Firma remota: qué exige INDECOPI para acreditarla y qué preguntarle a tu proveedor
En la firma con token, la clave privada está en un dispositivo que tienes en la mano. En la firma remota, está en el servidor de otro. Todo el mercado peruano se mueve hacia lo segundo, porque lo primero no escala y porque nadie quiere gestionar trescientos tokens.
La pregunta que sigue es la que casi nadie hace en la conversación de compra: si mi clave privada vive en tu servidor, ¿qué garantiza que solo yo la uso?
Desde junio de 2024 esa pregunta tiene respuesta escrita, y es comprobable antes de firmar el contrato.
La norma que lo fija
La Resolución N.° 175-2024-DGI/INDECOPI, de 24 de junio de 2024, «establece los requerimientos de acreditación como Prestadores de Servicios de Valor Añadido en la modalidad de Sistema de creación de firma remota».
Dicho en corto: en Perú, ofrecer firma remota dentro de la Infraestructura Oficial de Firma Electrónica es una modalidad acreditable, con requisitos publicados y con una autoridad que los revisa, que es INDECOPI.
Lo que hay que presentar
El artículo primero de la resolución enumera lo que acompaña a la solicitud, y hay dos que interesan al comprador:
- Documentación que demuestre el domicilio en el país.
- Una póliza de seguro que cubra expresamente el servicio de firma remota, por el monto que indica la Guía de Acreditación de Prestadores de Servicios de Valor Añadido.
Los demás recaudos son de forma: existencia y vigencia de la persona jurídica, poderes del representante legal, memoria descriptiva y organigrama.
Fíjate en el adverbio de la póliza: «expresamente». Una póliza de responsabilidad civil genérica de la empresa no es lo que pide la norma. Es una de las dos preguntas que conviene hacer por escrito.
Los estándares técnicos, que son europeos
El artículo segundo exige, además, certificaciones de cumplimiento de estándares:
«(i) CEN-EN 419.241-1:2018. Sistemas confiables que permiten firma de servidor. Parte 1: Requisitos generales de seguridad del sistema; y (ii) CEN-EN 419.241-2:2019. Sistemas confiables que permiten firma de servidor. Parte 2: Perfil de protección del QSCD para la firma del servidor».
Y admite alternativas: CEN-EN 419.221-5, «Módulo Criptográfico para servicios de confianza», o la ETSI TS 119-431 sobre requisitos de política y seguridad para proveedores de servicios de confianza que operan un dispositivo remoto de creación de firma.
Lo que no aparece en ninguna parte de la resolución es FIPS 140-2. Merece decirlo porque circula lo contrario en material comercial del sector. FIPS es una certificación estadounidense de módulos criptográficos, útil y respetable, y que un proveedor la tenga es una buena señal. Lo que no es cierto es que la normativa peruana la exija para acreditar firma remota. Lo que exige son las normas CEN y ETSI de arriba.
Por qué la norma se centra en el control exclusivo
Todo esto existe para sostener una sola afirmación jurídica, la que hace posible que una firma remota valga como manuscrita.
El artículo 7 del D.S. 052-2008-PCM exige que la generación de la firma esté «bajo el control exclusivo del suscriptor», y el artículo 8 lo eleva a presunción legal. Ojo con la redacción de esa presunción, que cambió en 2021 y ahora dice que se presume «que el suscriptor del certificado digital tiene el control de la clave privada asociada, con un elevado grado de confianza, incluso cuando la misma es gestionada por un Prestador de Servicios de Valor Añadido acreditado en la modalidad de sistema de creación de firma remota». La consecuencia no cambió: no podrá repudiar después lo que firmó. Ver la corrección del 20 de septiembre al final de esta página.
Cuando la clave privada vive en un servidor ajeno, ese control exclusivo deja de ser un hecho físico y pasa a ser una propiedad del sistema: cómo se autentica el firmante, cómo se autoriza cada operación de firma, qué impide que el operador del servicio firme por su cuenta. Las normas CEN 419241 son exactamente eso, un catálogo de requisitos para que un sistema de firma en servidor pueda seguir afirmando control exclusivo.
