Firmar con Adobe Acrobat: qué hace su firma, si figura en la lista de INDECOPI y qué significa eso para tu documento
Marcela dirige una constructora pequeña en Piura (el caso es inventado). Tiene un certificado digital en un token USB, instaló Adobe Acrobat para el resto de su trabajo con PDF y firmó con él una adenda de contrato. El gerente de la otra empresa le escribe: «Mi Acrobat no reconoce tu firma como de confianza, y nuestro abogado pregunta si Acrobat está en la lista de INDECOPI». Marcela no sabe contestar ninguna de las dos cosas, y son dos preguntas distintas.
Este artículo las separa. La primera es de Adobe: en qué se basa Acrobat para fiarse de una firma. La segunda es de INDECOPI: qué programas figuran en sus listas. El pilar, el programa con que firmas también tiene que estar acreditado, explica qué artículos del reglamento mencionan el software acreditado; aquí no lo repetimos. Consultamos las fuentes el 27 de octubre de 2026. Donde concluimos nosotros, lo marcamos como «nuestra lectura».
Una limitación: helpx.adobe.com devolvió «Access Denied» (HTTP 403) a todas nuestras descargas. Las páginas de ayuda de Adobe las leímos en capturas del Internet Archive del 9 al 17 de octubre de 2026, con la fecha «Last updated» de cada una. Puede haber cambiado algo desde entonces. La lista AATL sí la bajamos directo de Adobe.
Qué hace Acrobat cuando firmas con certificado
La ayuda de Adobe describe la firma digital como la que se hace «using a certificate-based digital ID». Dice que Acrobat guarda esas identidades en «PKCS #12 files, smart cards, tokens, or the Windows certificate store» y que deben «be registered for use». Añade que cumple con los estándares ETSI, PAdES y CAdES.
- Archivo
.p12o token. Se registran en Menu > Preferences > Signatures > More (en Identities & Trusted Certificates) > Digital IDs, con la opción «A file» o «A device connected to this computer» (página del 4 de diciembre de 2025). - Almacén de Windows. Hay que configurar Acrobat para que lo use, y Adobe avisa: «avoid importing certificates from the Windows store unless your workflow specifically requires it» (23 de septiembre de 2025).
- Módulo PKCS#11 del fabricante. La guía de despliegue dice: «Most configuration must occur manually». Se indica el módulo con la preferencia
cAdobe_P11CredentialProvider.
Para firmar, la página del 23 de septiembre de 2025 da estos pasos: All tools > Use a certificate > Digitally sign; OK en el aviso; dibujas el rectángulo de la firma; eliges tu identidad en «Sign with a Digital ID» y Continue; revisas los datos en «Sign as», escribes la contraseña de la identidad y, si quieres, marcas «Lock document after signing»; Sign, eliges dónde guardar y Save. No añadimos más pasos de menú que esos.
Las páginas que leímos no dicen qué formato (PAdES o CAdES) usa Acrobat por defecto, y no lo afirmamos. Sí dicen que existe un ajuste para cambiar el formato por defecto y que la información de validación a largo plazo (LTV) sigue la parte 4 de ETSI 102 778, la de PAdES. También que la firma muestra por defecto la hora del reloj del equipo, salvo que se configure un servidor de sellado: sellado de tiempo y fecha cierta. Si tu certificado vive en un token, mira firmar con token USB y PKCS#11; si necesitas varias firmas, varias firmas en un mismo PDF.
En qué se basa Acrobat para fiarse de una firma
Adobe plantea tres preguntas al validar. Dos son técnicas: si el certificado sigue vigente y si el documento cambió después de firmarse. La tercera es la de Marcela: «does this certificate chain up to a certificate listed in the Trusted Identity list?». Su página de confianza resume que la firma es válida «if you and the signer have a trust relationship». Lo que Acrobat muestra depende de las anclas de confianza de cada instalación, y eso mide algo distinto de lo que exige el artículo 4 del reglamento.
De dónde saca Acrobat esas anclas:
- AATL, la lista aprobada de Adobe. Según la guía de despliegue, «by default, both Acrobat and Reader download a list of “trusted” root digital certificates every 30 days». Cualquier firma cuya cadena llegue a una de esas raíces se acepta como de confianza. Una entidad de certificación o un gobierno puede postular a la lista; si cumple los requisitos técnicos, Adobe añade su certificado. Y precisa: «Adobe does not sell these credentials but manages the program by which these credentials are trusted».
- EUTL, las listas de confianza de la Unión Europea. La guía de despliegue dice que el soporte de Adobe «works in the same way as AATL». Según Adobe, es la lista pública de prestadores acreditados bajo el reglamento eIDAS de la UE. La lista peruana es otra, la TSL de INDECOPI, y no verificamos si Acrobat la lee.
