Autenticarse no es firmar: qué vale la clave SOL, ID GOB.PE y la firma digital en cada trámite

Un dueño de una pyme presenta cada mes sus declaraciones con su Clave SOL y está acostumbrado a que SUNAT no le pida nada más. Un día un banco le pide el contrato de un préstamo «firmado digitalmente». Él responde que ya tiene firma, que con su Clave SOL firma todo lo importante, y manda una captura de pantalla de SUNAT. El banco la rechaza. Tiene razón en rechazarla, pero la razón no es la que él cree: su Clave SOL funciona, pero hace una cosa distinta de la que él supone.

Este artículo es el tercero de la serie que abre el mapa de identidad digital en Perú, donde explicamos que identificar, autenticar y firmar son verbos distintos en la norma. Aquí bajamos eso a tres herramientas concretas: la Clave SOL, ID GOB.PE y la firma digital. Para cada una vemos qué dice la fuente que la crea, qué efecto le da y quién carga con la prueba si alguien la niega. Leímos las fuentes el 21 de octubre de 2026.

Lo que esperábamos encontrar en la RS 109-2000 y no está

Partimos de una idea muy repetida: que la Clave SOL «vale como tu firma». La norma que la regula es la Resolución de Superintendencia 109-2000/SUNAT, publicada el 3 de noviembre de 2000, en el texto consolidado que muestra SUNAT. La RS 159-2007/SUNAT, publicada el 17 de agosto de 2007, sustituyó, entre otros, sus artículos 1, 6, 7 y 8 y el numeral 2 del 9. Buscamos en ella «manuscrita» y «equivale» (también «equivalente»). No aparecen. Lo que dice es otra cosa, y más precisa.

El artículo 1 define el Código de Usuario como el texto «que permite identificar al usuario, que ingresa a SUNAT Operaciones en Línea», y la Clave SOL como un texto «de conocimiento exclusivo del usuario, que asociado al Código de Usuario otorga privacidad en el acceso». El artículo 9, numeral 2, repite la función: el Código de Usuario y la Clave SOL sirven «para efectos de identificar al Usuario que acceda». Es decir, la resolución describe una credencial de acceso. Nunca la llama firma.

El efecto jurídico está en el artículo 6. Primero pone la carga en ti: «es responsabilidad del deudor tributario tomar las debidas medidas de seguridad en el uso de la Clave SOL». Luego fija la consecuencia: «se entenderá que la operación ha sido efectuada por el deudor tributario en todos aquellos casos en los que para acceder a SUNAT Operaciones en Línea se haya utilizado el Código de Usuario y la Clave SOL otorgadas por la SUNAT, así como los Códigos de Usuario y Claves SOL generadas por el deudor tributario».

Ese artículo no dice que lo que hiciste sea una declaración de voluntad con firma. Dice que la operación se te atribuye si se entró con tus credenciales. Es una regla de atribución: quien tiene las credenciales actúa como tú. No se dice si admite prueba en contrario; la resolución no lo aclara y no lo afirmamos.

Dos consecuencias prácticas del artículo 6

La frase final del artículo 6 incluye las credenciales «generadas por el deudor tributario», que son las de los usuarios secundarios que el artículo 4 autoriza a crear «a fin de autorizarles la realización de todas o algunas de las operaciones». Si le das a tu asistente un usuario secundario y él declara algo, la operación se entiende hecha por ti. Si le das tus propias credenciales, igual. En ambos casos lo que cuenta es el acceso, no quién tecleó. La Clave SOL secundaria tiene además su propia trampa para quien envía comprobantes, que ya contamos.

La segunda consecuencia es que solo SUNAT puede comprobar tu Clave SOL. La página de orientación de SUNAT la describe como «una contraseña de uso personal» y «secreta». Un banco, un cliente o un juez no pueden verificar que una captura corresponda a una sesión tuya, porque nada en la captura prueba nada por sí mismo. Una firma digital sí se verifica desde fuera: el artículo 7 c) del D.S. 052-2008-PCM exige que sea verificable con la parte pública del par criptográfico del suscriptor, y cualquiera con el documento puede hacerlo. Esa diferencia, más que la de «valor legal», es la que decide dónde sirve cada herramienta.

Cuando SUNAT sí le da función de firma a la Clave SOL

Hay un caso en que una norma de SUNAT usa la palabra firmar con la Clave SOL. La Resolución 286-2009/SUNAT, en el texto que le dio la RS 248-2012/SUNAT en su artículo 8 f), dice que el Libro de Inventarios y Balances electrónico «deberá ser firmado por el Generador o su representante legal así como por el Contador Público Colegiado responsable de su elaboración. Para ello, cada uno utilizará su propio Código de Usuario y Clave SOL». El detalle por oficio está en el artículo sobre firma digital para contadores.

