Firmar un Excel, un plano o un ZIP: la firma que va en un archivo aparte y el contenedor que el validador del Estado no nombra
Una constructora tiene que entregar a una entidad pública los planos de una obra en su formato de origen, no en PDF, firmados digitalmente por el ingeniero responsable. El sistema documental de la empresa firma PDF sin problema. Con un archivo de planos no sabe qué hacer, y el proveedor de software propone meter los planos y la firma en un contenedor ZIP con extensión .asice. La entidad lo va a comprobar en el validador oficial del Estado, que no nombra ese formato en su lista.
Esta página explica cómo se firma lo que no es PDF ni XML, qué formato conviene según quién vaya a comprobar la firma y dónde está el límite del validador del Estado. Las decisiones previas de una integración de firma, como el certificado o la conservación, están en la guía para integrar firma digital en tu sistema.
Tres formatos para tres tipos de archivo
Los tres formatos que nombra el validador oficial de Firma Perú vienen de normas europeas, y cada uno está pensado para un tipo de documento:
| Formato | Para qué | Dónde va la firma |
|---|---|---|
| PAdES | Dentro del propio PDF | |
| XAdES | XML | Dentro del XML o en un XML aparte |
| CAdES | Cualquier archivo | En un archivo aparte, o envolviendo al original |
CAdES es el formato genérico. Está definido en la norma europea ETSI EN 319 122-1, cuya versión vigente es la 1.3.1 de junio de 2023, y se apoya en la sintaxis CMS del RFC 5652. Sirve para una hoja de cálculo, un plano, una imagen, un ZIP o cualquier cosa que sea una secuencia de bytes.
Firma separada o firma que envuelve
CAdES admite dos formas de relacionar la firma con el archivo.
Separada (detached). La firma es un archivo pequeño, de uno o dos kilobytes, que contiene el resumen criptográfico del original, los atributos firmados y el certificado, pero no el contenido. El original queda intacto y se sigue abriendo con su programa de siempre. Para verificar hacen falta los dos archivos.
Envolvente (enveloping). La firma contiene el archivo dentro. Es un solo objeto, pero el original ya no se abre con su programa: primero hay que extraerlo.
Para entregar un documento a otra persona, la separada es casi siempre la mejor opción, con una condición: los dos archivos viajan juntos y se conservan juntos. Si alguien guarda el plano en una carpeta y la firma en otra, dentro de tres años nadie podrá demostrar que ese plano es el firmado.
Qué lleva dentro una firma CAdES
Lo comprobamos con una firma separada hecha con openssl sobre un archivo de prueba y un certificado de prueba. openssl no es software de firma acreditado, así que una firma hecha con él no tiene los efectos del D.S. 052-2008-PCM. Sirve para entender el formato y para verificar firmas hechas con otra herramienta.
# inspeccionar una firma separada
openssl cms -cmsout -print -inform DER -in planilla.xlsx.p7s
# verificar que corresponde al archivo
openssl cms -verify -binary -inform DER -in planilla.xlsx.p7s \
-content planilla.xlsx -CAfile cadena.pem -out /dev/null
La inspección muestra eContent: <ABSENT>: el contenido no está dentro, que es lo que define la firma separada. Y muestra cuatro atributos firmados: contentType, signingTime, messageDigest y signingCertificateV2. Son los que la tabla de la EN 319 122-1 marca como obligatorios en el nivel básico, el B-B. El último liga la firma a un certificado concreto, para que nadie pueda sustituirlo por otro certificado emitido sobre la misma llave pública.
Si se añade un solo byte al archivo y se vuelve a verificar, openssl devuelve CMS_SignerInfo_verify_content:verification failure. El resumen ya no coincide.
La norma define cuatro niveles, y la elección tiene las mismas consecuencias que en PAdES:
- B-B, la firma básica con sus atributos.
- B-T, que añade un sello de tiempo de una autoridad de confianza.
- B-LT, que incorpora todo lo necesario para validar la firma más adelante: certificados y respuestas de revocación.
- B-LTA, que añade sellos de tiempo de archivo para mantener esa validez en el tiempo.
