Quién comprueba que eres tú antes de emitirte un certificado digital
Un certificado digital es un archivo que afirma una cosa: que la clave privada asociada pertenece a la persona cuyo nombre y número de documento figuran dentro. Toda la criptografía del mundo protege esa afirmación de ser alterada después. Ninguna la protege de ser falsa desde el principio.
Quien impide que sea falsa es una figura que casi nunca aparece en la publicidad del sector: la Entidad de Registro o Verificación. El Reglamento de la Ley de Firmas y Certificados Digitales, aprobado por el D.S. 052-2008-PCM, le dedica una sección entera y le pone obligaciones que cambian según el nivel de seguridad al que esté acreditada. Esa diferencia se puede preguntar antes de comprar, y casi nadie la pregunta.
Qué hace exactamente, según la norma
El artículo 29 le asigna dos funciones y ninguna más:
- Identificar a los titulares y suscriptores del certificado «mediante el levantamiento de datos y la comprobación de la información brindada por aquél».
- Aprobar o denegar las solicitudes de emisión, modificación, re-emisión, suspensión o cancelación de certificados, comunicándolo a la Entidad de Certificación.
La segunda función explica algo que sorprende cuando toca hacerlo: la cancelación de un certificado pasa muchas veces por la entidad de registro, no por quien emitió el archivo. El reparto de responsabilidades entre las dos, cuando la comunicación se retrasa, lo tratamos en cuándo la norma te obliga a cancelar un certificado.
Lo que la norma exige del trámite
El artículo 12 fija los requisitos para obtener un certificado: una persona natural tiene que tener plena capacidad de ejercicio de sus derechos civiles, y una persona jurídica tiene que acreditar su existencia y vigencia «mediante los instrumentos públicos o norma legal respectiva», con un representante debidamente acreditado.
El artículo 13 añade una frase que cierra la puerta a la delegación: en el caso de personas naturales, «la solicitud del certificado digital y el registro o verificación de su identidad son estrictamente personales». No lo puede hacer un tercero por ti, ni siquiera con poder. Y el mismo artículo aclara que la persona natural solicitante se convierte a la vez en titular y en suscriptor, que son dos papeles distintos en el resto del reglamento y que en las personas jurídicas recaen en sujetos distintos, como explicamos en qué certificado te corresponde.
El artículo 14 describe el procedimiento en dos líneas y con un verbo imperativo, y es el que se ve desde fuera cuando sigues los pasos de cómo obtener tu certificado digital de persona natural: la solicitud se presenta a la Entidad de Registro o Verificación acompañada de la información requerida por su Declaración de Prácticas de Registro, y la entidad «deberá comprobar la identidad del solicitante a través de su documento oficial de identidad».
Ahí está el punto donde el sistema se sostiene o se cae. Comprobar un documento oficial de identidad admite versiones muy distintas de rigor, y el reglamento las gradúa en otro artículo.
Medio o Medio Alto: qué cambia de verdad
El artículo 22 establece tres niveles de seguridad para la Infraestructura Oficial de Firma Electrónica: Medio, Medio Alto y Alto. El tercero queda fuera de esta conversación porque la propia norma lo reserva: «El nivel de seguridad Alto se emplea en aplicaciones militares».
El artículo 31 traduce los dos primeros a lo único que le importa a quien va a firmar, que es contra qué te comprueban.
| Nivel | Cómo se verifica a un peruano | Cómo se verifica a un extranjero |
|---|---|---|
| Medio | La base de datos del RENIEC | Carné de extranjería vigente si es residente, pasaporte si no |
| Medio Alto | El sistema de identificación biométrica AFIS del RENIEC | Carné de extranjería vigente si es residente, pasaporte si no |
La distancia entre las dos filas es la distancia entre comprobar que un número de documento existe y comprobar que la persona que está delante es la dueña de ese número. Con verificación contra base de datos, quien conozca tus datos y presente un documento convincente puede pasar. Con AFIS, tiene que aportar tus huellas.
Los dos niveles comparten un requisito que también conviene preguntar: mantener vigente la contratación de seguros o garantías bancarias, cuya cuantía mínima fija la Autoridad Administrativa Competente. La entidad responde con dinero si se equivoca identificándote.
Para el resto de extranjeros la norma no distingue niveles: en los dos casos pide carné de extranjería actualizado o pasaporte, sin equivalente biométrico. Es una asimetría del reglamento que conviene saber si trabajas con firmantes que no son peruanos.
Las obligaciones que puedes usar como preguntas
El artículo 30 lista siete obligaciones de las entidades acreditadas. Tres se convierten en preguntas concretas para un proveedor.
