Firma remota: qué exige INDECOPI para acreditarla y qué preguntarle a tu proveedor
En la firma con token, la clave privada está en un dispositivo que tienes en la mano. En la firma remota, está en el servidor de otro. Todo el mercado peruano se mueve hacia lo segundo, porque lo primero no escala y porque nadie quiere gestionar trescientos tokens.
La pregunta que sigue es la que casi nadie hace en la conversación de compra: si mi clave privada vive en tu servidor, ¿qué garantiza que solo yo la uso?
Desde junio de 2024 esa pregunta tiene respuesta escrita, y es comprobable antes de firmar el contrato.
La norma que lo fija
La Resolución N.° 175-2024-DGI/INDECOPI, de 24 de junio de 2024, «establece los requerimientos de acreditación como Prestadores de Servicios de Valor Añadido en la modalidad de Sistema de creación de firma remota».
Dicho en corto: en Perú, ofrecer firma remota dentro de la Infraestructura Oficial de Firma Electrónica es una modalidad acreditable, con requisitos publicados y con una autoridad que los revisa, que es INDECOPI.
Lo que hay que presentar
El artículo primero de la resolución enumera lo que acompaña a la solicitud, y hay dos que interesan al comprador:
- Documentación que demuestre el domicilio en el país.
- Una póliza de seguro que cubra expresamente el servicio de firma remota, por el monto que indica la Guía de Acreditación de Prestadores de Servicios de Valor Añadido.
Los demás recaudos son de forma: existencia y vigencia de la persona jurídica, poderes del representante legal, memoria descriptiva y organigrama.
Fíjate en el adverbio de la póliza: «expresamente». Una póliza de responsabilidad civil genérica de la empresa no es lo que pide la norma. Es una de las dos preguntas que conviene hacer por escrito.
Los estándares técnicos, que son europeos
El artículo segundo exige, además, certificaciones de cumplimiento de estándares:
«(i) CEN-EN 419.241-1:2018. Sistemas confiables que permiten firma de servidor. Parte 1: Requisitos generales de seguridad del sistema; y (ii) CEN-EN 419.241-2:2019. Sistemas confiables que permiten firma de servidor. Parte 2: Perfil de protección del QSCD para la firma del servidor».
Y admite alternativas: CEN-EN 419.221-5, «Módulo Criptográfico para servicios de confianza», o la ETSI TS 119-431 sobre requisitos de política y seguridad para proveedores de servicios de confianza que operan un dispositivo remoto de creación de firma.
Lo que no aparece en ninguna parte de la resolución es FIPS 140-2. Merece decirlo porque circula lo contrario en material comercial del sector. FIPS es una certificación estadounidense de módulos criptográficos, útil y respetable, y que un proveedor la tenga es una buena señal. Lo que no es cierto es que la normativa peruana la exija para acreditar firma remota. Lo que exige son las normas CEN y ETSI de arriba.
Por qué la norma se centra en el control exclusivo
Todo esto existe para sostener una sola afirmación jurídica, la que hace posible que una firma remota valga como manuscrita.
El artículo 7 del D.S. 052-2008-PCM exige que la generación de la firma esté «bajo el control exclusivo del suscriptor», y el artículo 8 lo eleva a presunción legal: se presume «que el suscriptor del certificado digital tiene el control exclusivo de la clave privada asociada», con la consecuencia de que no podrá repudiar después lo que firmó.
Cuando la clave privada vive en un servidor ajeno, ese control exclusivo deja de ser un hecho físico y pasa a ser una propiedad del sistema: cómo se autentica el firmante, cómo se autoriza cada operación de firma, qué impide que el operador del servicio firme por su cuenta. Las normas CEN 419241 son exactamente eso, un catálogo de requisitos para que un sistema de firma en servidor pueda seguir afirmando control exclusivo.
Por eso la pregunta correcta a un proveedor no es «¿dónde está el HSM?». Es «¿qué impide que tu propio equipo firme en mi nombre, y con qué certificación lo demuestras?».
Las cinco preguntas que conviene hacer por escrito
Antes de contratar firma remota, y por este orden:
- ¿Estás acreditado ante INDECOPI en la modalidad de firma remota? Es comprobable en el registro de prestadores y en la lista de servicios de confianza que publica INDECOPI. Un «trabajamos con una entidad acreditada» no es lo mismo que estarlo.
- ¿Qué certificación técnica presentaste? CEN-EN 419241-1 y -2, o las alternativas que admite la resolución. Con el alcance y la fecha.
- ¿Tu póliza cubre expresamente el servicio de firma remota? Y por qué monto.
- ¿Cómo se autoriza cada firma? Qué segundo factor, qué caduca, y qué pasa con un lote de trescientos documentos, que es donde suele romperse el modelo. Lo tratamos en firma por lote.
- ¿Qué pasa al terminar el contrato? Quién conserva qué, cómo se revocan los certificados y cómo se verifica dentro de cinco años lo firmado hoy.
Las cinco tienen respuesta documental. Si alguna se responde solo de palabra, ya sabes algo.
Token o firma remota: la comparación honesta
La firma remota gana casi siempre en volumen y en operación, y no gana siempre.
El token sigue siendo mejor cuando firma una sola persona, pocas veces al mes, y el coste de coordinar un servicio ajeno supera al de guardar un dispositivo. También cuando el proceso exige que el firmante tenga en la mano algo físico, por política interna.
La firma remota gana en cuanto hay varias personas firmando, o firma un proceso automático, o los documentos se firman desde el móvil, o alguien tiene que firmar estando de viaje. Y gana claramente cuando el token se pierde, que es el escenario que nadie presupuesta: reemplazarlo cuesta tiempo de validación de identidad otra vez.
Nuestra recomendación, con su razón: si el que firma es un proceso y no una persona, ni te plantees el token. Un dispositivo físico conectado a un servidor para que un servicio lo use es un punto único de fallo que además contradice la idea de control exclusivo del suscriptor.
Dónde encaja esto
Dónde vive la clave privada y qué implica cada opción está en firma remota y HSM. Y las decisiones de una integración completa —certificado, software acreditado, formato, sello de tiempo y conservación— están ordenadas en la guía de integración.
En Mi Firma Digital operamos la infraestructura, no la revendemos, y emitimos certificados dentro de la IOFE para personas naturales, personas jurídicas y agentes automatizados. Si estás comparando proveedores de firma remota, escríbenos con las cinco preguntas de arriba: te las respondemos por escrito, que es como deberías pedirlas a todos.