Por eso la pregunta correcta a un proveedor no es «¿dónde está el HSM?». Es «¿qué impide que tu propio equipo firme en mi nombre, y con qué certificación lo demuestras?».
Las cinco preguntas que conviene hacer por escrito
Antes de contratar firma remota, y por este orden:
- ¿Estás acreditado ante INDECOPI en la modalidad de firma remota? Es un acto administrativo con número y fecha, así que se pide por escrito y se comprueba. Ojo con dónde: ver la corrección del 12 de septiembre al final de esta página. Un «trabajamos con una entidad acreditada» no es lo mismo que estarlo.
- ¿Qué certificación técnica presentaste? CEN-EN 419241-1 y -2, o las alternativas que admite la resolución. Con el alcance y la fecha.
- ¿Tu póliza cubre expresamente el servicio de firma remota? Y por qué monto.
- ¿Cómo se autoriza cada firma? Qué segundo factor, qué caduca, y qué pasa con un lote de trescientos documentos, que es donde suele romperse el modelo. Lo tratamos en firma por lote.
- ¿Qué pasa al terminar el contrato? Quién conserva qué, cómo se revocan los certificados y cómo se verifica dentro de cinco años lo firmado hoy.
Las cinco tienen respuesta documental. Si alguna se responde solo de palabra, ya sabes algo.
Token o firma remota: la comparación honesta
La firma remota gana casi siempre en volumen y en operación, y no gana siempre.
El token sigue siendo mejor cuando firma una sola persona, pocas veces al mes, y el coste de coordinar un servicio ajeno supera al de guardar un dispositivo. También cuando el proceso exige que el firmante tenga en la mano algo físico, por política interna.
La firma remota gana en cuanto hay varias personas firmando, o firma un proceso automático, o los documentos se firman desde el móvil, o alguien tiene que firmar estando de viaje. Y gana claramente cuando el token se pierde, que es el escenario que nadie presupuesta: reemplazarlo cuesta tiempo de validación de identidad otra vez.
Nuestra recomendación, con su razón: si el que firma es un proceso y no una persona, ni te plantees el token. Un dispositivo físico conectado a un servidor para que un servicio lo use es un punto único de fallo que además contradice la idea de control exclusivo del suscriptor.
Dónde encaja esto
Dónde vive la clave privada y qué implica cada opción está en firma remota y HSM. Y las decisiones de una integración completa —certificado, software acreditado, formato, sello de tiempo y conservación— están ordenadas en la guía de integración.
Hay una sexta pregunta que conviene añadir a las cinco de arriba, y la responde el reglamento antes que el proveedor: qué pasa si cierra. El cese de operaciones está regulado en tres artículos distintos según la figura, y el que se aplica a la firma remota no obliga a avisarte a ti. Lo contamos en a quién obliga el reglamento a avisar cuando un proveedor cierra.
En Mi Firma Digital operamos la infraestructura, no la revendemos, y emitimos certificados dentro de la IOFE para personas naturales, personas jurídicas y agentes automatizados. Si estás comparando proveedores de firma remota, escríbenos con las cinco preguntas de arriba: te las respondemos por escrito, que es como deberías pedirlas a todos.
Corrección del 12 de septiembre de 2026
Esta página decía que la acreditación en firma remota se comprueba «en el registro de prestadores y en la lista de servicios de confianza que publica INDECOPI». La segunda mitad de esa frase estaba mal y la dejamos escrita porque se comprobó y no era cierta.
El 12 de septiembre de 2026 abrimos la lista de servicios de confianza que INDECOPI publica en iofe.indecopi.gob.pe/TSL/, emitida el 10 de agosto de 2026. Sus 74 servicios se declaran como CA/QC, unspecified o RA. No hay tipo de servicio para la modalidad de sistema de creación de firma remota, ni campo donde pudiera ir, así que buscarla ahí lleva a una conclusión equivocada tanto si la encuentras como si no.
