Firma por lote: dónde está el límite entre firmar rápido y firmar sin mirar
La escena se repite en cualquier entidad con volumen: llega el viernes, hay trescientos documentos esperando firma y una sola persona autorizada. Firmar de uno en uno significa trescientas veces introducir el PIN, trescientas confirmaciones, una tarde entera. Firmar el lote entero de una vez resuelve el problema operativo y abre otro, que es el que trata este artículo.
Nosotros lo tuvimos delante al diseñar y desarrollar la firma por lote del nuevo sistema de gestión documental del RENIEC, y la parte difícil no fue la criptografía.
El requisito que la firma por lote tensa
El artículo 7 del D.S. 052-2008-PCM enumera las características mínimas de la firma digital dentro de la Infraestructura Oficial de Firma Electrónica, y una de ellas es que «su generación está bajo el control exclusivo del suscriptor».
El artículo 8 lo convierte en presunción legal: se presume «que el suscriptor del certificado digital tiene el control exclusivo de la clave privada asociada» y, en consecuencia, «el suscriptor no podrá repudiar o desconocer un documento electrónico que ha sido firmado digitalmente usando su clave privada».
Ese es el trato. La ley presume el control exclusivo y, a cambio, el firmante no puede negar después lo que firmó. Un diseño de firma por lote que deje al firmante sin saber qué firmó rompe su parte del trato y le deja encima toda la responsabilidad.
Lo cual no significa que la firma por lote esté prohibida. Significa que la unidad de decisión es el lote, y que el lote tiene que ser algo que una persona pueda decidir de verdad.
Qué documentos entran en un lote y cuáles no
El criterio más claro que hemos visto escrito está en el propio encargo del SIGED del RENIEC, que acota la firma por lote a «los documentos normalizados emitidos en serie, como las invitaciones o documentos que comuniquen información general o actos de administración», y excluye expresamente «aquellos documentos que por su naturaleza requieran de un acto administrativo formal para su firma individual».
Esa frase es un buen criterio de diseño, más allá de esa entidad:
Entran en lote los documentos que difieren solo en el destinatario y en los datos que se rellenan de una plantilla: convocatorias, comunicaciones generales, constancias, notificaciones de un mismo acto a muchos administrados.
No entran los que contienen una decisión distinta en cada uno. Una resolución que resuelve un recurso, una sanción, una adjudicación. En esos, el contenido es la decisión, y firmar sin leer no es un atajo operativo: es no haber decidido.
La consecuencia para el sistema es que la firma por lote no puede ser una casilla global. Tiene que estar habilitada por tipo documental, y esa configuración debería decidirla el área legal de la entidad, no el equipo de desarrollo.
Un error de diseño frecuente: el PDF combinado
La tentación es juntar los trescientos documentos en un solo PDF y firmar una vez. Es más simple y es más rápido.
El artículo 4 del reglamento lo desaconseja sin ambigüedad: la garantía de no repudio «no se extiende a los documentos individuales que conforman un documento compuesto, a menos que cada documento individual sea firmado digitalmente».
Traducido: si combinas y firmas una vez, el destinatario número 12 recibe un documento que no puede verificar por separado. Has firmado un tomo, no trescientas cartas. Cada documento que va a circular solo tiene que llevar su propia firma.
Así que un lote de trescientos son trescientas operaciones de firma con una sola autorización del firmante, no una operación de firma. Eso cambia el diseño: hay que pensar en errores parciales.
Lo que falla de verdad en producción
Estos son los cuatro problemas que aparecen cuando el lote deja de ser una demostración de diez documentos.
Fallo a mitad del lote. El documento 180 de 300 falla y el proceso muere. Si no hay reanudación, alguien tiene que averiguar cuáles se firmaron. El lote necesita estado por documento y capacidad de retomar solo lo pendiente, sin volver a firmar lo ya firmado.
Doble firma por reintento. Un reintento ciego produce documentos firmados dos veces o duplicados en el flujo. Cada documento del lote necesita un identificador propio que permita comprobar si ya se firmó antes de volver a intentarlo.
La sesión del certificado caduca a mitad. Con certificado en token, el PIN abre una sesión con la tarjeta. Con firma remota, la autorización tiene su propia vigencia. En lotes grandes conviene medir cuántos documentos por minuto se firman de verdad y dimensionar el lote a esa cifra, en vez de descubrirlo con el usuario esperando.
El resumen que ve el firmante no coincide con lo que se firma. Es el fallo grave y el más silencioso. Si la pantalla muestra una lista generada de la base de datos y lo que se firma son los archivos del repositorio, cualquier desincronización entre ambos deja al firmante autorizando algo que no vio. Lo que se muestra tiene que salir del mismo artefacto que se firma.
Qué debería registrar el sistema
Para que la presunción de control exclusivo se sostenga cuando alguien pregunte, el registro del lote debería permitir reconstruir tres cosas: quién autorizó, qué contenía exactamente el lote en ese momento y qué documentos se firmaron con esa autorización. Guardar el resumen criptográfico de cada documento junto al identificador del lote resuelve las tres a la vez y ocupa poco.
Si además los documentos llevan sello de tiempo, ese registro fija también el cuándo. Explicamos por qué importa en sellado de tiempo y fecha cierta.
La recomendación
Habilita firma por lote solo en tipos documentales normalizados, firma cada documento por separado aunque se autoricen juntos, y haz que la pantalla de confirmación se genere del mismo archivo que se va a firmar. Con esas tres reglas, el lote es una mejora operativa que no le quita nada al valor probatorio de las firmas.
El resto de decisiones de una integración —qué certificado, qué software, qué formato y cómo se conserva— están ordenadas en la guía completa de integración.
Si el que firma en tu sistema es un proceso y no una persona, el certificado que necesitas no es el mismo. En Mi Firma Digital emitimos certificados de agente automatizado dentro de la IOFE, además de los de persona natural y jurídica. Escríbenos con el flujo real y te decimos cuál corresponde.