La lección no es «la Clave SOL firma». Es que una norma específica puede decir que, para ese documento y ante esa entidad, firmar consiste en entrar con ciertas credenciales. Fuera de ese perímetro, el mecanismo no viaja: el banco del inicio no está obligado por la resolución de SUNAT. La pregunta correcta ante cualquier trámite es qué dice la norma de ese trámite sobre su firma, no qué valor tiene la Clave SOL en abstracto.

La Clave SOL también es tu domicilio

Hay un tercer papel que la gente olvida. El Código Tributario (texto del D.S. 133-2013-EF, en una copia consolidada con modificaciones al 26 de junio de 2026) ordena en el artículo 87, numeral 1, obtener la Clave SOL al inscribirte y «consultar periódicamente» el buzón electrónico. El artículo 86-A, incorporado por la Ley 30296 (31 de diciembre de 2014), manda a SUNAT asignarla para notificar por esa vía. Y el artículo 104 b) dice que, tratándose de un medio electrónico aprobado por SUNAT, la notificación se considera efectuada «en la fecha del depósito del mensaje de datos o documento», regla vigente desde el 1 de marzo de 2023 por el Decreto Legislativo 1523.

La orientación de SUNAT lo resume: las notificaciones se depositan en el buzón y que sin Clave SOL no se accede al buzón a revisarlas. Aquí la Clave SOL no sirve para obligarte con un contrato. Sirve para que te enteren de cosas, y la ley presume que te enteraste desde que el acto se deposita. Ni una firma ni una autenticación puntual: es una dirección.

El TUO de la Ley 27444 (D.S. 004-2019-JUS, 25 de enero de 2019) regula la notificación a casilla electrónica de otro modo: según su artículo 20.4, la entidad puede asignarla «siempre que cuente con el consentimiento expreso del administrado», salvo que un decreto supremo la haga obligatoria. Cómo se articulan ese régimen y el del Código Tributario no lo analizamos. Lo que sí vemos es que la casilla es un canal de entrada de actos hacia ti, y que su validez depende de la norma de cada entidad.

ID GOB.PE: la identidad, sin el cargo ni la firma

Del lado de ID GOB.PE, el artículo anterior de la serie detalla los tres niveles de confianza del D.S. 029-2021-PCM. Aquí solo hacen falta dos de sus textos. El artículo 16.1 dice que la eficacia jurídica de la autenticación con la plataforma «es condicionada y proporcional al nivel de confianza empleado». Y la disposición complementaria final cuadragésima quinta aclara que la plataforma «sólo otorga garantía sobre la identificación de la persona natural, mas no sobre el cargo, rol, atribuciones o facultades» de quien entra, sea funcionario, usuario autorizado o representante legal.

Comparado con la RS 109-2000, ID GOB.PE se parece en que también autentica, y se diferencia en que su reglamento sí reparte la carga de la prueba según el nivel. Con nivel 1 o 2, si hay una controversia sobre la autenticación, la prueba recae en el gestor de la identidad digital (RENIEC o Migraciones). Con nivel 3 recae «en quien la niegue». La RS 109-2000 no hace esa distinción: no hay niveles que gradúen la atribución.

La firma: lo que dicen la Ley 27269, su reglamento y el Código Civil

Una firma, a diferencia de un acceso, está definida por la ley como un acto sobre un documento. El artículo 1 de la Ley 27269 (28 de mayo de 2000) define la firma electrónica como cualquier símbolo basado en medios electrónicos «utilizado o adoptado por una parte con la intención precisa de vincularse o autenticar un documento». Fíjate en el objeto de «autenticar»: el documento, no a la persona que entra a un sistema. En el reglamento de gobierno digital «autenticación» designa lo otro, la identidad de quien accede. La misma palabra apunta a dos cosas distintas según la norma, y de ahí vienen muchas confusiones.

El D.S. 052-2008-PCM (19 de julio de 2008) pone la equivalencia con la manuscrita en su artículo 3 para la firma digital «generada dentro de la Infraestructura Oficial de Firma Electrónica». Las presunciones del artículo 8, en el texto original de 2008, son tres: control exclusivo de la parte privada del par criptográfico por el suscriptor, uso de esa parte para firmar y ausencia de alteración posterior; y de ellas se sigue que el suscriptor «no podrá repudiar» el documento. El D.S. 029-2021-PCM modificó el artículo 8 y añadió los artículos 1A y 2A. El 1A define tres modalidades —simple, avanzada y cualificada— y dice que la cualificada es la firma digital. El 2A reparte la prueba: en la simple o avanzada, «la carga de la prueba recae en quien la invoque como auténtica»; en la cualificada, «se invierte debiendo quien niegue la autoría, demostrar que la firma es apócrifa». Cómo funciona esto en un juicio lo explica la carga de la prueba por modalidad.

