Firma remota y HSM: dónde vive tu clave privada
Hay una diferencia práctica entre las dos formas de firmar que se venden hoy en Perú, y se nota en el escritorio. En una tienes un token USB: lo conectas, escribes un PIN y el documento sale firmado. En la otra abres el navegador, recibes un código en el celular, lo escribes y el documento sale firmado igual. La segunda es más cómoda para todos, incluida la empresa que gestiona cien firmas al día.
También significa que tu clave privada no está en tu bolsillo. Está en un servidor que administra otra empresa, y firmar consiste en pedirle a esa empresa que la use en tu nombre. Este artículo trata de qué hay que exigirle a quien la custodia, y de cómo comprobar lo que te responda.
El reglamento de 2008 no contemplaba esto
La Ley 27269 define en su artículo 3 la firma digital como la que usa criptografía asimétrica, con una clave privada y una clave pública relacionadas matemáticamente. Su reglamento, el D.S. 052-2008-PCM, organizó a los prestadores en tres modalidades en su artículo 23: entidad de certificación, entidad de registro o verificación, y prestador de servicios de valor añadido.
Busca «firma remota» en el texto de 2008 y no vas a encontrarla. En aquel momento la clave privada vivía en un dispositivo del titular y el reglamento se escribió sobre esa premisa. Tampoco ayuda su artículo 22, que fija tres niveles de seguridad —Medio, Medio Alto y Alto— y añade una frase que sorprende a quien la lee por primera vez: «El nivel de seguridad Alto se emplea en aplicaciones militares».
La vía legal llegó trece años después. El Reglamento de la Ley de Gobierno Digital, aprobado por el D.S. 029-2021-PCM, modificó los artículos 33 y 35 del reglamento de firmas digitales, y con esa modificación los servicios de firma digital remota pasaron a ser acreditables como una modalidad de servicio de valor añadido. Su Cuarta Disposición Complementaria Transitoria abrió además un plazo de dieciocho meses para reconocer a los prestadores que ya operaban.
Ese plazo venció. La consecuencia la escribió el propio INDECOPI: por esa vía transitoria «ya no es factible amparar tal clase de solicitudes». Quien quiera acreditarse ahora entra por el procedimiento ordinario.
Qué exige INDECOPI desde junio de 2024
El procedimiento ordinario tiene requisitos publicados. Están en la Resolución 175-2024/DGI-INDECOPI, del 24 de junio de 2024, que lleva por título «Requerimientos de acreditación en firma remota» y ocupa cuatro páginas.
Su artículo primero pide lo previsible: existencia y vigencia de la persona jurídica, poderes del representante legal, memoria descriptiva y organigrama, domicilio en el país y una póliza de seguro que cubra expresamente el servicio de firma remota.
El artículo segundo es el que interesa aquí, porque enumera las certificaciones técnicas admitidas:
| Estándar | Qué certifica |
|---|---|
| CEN-EN 419.241-1:2018 | Sistemas confiables que permiten firma de servidor. Requisitos generales de seguridad |
| CEN-EN 419.241-2:2019 | Perfil de protección del QSCD para la firma del servidor |
| CEN-EN 419.221-5 | Módulo criptográfico para servicios de confianza |
| ETSI TS 119-431, partes 1 y 2 | Política y seguridad de proveedores que operan un dispositivo de firma remoto |
| ETSI TS 119-432 | Protocolos para creación de firma digital remota |
Fíjate en lo que no aparece en esa lista. Es habitual leer que el requisito peruano es un módulo criptográfico con certificación FIPS 140-2 nivel 3. La resolución no menciona FIPS en ningún punto: el marco que adopta es el europeo, el de las normas CEN y ETSI que sostienen el reglamento eIDAS. Un HSM con FIPS 140-2 nivel 3 y sin ninguna de estas certificaciones cumple una norma respetable que no es la que INDECOPI pide.
Y hay un detalle del artículo octavo que conviene conocer antes de firmar un contrato. El propio texto reconoce que las auditorías por evaluadores locales, en reemplazo de la presentación de certificados, «constituirá una siguiente etapa» que se iniciará con otra resolución. Traducido: hoy la acreditación se sostiene sobre certificaciones que el solicitante presenta, no sobre una auditoría hecha en el Perú a la instalación concreta. No invalida nada, y explica por qué preguntar por el certificado en sí tiene sentido.
Qué es un HSM y qué cambia respecto al token
Un HSM (Hardware Security Module) es un equipo dedicado a guardar claves privadas y hacer operaciones con ellas sin entregarlas nunca. Cada clave privada se genera dentro, no sale del aparato ni siquiera cifrada, y lo que entra y sale son documentos a firmar y firmas ya hechas. Un token USB hace lo mismo a escala de una persona; el HSM lo hace a escala de miles, con redundancia y con registro de cada operación.
