Un cliente nos escribió con esta situación: había firmado un contrato de servicios pegando la imagen escaneada de su firma en un PDF. El proveedor incumplió, y al reclamar le dijeron que ese documento no probaba nada.
Tenían parte de razón. La imagen de una firma pegada en un PDF sí es una firma electrónica en el sentido de la ley peruana, pero es la más débil de todas, y quien la invoca carga con demostrar que es auténtica.
Las tres cosas que la gente llama «firmar digital» son distintas y tienen consecuencias distintas cuando hay un problema.
Firma digitalizada: una imagen
Escaneas tu firma manuscrita, o la dibujas con el dedo, y pegas el resultado en el documento.
Lo que tienes es un mapa de bits. Se puede copiar de un documento a otro con cualquier editor de PDF, y el archivo no guarda ninguna prueba de quién lo hizo ni de cuándo. Si el documento se modifica después, nada cambia visualmente.
Sirve para lo que sirve una firma en una fotocopia: como indicio, si nadie la discute. En el momento en que la otra parte dice «yo no firmé eso», el peso de probarlo recae sobre ti.
Firma electrónica: cualquier dato que exprese voluntad
El reglamento de la Ley 27269, aprobado por el D.S. 052-2008-PCM, define la firma electrónica de forma amplia: datos en formato electrónico anexos a otros datos o asociados lógicamente con ellos, que el firmante usa para firmar.
Bajo esa definición cabe casi todo: marcar una casilla de aceptación, escribir tu nombre al final de un correo, pulsar «Acepto» en una web, o la firma digitalizada del punto anterior.
El reglamento distingue además la firma electrónica avanzada, que exige cuatro cosas a la vez:
- estar vinculada al firmante de manera única,
- permitir identificarlo,
- haberse creado con datos que el firmante mantiene bajo su control,
- estar ligada a los datos firmados de modo que cualquier modificación posterior sea detectable.
Ese cuarto punto es el que separa una casilla marcada de algo que aguanta una discusión.
Firma digital: la que la ley equipara a la manuscrita
La firma digital es una firma electrónica que cumple los requisitos de la avanzada y además se genera con un certificado emitido por una entidad acreditada ante INDECOPI dentro de la IOFE, la Infraestructura Oficial de Firma Electrónica.
Esa acreditación es lo que activa el artículo 1 de la Ley 27269: la firma digital generada dentro de la IOFE tiene la misma validez y eficacia jurídica que el uso de una firma manuscrita.
Lo que cambia en la práctica es quién tiene que probar qué. Con una firma manuscrita discutida, hay que ir a un peritaje grafotécnico. Con una firma digital dentro de la IOFE, la ley presume la autoría, y quien la niega es el que tiene que desmontarla.
Cómo distinguirlas en un PDF que te llega
Abre el archivo en Adobe Acrobat Reader y mira el panel de firmas.
- Si no aparece ningún panel de firmas, lo que ves es una imagen. Firma digitalizada.
- Si aparece el panel pero dice «La validez de la firma es DESCONOCIDA», hay un certificado, pero Acrobat no reconoce a quien lo emitió. Puede ser un autofirmado o una entidad fuera de la IOFE.
- Si dice «Firmado y todas las firmas son válidas», hay certificado y cadena de confianza reconocida.
Ese aviso de «desconocida» es el más engañoso, porque el documento se ve firmado y la mayoría de la gente no abre el panel.
Para comprobar que la entidad emisora está acreditada en Perú, la lista oficial es el Registro Oficial de Prestadores de Servicios de Certificación Digital (ROPS) de INDECOPI. Si el emisor no está ahí, la firma no es «firma digital» en el sentido del artículo 1 de la Ley 27269, por muy criptográfica que sea.
Cuándo cada una basta
No hace falta firma digital para todo, y sostener lo contrario sería vender de más.
Para una aceptación de términos en una web, o una confirmación interna de bajo importe, una firma electrónica simple cumple y es más barata de operar.
La firma digital se vuelve necesaria cuando pasa alguna de estas cosas:
- La contraparte es el Estado. SUNAT, SUNARP, el Poder Judicial y las entidades públicas exigen certificado dentro de la IOFE.
- El documento tiene que aguantar años. Contratos laborales, actas societarias, pagarés.
- El importe justifica el peritaje. Si discutir el documento cuesta más que emitir el certificado, ya salió a cuenta.
- Hay una obligación normativa específica, como firmar comprobantes electrónicos.
Un detalle que casi nadie mira: la vigencia
Un certificado digital caduca. Los que se emiten en Perú suelen tener vigencia de uno, dos o tres años.
La pregunta que llega tarde: ¿qué pasa con lo que firmaste antes, cuando el certificado ya venció?
La firma sigue siendo válida. Lo que se comprueba es que el certificado estuviera vigente en el momento de firmar, no hoy. Para poder demostrarlo años después hace falta que la firma lleve un sello de tiempo de una autoridad reconocida. Sin sello de tiempo, un verificador estricto no puede distinguir si firmaste antes o después del vencimiento.
Si vas a firmar algo que tiene que aguantar una década, pregunta si el firmador incluye sello de tiempo. La mayoría de firmadores gratuitos no lo hacen.
Fuentes
- Ley 27269, Ley de Firmas y Certificados Digitales (PDF).
- D.S. 052-2008-PCM, Reglamento de la Ley de Firmas y Certificados Digitales (PDF, El Peruano, 19 de julio de 2008).
- Registro Oficial de Prestadores de Servicios de Certificación Digital (ROPS), INDECOPI.
- Qué es la firma digital, Presidencia del Consejo de Ministros.
Última revisión: 12 de agosto de 2026.