar .pdf y se abre en cualquier lector de PDF. La diferencia visible es un panel de firma o una barra de notificación que indica la presencia de una o varias firmas digitales, junto con su estado de validación.
Adobe Acrobat Reader, como ejemplo de firma digital práctico, muestra una barra azul o verde en la parte superior del documento con el mensaje "Firmado y todas las firmas son válidas", o una advertencia si existe algún problema. Al pulsar el panel de firma se revelan los detalles: el nombre de quien firma, la fecha y hora de la firma, la autoridad de certificación que emitió el certificado y el estado de validez actual del certificado. Esta presentación visual muestra una distinción clara entre una firma digital y un sello electrónico: la firma identifica a una persona física, mientras que el sello identifica a una organización.
Cómo se ve un documento PDF firmado digitalmente
En formato PAdES, quien firma puede insertar de forma opcional un campo de firma visible dentro del cuerpo del documento: un área rectangular que muestra el nombre, la fecha y un indicador gráfico. Ese campo visible es meramente estético. No aporta ningún valor jurídico adicional más allá de la firma criptográfica subyacente. La firma real reside en la capa de metadatos del PDF, no en ninguna imagen o elemento gráfico visible. La ausencia de un campo de firma visible no significa que el documento esté sin firmar: comprueba siempre el panel de firma.
En formato CAdES, la experiencia es bastante distinta. El documento original queda envuelto en un sobre criptográfico y el archivo resultante lleva la extensión .p7m. Abrirlo requiere software específico capaz de procesar contenedores CAdES. El archivo .p7m contiene tanto el documento original como los datos de la firma, pero no se puede leer con un visor de PDF estándar. Este formato sigue siendo habitual en trámites administrativos y actuaciones judiciales en varios Estados miembros de la UE.
Formatos de firma: CAdES (.p7m), PAdES (PDF), XAdES (XML)
En Europa existen tres formatos de firma normalizados, cada uno diseñado para casos de uso distintos. Los tres tienen plena validez jurídica bajo eIDAS. La elección depende del tipo de documento y de los requisitos del flujo de trabajo de las partes implicadas.
| Formato | Extensión | Tipo de archivo | Firma visible | Uso principal |
|---|---|---|---|---|
| CAdES | .p7m | Cualquier archivo (sobre criptográfico) | No | Administración pública, actuaciones judiciales |
| PAdES | Solo PDF | Sí (opcional) | Contratos, uso empresarial diario | |
| XAdES | .xml | Solo XML | No | Facturación electrónica, datos estructurados |
CAdES (CMS Advanced Electronic Signatures) envuelve el documento en un sobre criptográfico con extensión .p7m. Funciona con cualquier tipo de archivo, no solo con PDF, lo que técnicamente lo convierte en el formato más versátil. Organismos públicos y sistemas judiciales de varios países de la UE exigen CAdES para trámites oficiales y presentaciones ante los tribunales.
PAdES (PDF Advanced Electronic Signatures) es el formato que la mayoría de profesionales utiliza a diario. La firma se incrusta directamente en el archivo PDF, que sigue siendo legible en cualquier visor estándar sin software adicional. Contratos, propuestas, documentos corporativos: PAdES los gestiona todos y admite varias firmas sobre el mismo documento sin generar archivos separados. Para la mayoría de los casos de uso empresarial, PAdES ofrece el mejor equilibrio entre seguridad, accesibilidad y usabilidad.
XAdES (XML Advanced Electronic Signatures) tiene un alcance más estrecho: documentos basados en XML, sobre todo facturación electrónica e intercambio de datos estructurados con la Administración. Lo encontrarás principalmente allí donde los datos deben ser legibles por máquina y el formato del documento es XML por definición.
Cómo verificar una firma digital
Verificar una firma digital significa confirmar tres cosas: que el certificado de quien firmó era válido y no estaba revocado en el momento de la firma, que el certificado lo emitió un prestador de servicios de confianza reconocido y que el documento no se ha alterado desde que se aplicó la firma. Con las herramientas adecuadas, esto lleva unos segundos.
La verificación no es opcional. En contextos profesionales y jurídicos, un documento firmado digitalmente solo tiene valor si la firma puede validarse en el momento en que se confía en ella. Un certificado caducado, un certificado revocado, un documento modificado tras la firma o un certificado de un prestador no reconocido: cualquiera de estas circunstancias puede socavar todo el valor jurídico del documento. Con el mercado europeo de la firma digital proyectado hacia los 26.800 millones de dólares en 2032 según Fortune Business Insights, el volumen de firmas que requieren verificación no dejará de crecer. Saber cómo verificar una firma digital es tan necesario como saber crearla.