Puesto uno al lado del otro:
| Token USB | Firma remota con HSM | |
|---|---|---|
| Dónde está la clave privada | en tu poder | en el servidor del prestador |
| Qué autoriza cada firma | el PIN del token | tu segundo factor, validado por el prestador |
| Si pierdes el dispositivo | revocas y compras otro | no aplica |
| Firmar 400 documentos | uno a uno | por lote, desde un sistema |
| Quién puede firmar sin ti | nadie, si guardas el PIN | depende de cómo esté montado el servicio |
La última fila es la que decide la compra, y es la que ningún folleto responde.
La pregunta que importa: quién activa tu clave privada
El valor jurídico de una firma digital descansa en que solo el titular pudo haberla hecho. Con un token es evidente. Con firma remota, esa garantía se traslada a un diseño técnico: el HSM debe estar construido de modo que la clave privada de cada titular solo se active con un dato que aporta el titular, y que el operador del servicio no pueda reproducir por su cuenta.
Eso es exactamente lo que certifica CEN-EN 419.241-2, el perfil de protección de dispositivo cualificado de creación de firma para firma de servidor. No es un sello de calidad genérico: describe cómo tiene que comportarse el sistema para que el control siga siendo del firmante aunque el equipo esté en otro edificio.
Si el prestador puede firmar por ti sin tu intervención, el certificado seguirá siendo válido y la firma seguirá verificando. Lo que se debilita es tu posición el día que niegues haber firmado algo, que es el único momento en que todo esto importa de verdad. Sobre qué carga con la prueba en ese escenario está la comparación entre firma digital, electrónica y digitalizada.
Cinco preguntas antes de contratar
- ¿Qué certificación técnica presentaron para acreditarse, y de qué fecha? La respuesta tiene que ser una de las cinco normas de la tabla, con su alcance y su vigencia.
- ¿Dónde están físicamente los HSM y quién los opera? Si el prestador subcontrata la custodia, quieres saber a quién y bajo qué contrato.
- ¿Cómo se autoriza cada operación de firma? Un OTP por SMS y una app con biometría no ofrecen la misma garantía, y la diferencia se nota en una pericia.
- ¿Qué registra el sistema de cada firma y cuánto tiempo lo conserva? Sin ese registro no hay forma de reconstruir quién pidió qué y cuándo.
- ¿Qué pasa con mis claves privadas si cesan operaciones? El artículo 39 del reglamento regula el cese del prestador de servicios de valor añadido; el contrato debería decir lo mismo con nombres y plazos.
Un proveedor que responde estas cinco con documentos está vendiendo un servicio. Uno que responde con adjetivos está vendiendo otra cosa.
Cómo comprobarlo sin creerle a nadie
La acreditación es pública. INDECOPI mantiene el Registro Oficial de Prestadores de Servicios de Certificación Digital y publica la lista de servicios de confianza en iofe.indecopi.gob.pe, un documento firmado que declara su fecha de emisión y su número de secuencia. La versión vigente al escribir esto se emitió el 10 de agosto de 2026 con secuencia 25 y anuncia su próxima actualización para el 10 de febrero de 2027.
Ahí aparece cada prestador con las modalidades que tiene acreditadas. Si una empresa dice ser prestador de firma remota y su servicio no figura, la afirmación es falsa por más logos que muestre. El procedimiento completo, con los comandos para verificar un certificado concreto, está en cómo comprobar que un certificado digital está acreditado.
Cuándo compensa cada una
Para una persona que firma diez o quince documentos al año, el token sigue ganando: la clave privada la custodias tú, el precio es menor y no dependes de que un tercero siga operando. La comodidad de la firma remota no compensa cuando el volumen es bajo.
Para una empresa que firma a diario, con varias personas autorizadas y sistemas que emiten documentos sin intervención humana, el token se vuelve el problema. Repartir dispositivos, renovarlos y perseguir al gerente que se llevó el suyo de viaje cuesta más que el servicio. Ahí la firma remota resuelve algo real, siempre que el prestador conteste las cinco preguntas de arriba.
En CloudComputing operamos infraestructura de clientes y tenemos ISO/IEC 27001 certificada, así que esta conversación la tenemos desde el otro lado: la de quién responde cuando un auditor pregunta dónde está una clave privada y quién pudo tocarla. Si estás evaluando pasar tu firma a un servicio remoto y quieres revisar el planteamiento con alguien que no te vende el HSM, escríbenos y lo vemos con tu caso concreto.
Última revisión: 27 de agosto de 2026.