Qué contiene esa lista de verdad, cuándo se cerró la ventana de reconocimiento de proveedores no acreditados y qué sí se puede pedir está en dónde se comprueba que un proveedor de firma remota está acreditado.
Actualización del 16 de septiembre de 2026
La cuarta pregunta de la lista, cómo se autoriza cada firma, tiene una respuesta técnica que la propia Resolución 175-2024/DGI-INDECOPI deja a mano: entre las normas que acepta está ETSI TS 119 432, la que describe el protocolo entre tu sistema y el servicio de firma. Ahí se distinguen dos niveles de control del firmante, y en uno de ellos la autorización queda ligada a los documentos concretos que se firman. Qué viaja por la red y qué preguntarle al proveedor sobre eso está en qué sale de tu servidor cuando tu sistema firma en remoto.
Corrección del 20 de septiembre de 2026
Esta página citaba el artículo 8 del D.S. 052-2008-PCM en su redacción de 2008, que presumía «el control exclusivo de la clave privada asociada». Esa no es la redacción vigente. La Segunda Disposición Complementaria Modificatoria del D.S. 029-2021-PCM (El Peruano, 19 de febrero de 2021) reescribió ese artículo y cambió el «control exclusivo» por «el control […] con un elevado grado de confianza, incluso cuando la misma es gestionada por un Prestador de Servicios de Valor Añadido acreditado en la modalidad de sistema de creación de firma remota». El párrafo está corregido arriba.
El mismo decreto reescribió las obligaciones del suscriptor y del titular para el caso de la firma remota, y una de ellas te libera de pedir la cancelación del certificado. Cuáles se movieron, cuál te dejaron puesta y qué pedir por contrato está en las obligaciones del reglamento cuando tu clave privada la guarda otro.
Actualización del 25 de septiembre de 2026
Una empresa que ya corre en AWS, Azure o Google Cloud puede guardar la clave privada de su certificado en un HSM de su propia cuenta. Eso no es la firma remota que acredita la Resolución 175-2024/DGI-INDECOPI, porque el artículo 35 del reglamento reserva esa modalidad al caso en que un tercero gestiona la clave privada. Qué exige el reglamento en ese caso y qué certifica de verdad cada nube está en la clave privada de tu certificado en tu propio HSM de nube.
Actualización del 29 de septiembre de 2026
Si tienes una aplicación web y quieres que tus usuarios firmen con su propio certificado, el navegador no te deja llegar al token: la Web Cryptography API del W3C deja fuera de su alcance las tarjetas y los módulos criptográficos. Quedan tres caminos, y la firma remota con un prestador acreditado es uno de ellos. Los otros dos son un componente local como el de Firma Perú y la firma en servidor con un certificado de la organización. Qué sale del navegador en cada caso y de quién es la firma está en firmar desde tu aplicación web con el certificado del usuario.
Actualización del 3 de octubre de 2026
La quinta pregunta de la lista, qué pasa al terminar el contrato, tiene una parte que nadie pide por escrito: el registro que guarda el proveedor de cada firma. Si un día alguien niega haber firmado, la prueba está en su servidor. Ni la Resolución 175-2024/DGI-INDECOPI ni el reglamento fijan cuánto tiempo debe conservarlo; la ETSI TS 119 431-1, que la resolución admite como alternativa técnica, pide al menos siete años desde que el certificado deja de ser válido. Qué pedir y cómo está en qué registra tu proveedor de firma remota y cómo pedírselo.
Con ese artículo queda completo el grupo que desarrolla esta página. Además de los enlazados arriba, conviene tener a mano firma remota y HSM: dónde vive tu clave privada y token USB o firma remota, con los casos en que el token sigue ganando.
Última revisión: 3 de octubre de 2026.