Dos normas completan el cuadro. El artículo 141-A del Código Civil, añadido por la Ley 27291 (24 de junio de 2000), dice que cuando la ley exija una formalidad o firma, esta «podrá ser generada o comunicada a través de medios electrónicos, ópticos o cualquier otro análogo». Habilita el medio; no iguala todas las firmas electrónicas a la manuscrita. Y el artículo 30.3 del TUO de la Ley 27444 dice que las firmas digitales y los documentos electrónicos, «siguiendo los procedimientos definidos por la autoridad administrativa, tendrán la misma validez legal que los documentos manuscritos». La condición del procedimiento de la autoridad es la que hay que mirar antes de presentar nada; la desarrollamos en mandar un PDF firmado a una entidad pública.

Comparación

	Clave SOL (RS 109-2000)	ID GOB.PE (D.S. 029-2021-PCM)	Firma digital (Ley 27269, D.S. 052-2008-PCM)
Qué acredita	Que se entró con esas credenciales	Identidad de una persona natural, según el nivel	Que el titular del certificado firmó ese documento y que no cambió
Qué efecto fija la norma	Se entiende que la operación la hizo el deudor tributario	Eficacia «condicionada y proporcional» al nivel	Misma validez y eficacia que la firma manuscrita, dentro de la IOFE
Carga de la prueba	La resolución no la reparte	Nivel 1 o 2, el gestor; nivel 3, quien lo niegue	En la cualificada, quien niegue la autoría
Quién puede comprobarlo (lectura nuestra)	SUNAT	La plataforma y su gestor	Cualquiera con el documento y un validador
Cargo o facultades	No los acredita	No los acredita	El certificado puede indicarlos, según su contenido

La última fila de la tabla es una lectura nuestra para la firma digital: el artículo 7 de la Ley 27269 pide que el certificado identifique al suscriptor y no impone que figure el cargo. Si necesitas acreditar poder, mira cómo se hace con el certificado de persona jurídica.

Dos trámites reales, con su ficha

Obtener la Clave SOL. La página de orientación de SUNAT dice que se puede pedir desde el portal o la APP Personas con el DNI, y el RUC si eres representante, y que para hacerlo en línea «es indispensable» que tu correo y tu teléfono estén actualizados en la ficha RUC. En persona, se exhibe el DNI. Y si lo hace un tercero, la Solicitud de Acceso debe llevar la firma del contribuyente o su representante «legalizada por notario». Fíjate en la ironía: para obtener una credencial de acceso, SUNAT sigue pidiendo en ese caso una firma manuscrita con legalización. La RS 109-2000 recoge el mismo requisito en su artículo 3.

Obtener la casilla judicial electrónica. La ficha del Poder Judicial en gob.pe, con último cambio el 2 de setiembre de 2021, pide llenar los datos en el sistema, adjuntar el DNI y el carnet de abogado, asistir a una videollamada «para validar tu identidad» y recibir las credenciales por correo. No menciona certificado digital: es un trámite de identificación y de habilitación de un domicilio procesal. Lo que firmas después es otro paso. Qué firma pide un escrito, con qué excepciones y cuál es el riesgo de la excepción, está en firma digital para abogados.

Dónde basta cada una (lectura nuestra)

Estas son conclusiones que sacamos de lo anterior, no reglas escritas en ninguna norma.

Basta autenticarte cuando la entidad es la única que necesita saber quién eres y la norma del trámite no habla de firma: consultar tu situación, ver tu buzón, presentar una declaración ante SUNAT. Ahí la atribución de la operación a ti la hace la propia norma de acceso.

No basta cuando el destinatario es un tercero que no controla el sistema: un banco, un cliente, un proveedor, un notario. La Clave SOL no le dice nada a quien no es SUNAT. Y ID GOB.PE solo te sirve con las entidades que lo han integrado.

No sirve ninguna de las dos cuando la ley exige una formalidad específica, como una escritura pública; el artículo 3 del D.S. 052-2008-PCM dice que su regulación «no excluyen el cumplimiento de las formalidades específicas requeridas para los actos jurídicos». Para el caso de los notarios hay un artículo aparte: escritura pública y firma digital.

Y hay un cuarto caso, el de la firma que no es digital: la imagen de tu firma pegada en un PDF no es ninguna de las tres. Eso se explica en la firma escaneada.