Validadores oficiales: herramientas eIDAS y software específico
La Comisión Europea desarrolló EU DSS (Digital Signature Service), una herramienta de verificación de código abierto que valida firmas digitales en cualquier formato (CAdES, PAdES, XAdES) frente al marco eIDAS. Es la implementación de referencia para la verificación transfronteriza de firmas entre Estados miembros. EU DSS coteja la firma con las listas de confianza que mantiene cada país y devuelve un resultado normalizado con independencia del lugar donde se creó la firma.
El software comercial también ofrece capacidades de verificación integradas en flujos más amplios de gestión documental. Adobe Acrobat, por ejemplo, incluye una verificación de firma integrada que coteja los certificados con la Adobe Approved Trust List (AATL) y la European Union Trust List (EUTL). Las organizaciones que manejan grandes volúmenes de documentos firmados pueden automatizar la verificación mediante API en lugar de comprobar cada archivo a mano.
Qué comprobar: certificado, sello de tiempo, integridad
Una verificación completa abarca tres aspectos. Equivocarse en cualquiera de ellos puede salir caro.
El certificado de quien firma debe ser válido en el momento relevante: no caducado, no suspendido, no revocado. El software de verificación comprueba automáticamente las listas de revocación de certificados (CRL) o consulta el protocolo de estado de certificados en línea (OCSP) que mantiene la autoridad de certificación emisora. Si el certificado se revocó aunque fuera una hora antes de ejecutar la comprobación, la firma deja de ser válida. El consejo práctico: verifica las firmas cuando recibas el documento, no semanas después.
El sello de tiempo, cuando existe, da fe del momento exacto en que se aplicó la firma, con efecto jurídico oponible frente a terceros. Su papel resulta crítico cuando el certificado de quien firma caduca después de firmarse el documento. Si el sello de tiempo se aplicó mientras el certificado seguía siendo válido, el documento conserva su valor jurídico de forma indefinida. Sin sello de tiempo, la validez de la firma queda atada al periodo de vigencia del certificado: una garantía con fecha de caducidad que se debilita a medida que se acerca su vencimiento.
La verificación de integridad consiste en recalcular el hash del documento y compararlo con el hash almacenado dentro de la firma. Hashes coincidentes: el documento está inalterado. Una discrepancia, aunque sea por un único carácter modificado: la verificación falla. Trata el documento como potencialmente comprometido.
Cómo la certificación documental completa el proceso de firma digital
La certificación documental es el paso que transforma un documento firmado en una prueba con pleno valor probatorio. TrueScreen es la Data Authenticity Platform que integra capacidades de firma digital en su flujo de certificación, combinando la autenticación de quien firma (mediante OTP por SMS o verificación biométrica por vídeo, conforme a eIDAS) con la aplicación automática de un sello de tiempo y un sello electrónico. El resultado es un documento firmado, certificado e inmutable desde la adquisición en origen, con metadatos verificables que dan fe de toda la cadena de custodia. La diferencia importa sobre todo cuando el documento firmado tiene que sostenerse como prueba digital admisible en un procedimiento, y no quedarse en una carpeta como un simple archivo firmado.
Firma digital integrada en el flujo de certificación
El proceso dentro de TrueScreen sigue una secuencia precisa. La persona usuaria sube el documento a la plataforma. El sistema autentica la identidad de quien firma mediante OTP por SMS o verificación biométrica por vídeo, cumpliendo los requisitos de eIDAS para la autenticación robusta. Se aplica la firma digital. TrueScreen añade después, de forma automática, un sello de tiempo y un sello electrónico, que bloquean el documento para que no pueda alterarse y siga siendo verificable en el tiempo.
Esta integración resuelve un problema recurrente en la gestión de documentos firmados: la brecha entre el acto de firmar y la garantía continua de integridad. Un documento firmado digitalmente puede copiarse, moverse, renombrarse o incluso alterarse parcialmente en zonas no firmadas sin que nadie lo advierta. La procedencia digital y la certificación forense añaden la capa probatoria que ata el documento a su contexto original, a las circunstancias de su creación y a una cadena de custodia ininterrumpida desde el momento de la firma en adelante.
De la firma a la prueba probatoria completa
La diferencia entre un documento simplemente firmado y uno certificado está en la profundidad de la garantía. Una firma digital acredita quién firmó y confirma que el contenido no ha cambiado. La certificación añade cuándo se firmó (sello de tiempo oponible frente a terceros), en qué circunstancias (metadatos del dispositivo, geolocalización, parámetros de adquisición) y que todo el proceso es trazable.
Para los equipos jurídicos y los responsables de cumplimiento que trabajan en contextos litigiosos o regulatorios, esta distinción pesa. Un contrato firmado digitalmente prueba el consentimiento de las partes. El mismo contrato, firmado y certificado con procedencia digital, prueba además que el documento existió con esa forma exacta en ese preciso momento, sin posibilidad de antedatarlo ni de alterarlo sin dejar rastro. Cuando el estándar probatorio es alto, la capa de certificación puede marcar la diferencia entre un documento que se acepta y uno que acaba impugnado.