- Lo que tú agregues. Adobe permite confiar en un certificado a mano (lo vemos abajo).
- El almacén de Windows, si lo activas. Hay una opción que hace confiar en todas las raíces del almacén de Windows para validar firmas o documentos certificados, con una advertencia de Adobe: «Selecting these options may impact document security».
¿Acrobat figura en las listas de INDECOPI?
No. La página del ROPS en gob.pe sigue mostrando hoy el archivo «ROPS al 21 de octubre del 2026 - Completo». Buscamos «adobe», «acrobat», «acrobat sign» y «reader» sin distinguir mayúsculas, en el texto extraído y en el XML interno del .xlsx: cero resultados. En la TSL (secuencia 25, emitida el 10 de agosto de 2026; la descargamos de nuevo hoy y es idéntica a la del 25 de octubre) también cero. Como control, «refirma» sí aparece en el ROPS y «software de firma digital» en la TSL.
La hoja del ROPS tiene 51 entradas de «Software de Firma Digital» y ninguna es de Adobe. Que no conste una acreditación no dice por qué: puede que nunca se pidiera, y eso no lo sabemos. Lo que sí se puede afirmar es esto: Adobe Acrobat no figura en el ROPS al 21 de octubre de 2026 ni en la TSL del 10 de agosto de 2026.
Qué programas sí figuran y cómo usarlos sin costo: ReFirma PDF paso a paso, Firma Perú y, en Mac o Linux, firmar en Mac o en Linux.
¿Están las entidades de certificación peruanas en la lista de Adobe?
Esta es la pregunta de Marcela, y la respondimos por dos vías.
La lista misma. Bajamos de trustlist.adobe.com el archivo tl12.acrobatsecuritysettings (el servidor lo fecha el 16 de octubre de 2026; es idéntico byte por byte al que bajamos el 24 de octubre). Contiene 311 identidades. Leímos el sujeto de cada certificado con OpenSSL. Ninguno tiene país PE ni nombre de ECEP-RENIEC, ECERNEP, INDECOPI u ONPE. Después comparamos por huella SHA-256 los certificados de la TSL peruana contra la lista de Adobe, y coinciden cuatro. Ninguno es una raíz peruana:
| Raíz en la lista de Adobe | Servicio y prestador con que la registra la TSL |
|---|---|
| GLOBAL CHAMBERSIGN ROOT - 2016 (Camerfirma, España) | «GLOBAL CHAMBERSIGN ROOT - 2016», de Camerfirma Perú S.A.C. |
| emSign Root CA - C1 (eMudhra) | «Soft & Net Solutions SAC Root Certification Authority», de Soft & Net Solutions S.A.C. |
| OISTE WISeKey Global Root GA CA (WISeKey, Suiza) | «Accredited Digital Certificates», de WISeKey S.A. |
| AC Raíz Certicámara (Colombia) | «AC Certicámara to fulfill the SD 105-2012-PCM», de Certicámara |
La de Certicámara figura en la lista de Adobe con las marcas de raíz y de documentos certificados en cero. Las otras tres tienen ambas marcas en 1.
La página de miembros de Adobe. La página «Adobe Approved Trust List» (Adobe la actualizó el 28 de septiembre de 2026 según la copia del 9 de octubre) trae la tabla «Current AATL Members» con un código de país por prestador. Los códigos que aparecen incluyen Colombia (CO), Brasil (BR), España (ES) y Uruguay (UY). No hay ningún prestador con código PE.
Nuestra lectura: las raíces de ECEP-RENIEC y ECERNEP no están en la lista que Acrobat descarga cada 30 días, así que un PDF firmado con un certificado de esas entidades no queda de confianza por defecto en un Acrobat recién instalado. No probamos con una firma real qué mensaje muestra Acrobat, y la ayuda que leímos no nombra las etiquetas; no ponemos ninguna entre comillas. Con los cuatro prestadores de la tabla es distinto: su raíz sí está en la lista. Pero el ROPS registra la baja de Camerfirma Perú como entidad de certificación (1 de octubre de 2026), y no sabemos qué efecto tiene sobre sus certificados ya emitidos ni de qué raíz cuelgan hoy los certificados de los otros tres.
Cómo se arma la cadena de los certificados del Estado, con sus huellas, y qué listas de otros programas traen o no esas raíces, está en la cadena de confianza de tu certificado. Ahí se explica también por qué esa ausencia no vuelve inválida la firma.
Cómo le dices a Acrobat que confíe en una raíz o en un certificado
Esto lo haces tú, en tu propio Acrobat, y es una decisión de confianza: lo que añadas pasa a ser ancla para todo lo que valides después. Adobe lo advierte así: «Only import certificates from known, trusted sources after verifying the fingerprint». Su ayuda pide, si dudas del certificado, confirmar con quien lo emitió los valores de huella (MD5 y SHA-1, según sus páginas).