Nuestra opinión

Para el dueño de la pyme del comienzo, la respuesta práctica es tener las dos cosas y no mezclarlas. La Clave SOL se queda para SUNAT, con usuarios secundarios por persona y sin compartir la principal, porque el artículo 6 de la RS 109-2000 te atribuye lo que se haga con ella. Para contratos con terceros, un certificado digital en un dispositivo que controles tú. Mezclarlas tiene un costo concreto: compartir la Clave SOL para «ahorrar» un certificado deja a SUNAT leyendo como tuyas operaciones que hizo otra persona.

Si eres entidad y diseñas un trámite, decide por escrito cuál de los tres actos exige tu procedimiento. Pedir firma digital donde basta autenticar saca gente del trámite. Aceptar solo una autenticación donde el ciudadano está asumiendo una obligación te deja sin una prueba que alguien pueda verificar después.

Lo que este artículo no afirma

• Que la Clave SOL equivalga a la firma manuscrita. La RS 109-2000 no lo dice, y la única norma que vimos que habla de «firmar» con ella es la del Libro de Inventarios y Balances.
• Que la atribución del artículo 6 de la RS 109-2000 admita o no prueba en contrario. El texto no lo precisa.
• Que la Clave SOL cumpla la definición de firma electrónica del artículo 1 de la Ley 27269. No encontramos una norma ni una resolución que lo diga ni que lo niegue.
• Que el texto consolidado de SUNAT de la RS 109-2000 recoja todas las modificaciones posteriores a 2007. Las que figuran en la página llegan a la RS 159-2007/SUNAT.
• La fecha exacta de la RS 248-2012/SUNAT ni que su texto del artículo 8 f) de la RS 286-2009 siga igual hoy. Leímos el escaneo con OCR y no revisamos modificatorias posteriores.
• Que los artículos 20.4 y 30 del TUO de la Ley 27444 sigan con el texto del 25 de enero de 2019. No buscamos normas posteriores que los modifiquen.
• Que los artículos 3 y 7 del D.S. 052-2008-PCM y el artículo 141-A del Código Civil conserven su texto original. No revisamos todas las modificatorias.
• Cómo se articulan la casilla del TUO de la Ley 27444 y el buzón del Código Tributario.
• Qué nivel de confianza de ID GOB.PE usa algún trámite concreto. Es lo mismo que dijimos en el artículo anterior de la serie.
• Qué firma pide cada escrito del Poder Judicial: no releímos la resolución administrativa, solo remitimos al artículo donde la citamos.

Fuentes

Consultadas el 21 de octubre de 2026. Copias locales en reports/redaccion-diaria/2026-10-21-notas/fuentes/mfd-autenticar/.

• Resolución de Superintendencia 109-2000/SUNAT, publicada el 3 de noviembre de 2000, texto consolidado: artículos 1, 3, 4, 6 y 9.
• SUNAT, orientación: Concepto de Clave SOL, Requisitos para obtener la Clave SOL, Buzón electrónico y Notificaciones electrónicas.
• Resolución de Superintendencia 248-2012/SUNAT, artículo 7 (nuevo inciso f del artículo 8 de la RS 286-2009/SUNAT); escaneo leído con OCR.
• TUO del Código Tributario, D.S. 133-2013-EF (22 de junio de 2013), copia consolidada con modificaciones al 26 de junio de 2026, descargada el 19 de octubre de 2026; sus artículos 86-A, 87 y 104 b) coinciden con lo que resume la orientación de SUNAT sobre notificaciones electrónicas.
• TUO de la Ley 27444, D.S. 004-2019-JUS, El Peruano, 25 de enero de 2019: artículos 20.4 y 30.
• Ley 27269, El Peruano, 28 de mayo de 2000, con la modificación de la Ley 27310: artículos 1, 2 y 7.
• D.S. 052-2008-PCM, El Peruano, 19 de julio de 2008: artículos 3, 7 y 8, en su texto original.
• D.S. 029-2021-PCM, El Peruano, 19 de febrero de 2021: artículo 16, cuadragésima quinta disposición complementaria final y primera disposición complementaria modificatoria (artículos 1A y 2A del D.S. 052-2008-PCM).
• Ley 27291, El Peruano, 24 de junio de 2000: artículo 141-A del Código Civil; escaneo leído con OCR.
• Poder Judicial, Obtener casilla judicial electrónica, gob.pe, último cambio 2 de setiembre de 2021.

Si lo que necesitas es firmar y no solo entrar, en mifirmadigital.pe emitimos el certificado digital que corresponde a tu caso.

Última revisión: 21 de octubre de 2026.