«Determinar objetivamente y en forma directa la veracidad de la información proporcionada por los solicitantes del certificado digital, bajo su responsabilidad» (inciso b). En forma directa. Subcontratar la verificación a un tercero que a su vez la subcontrata no encaja con ese texto.
«Recoger únicamente información o datos personales de relevancia para la emisión de los certificados» (inciso d). Si el formulario pide datos que no van a acabar dentro del certificado —y el artículo 16 dice exactamente qué campos lleva cada tipo—, la recogida de más tiene un límite escrito. El inciso c) añade la confidencialidad, con una sola excepción de acceso: orden judicial o pedido del propio titular por un mecanismo que garantice el no repudio.
«Acreditar domicilio en el Perú» (inciso e). No es un trámite decorativo: si algo sale mal, determina ante quién reclamas.
Por qué esto afecta a tu prueba, y no solo a tu trámite
Aquí está la razón de que valga la pena leer un artículo sobre una figura administrativa. El artículo 4 del reglamento, el que obliga a admitir un documento firmado como prueba en procesos judiciales y procedimientos administrativos, pone tres condiciones acumulativas. Una es el software de firmas acreditado, de la que hablamos en lo que la ley exige al integrar firma digital. Otra es que el certificado haya sido emitido «por una Entidad de Certificación acreditada en cooperación con una Entidad de Registro o Verificación acreditada, salvo que se tratara de la misma entidad con ambas calidades y con la correspondiente acreditación para brindar ambos servicios».
Léelo dos veces. La acreditación de quien emitió el certificado no basta. Tiene que estar acreditada también la que verificó tu identidad, y si es la misma empresa haciendo las dos cosas, necesita una acreditación por cada una. El artículo 23 lo confirma desde el otro lado: una entidad puede prestar servicios en más de una modalidad, pero «deberá contar con una acreditación independiente y particular para cada una».
Es decir: la mitad invisible del certificado puede tumbar la admisión obligatoria como prueba, que es justo aquello por lo que se compró.
Cómo comprobarlo, y qué no vas a poder comprobar solo
El registro de quién está acreditado y en qué modalidad es el Registro Oficial de Prestadores de Servicios de Certificación Digital, el ROPS, que mantiene INDECOPI como Autoridad Administrativa Competente. Hay dos vías, y son desiguales.
La lista de servicios de confianza publicada en iofe.indecopi.gob.pe/TSL/tsl-pe.pdf se descarga sin trámite y se lee con cualquier visor. Enumera a los prestadores inscritos con sus datos de contacto y sus certificados raíz, y sirve para el contraste que explicamos en cómo comprobar que un certificado digital está acreditado. Lo que no trae es el nivel de seguridad al que está acreditada cada entidad de registro.
La consulta detallada vive en el portal de INDECOPI y exige un navegador con JavaScript, así que no se puede automatizar con las herramientas de siempre. Lo decimos porque es lo que hay, no porque nos guste: la pregunta más útil de este artículo no tiene respuesta pública en un fichero descargable.
Queda entonces la vía directa, y funciona: pedirlo por escrito al proveedor antes de contratar. Tres preguntas y una respuesta documental.
- ¿En qué modalidades está acreditada la empresa ante INDECOPI, y con qué número de inscripción en el ROPS?
- ¿A qué nivel de seguridad está acreditada la entidad de registro que va a verificar mi identidad, Medio o Medio Alto?
- Si la verificación es de nivel Medio Alto, ¿la hacen contra el AFIS del RENIEC, como pide el artículo 31?
Una respuesta que no distinga entre entidad de certificación y entidad de registro es, por sí sola, información útil.
Qué pasa si la entidad cierra
El artículo 32 lista seis causas de cese y fija un plazo para dos de ellas, la decisión unilateral y la extinción de la personería jurídica: treinta días calendario para notificar el cese a la Autoridad Administrativa Competente, dejando constancia de los mecanismos con que va a seguir cumpliendo la confidencialidad del inciso c) del artículo 30.
Treinta días es poco margen para un cliente que se entera tarde. Es otra razón para preguntar por la póliza del artículo 31 antes de firmar el contrato, y no después.
Lo que se lleva un lector con prisa
El certificado que compras vale lo que valga la comprobación de identidad que hubo detrás. Esa comprobación tiene nombre, artículo y dos niveles distintos en el reglamento, y uno de los dos exige tu huella y el otro no.
En mifirmadigital operamos dentro de la Infraestructura Oficial de Firma Electrónica y la verificación de identidad forma parte del servicio, con la constancia del trámite que después sostiene el artículo 4. Si estás comparando proveedores, pregúntanos las tres preguntas de arriba y contrasta las respuestas con las de los demás.
Última revisión: 5 de septiembre de 2026.