Los pasos que da Adobe (página del 23 de septiembre de 2025), para añadir el certificado de un firmante desde una firma que recibiste:
- Abre el PDF con la firma y, en el panel de firmas, selecciona la firma.
- En Options, elige Show Signature Properties.
- En el cuadro de propiedades, elige Show Signer's Certificate.
- Abre la pestaña Trust y pulsa Add to Trusted Certificate.
- Pulsa OK. En el cuadro «Import Contact Settings» fijas las opciones de confianza y pulsas OK.
Para decidir hasta dónde confías, la página «Set certificate trust level» (23 de septiembre de 2025) da esta ruta: Menu > Preferences > Signatures > More (en Identities & Trusted Certificates) > Trusted Certificates, eliges el certificado y pulsas Edit Trust. La opción «Use this certificate as a trusted root» confía, dice Adobe, en «all certificates issued by the certificate authority». Esa es la opción que cubre a todos los certificados de una entidad. El mismo cuadro tiene casillas para «Signed documents or data», «Certified documents» y, dentro de esta, contenido dinámico, JavaScript y operaciones privilegiadas. Sobre las dos últimas, Adobe indica que se permitan «only for sources that you trust and work closely with». Cuáles marcar en tu caso no lo decidimos aquí.
Lo que no encontramos: cómo se importa en Acrobat el archivo de una raíz que no viene dentro de ninguna firma. Las páginas que leímos cubren el camino desde una firma, desde un correo y desde el almacén de Windows. Y antes de añadir cualquier raíz, saca su huella del archivo y compárala con un origen oficial; en la cadena de confianza de tu certificado están las de la raíz ECERNEP 5 y cómo se comparan.
Qué significa para tu documento
Son dos ejes que se confunden: la confianza dentro de Acrobat y lo que exige el reglamento.
| Pregunta | Quién la fija | Qué la contesta |
|---|---|---|
| ¿Mi Acrobat se fía de esta firma? | Adobe y la configuración del equipo | La cadena llega a una raíz de la AATL, de la EUTL o que el usuario agregó |
| ¿El certificado viene de una entidad acreditada? | D.S. 052-2008-PCM, artículo 4 | La TSL y el ROPS de INDECOPI |
| ¿El programa figura como acreditado? | Artículo 4 y guía de INDECOPI | El ROPS de INDECOPI |
El artículo 4 del reglamento dice que los documentos firmados digitalmente dentro de la IOFE «deberán ser admitidos como prueba en los procesos judiciales y/o procedimientos administrativos, siempre y cuando» la firma se haya hecho con un certificado de una entidad de certificación acreditada y una entidad de registro acreditada, y añade: «asimismo deberá haberse aplicado un software de firmas digitales acreditado ante la Autoridad Administrativa Competente». Es una condición de admisión como prueba que, en el texto, se refiere al software de firma. No dice en ninguna parte que lo que Acrobat muestre en pantalla sea el criterio.
Frente al Estado hay un matiz de 2012. El D.S. 105-2012-PCM (El Peruano, 21 de octubre de 2012) añadió al numeral 42.1 un párrafo según el cual, en los servicios del Estado que requieran firma digital de los administrados, «corresponde a las entidades públicas la acreditación del software que crea la firma digital del funcionario». Y otro, el decisivo para quien firma con Acrobat un documento dirigido a una entidad: «En ningún caso los administrados a los que están destinados los servicios que requieran firma digital están obligados a acreditar el software de firma digital que utilicen».
Nuestra lectura, que no es consejo legal: si presentas un PDF firmado con Acrobat a una entidad pública a través de un servicio suyo, la norma pone la carga de acreditar el software en la entidad y no en ti. Si el contrato es entre dos particulares, como el de Marcela, ese párrafo no habla de tu caso, y el artículo 4 deja abierta la discusión de si el programa debía estar acreditado. No leímos jurisprudencia ni pronunciamientos de INDECOPI sobre firmas hechas con Acrobat, y por eso no decimos que el documento «valga» ni que «no valga». Cómo se discute un documento firmado en un proceso está en impugnar un documento firmado digitalmente.
Nuestra opinión
Acrobat firma con tu certificado y, según su ayuda, puede incrustar la información de validación; eso no lo discutimos. Para un documento entre privados que pueda acabar en un juicio, nuestra recomendación es la misma que la del pilar: firma con un programa que figure en el ROPS, porque es la única condición del artículo 4 que puedes comprobar tú en diez minutos. Si firmaste con Acrobat y el destinatario no pone problema, no hace falta refirmar por reflejo.