Un plano de obra se va a consultar durante años. Firmarlo en B-B es firmarlo con una fecha que declara el propio equipo que firma y sin la prueba de que el certificado no estaba revocado ese día. Por qué eso importa está en sellado de tiempo y en la comprobación de revocación.
ASiC, el contenedor que junta archivo y firma
El problema de los dos archivos separados lo resuelve otra norma europea, la ETSI EN 319 162-1, versión 1.1.1 de abril de 2016. Define los contenedores ASiC, que son archivos ZIP con una estructura fija:
- ASiC-S («simple») asocia un solo archivo con su firma. Si la firma es CAdES, va en
META-INF/signature.p7s; si es XAdES, enMETA-INF/signatures.xml. La extensión es.asics. - ASiC-E («extendido») asocia uno o varios archivos con una o varias firmas, que pueden cubrir todos los archivos o solo algunos. La extensión es
.asice.
Los dos pueden llevar un archivo mimetype que declara el tipo de contenedor, por ejemplo application/vnd.etsi.asic-e+zip. La propia norma trae un ejemplo de firma de un ZIP entero con un ASiC-S, que es la solución limpia cuando hay que firmar un lote de planos como un único entregable.
Técnicamente es la respuesta correcta al problema de la constructora.
Lo que dice el validador de Firma Perú
El validador oficial lo dice en una frase: «Puedes validar las firmas generadas con formatos estandarizados como PAdES, XAdES o CAdES. Otros formatos pueden dar resultados no concluyentes». Y añade un límite que conviene conocer antes de mandar planos: «Tamaño máximo permitido: 10 MB».
ASiC no aparece en esa lista. No hemos subido un contenedor ASiC al validador para ver qué responde. Lo que sí se puede decir es que un formato que la herramienta oficial no nombra queda en la categoría de los que «pueden dar resultados no concluyentes», y un resultado no concluyente en manos de una entidad pública es un expediente que se detiene. Qué hace el validador con cada resultado lo explicamos en validar una firma digital.
El límite de 10 MB también cuenta. No comprobamos si se aplica solo a la firma o también al archivo firmado. Si es lo segundo, un plano o un ZIP de planos puede pasar de ese tamaño con facilidad, y conviene saberlo antes de la entrega.
Qué elegir
Si lo que firmas se puede convertir a PDF sin perder lo que importa, conviértelo y firma en PAdES. Es un solo archivo, se abre en cualquier equipo y el validador lo entiende.
Si el destinatario necesita el archivo original y es una entidad pública peruana, usa CAdES separado: el archivo tal cual y su .p7s al lado, con el mismo nombre más la extensión, para que la relación sea evidente. Si son varios archivos, fírmalos uno por uno antes que meterlos en un contenedor.
Si el destinatario tiene su propio validador que acepta ASiC, o el intercambio es con una organización europea, el contenedor es mejor que dos archivos sueltos. Pregunta antes qué herramienta van a usar para comprobarlo.
Y en todos los casos, si el documento va a vivir años, el nivel mínimo razonable es B-LT.
Lo que no afirmamos
Que el validador de Firma Perú rechace los contenedores ASiC. No lo probamos. La herramienta dice que los formatos que no nombra «pueden» dar resultados no concluyentes.
Que la firma de prueba hecha con openssl cumpla todo el perfil B-B. Contiene los cuatro atributos firmados que exige la tabla de la norma. No auditamos el resto de requisitos del perfil.
Fuentes de esta página
- ETSI EN 319 122-1 V1.3.1 (2023-06), CAdES digital signatures, parte 1: atributos del nivel B-B y definición de los cuatro niveles.
- ETSI EN 319 162-1 V1.1.1 (2016-04), Associated Signature Containers: apartados 4.3 y 4.4, ASiC-S y ASiC-E.
- Validador de firma digital de Firma Perú: formatos reconocidos y tamaño máximo, consultado el 23 de septiembre de 2026.
Las normas ETSI se descargaron el mismo día. La prueba con openssl se hizo con la versión 3.5.
En mifirmadigital.pe emitimos certificados dentro de la Infraestructura Oficial de Firma Electrónica. Si tienes que entregar archivos que no son PDF firmados a una entidad y no sabes en qué formato hacerlo, escríbenos contándonos qué archivo es y quién lo recibe.
Última revisión: 23 de septiembre de 2026.