Si lo que te preocupa es el aviso de confianza en el Acrobat de quien recibe, es, en nuestra lectura, un problema de anclas de confianza de su instalación y no una prueba contra tu firma. Una salida es que esa persona añada la raíz de tu entidad tras comparar la huella (los pasos están arriba), o que compruebe la firma con el validador del Estado, cuyo alcance explicamos en ese artículo. Y si tu entidad de certificación publica una guía para Acrobat, léela, pero comprueba cada huella tú.
Lo que este artículo no afirma
- Que una firma hecha con Acrobat sea inválida o inadmisible como prueba. Tampoco que sea válida. No leímos jurisprudencia ni pronunciamientos de INDECOPI sobre ese caso.
- Que Adobe «no esté acreditado» ni que «no pueda» acreditarse. Solo decimos que no figura en el ROPS al 21 de octubre de 2026 ni en la TSL del 10 de agosto de 2026.
- Qué mensaje exacto muestra Acrobat con un certificado peruano. No probamos una firma real, y las páginas de ayuda que leímos no nombran esas etiquetas.
- Qué formato de firma (PAdES o CAdES) aplica Acrobat por defecto ni con qué nivel de PAdES. La ayuda solo dice que cumple con esos estándares.
- Que las páginas de ayuda de Adobe sigan iguales hoy. Las leímos en capturas del Internet Archive del 9 al 17 de octubre de 2026.
- Que el almacén de Windows de tu equipo ya traiga la raíz de tu entidad, ni cómo importar en Acrobat una raíz suelta.
- Qué hace Adobe Acrobat Sign (el servicio en la nube de Adobe). No lo analizamos.
- Qué efecto tiene la baja de Camerfirma Perú sobre los certificados que ya emitió, ni de qué raíz cuelgan los certificados que hoy emiten los otros tres prestadores de la tabla.
- Que el artículo 4 siga como en 2008. Citamos el texto de 2008 y el matiz de 2012; la lectura de que no lo tocaron las demás modificatorias es la del pilar.
Fuentes
Consultadas el 27 de octubre de 2026. Copias locales en reports/redaccion-diaria/2026-10-27-notas/fuentes/mfd-adobe/ (wayback/ es la subcarpeta con las páginas de Adobe; las copias del Internet Archive llevan la fecha de captura en su URL).
- Adobe, Adobe Approved Trust List, última actualización 6 de noviembre de 2025 (captura del 17 de octubre de 2026). Copia:
wayback/w6.txt. - Adobe, Adobe Approved Trust List, miembros actuales, actualizada el 28 de septiembre de 2026 (captura del 9 de octubre de 2026). Copia:
wayback/w7.txt. - Adobe, lista de confianza tl12.acrobatsecuritysettings, fechada por el servidor el 16 de octubre de 2026. Copias:
listas/tl12.acrobatsecuritysettings,listas/adobe-extraido/SecuritySettings.xml,listas/aatl-sujetos.txt,listas/comparacion-tsl-aatl.txt,listas/comunes-tsl-aatl-nombres.txtylistas/comunes-tsl-aatl-prestadores.txt. - Adobe, Pre-deployment Configuration, Acrobat Desktop Digital Signature Guide (captura del 12 de octubre de 2026, sin fecha propia). Copia:
wayback/w3.txt. - Adobe Help Center, páginas de Acrobat: Digital signatures overview, Add digital signatures, Validate digital signatures, Set certificate trust level, Set preferences for validating digital signatures (las cinco, 23 de septiembre de 2025), Register digital IDs (4 de diciembre de 2025), Import certificates from digital signatures in PDFs y Import certificates from the Windows Certificate Store (ambas, 23 de septiembre de 2025). Capturas del 9 de octubre de 2026. Copias:
wayback/p-*.txtywayback/w5.txt. - INDECOPI, ROPS al 21 de octubre del 2026 - Completo, vigente en gob.pe el 27 de octubre. Copias:
rops-21oct.xlsx,rops-21oct.txt,rops-gobpe-27oct.html. Búsqueda:busqueda-adobe-rops-tsl.txt. - INDECOPI, lista de confianza TSL, secuencia 25, emitida el 10 de agosto de 2026. Copias:
tsl-pe-25oct.xmlytsl-pe-27oct.xml(idénticas). - D.S. 052-2008-PCM, El Peruano, 19 de julio de 2008, artículo 4. Copia:
ds052_gobpe.txt. - D.S. 105-2012-PCM, El Peruano, 21 de octubre de 2012, artículo 2 (numeral 42.1). Copia:
ds105-2012-elperuano.raw.txt.
Si lo que necesitas es un certificado con el que firmar desde Acrobat o desde un programa de la lista, en mifirmadigital.pe vendemos certificados digitales emitidos dentro de la Infraestructura Oficial de Firma Electrónica.
Última revisión: 27 de octubre de 2026.