Firmar desde el celular con una app: qué comprobar antes de instalarla, dónde queda tu clave privada y si figura en la lista de INDECOPI

Rosario es contadora en Huancayo y su cliente le manda un contrato de servicios para firmar «hoy, desde el celular» (el caso es inventado). Abre la tienda de aplicaciones, escribe «firma digital» y salen varias con nombres casi iguales. Una pide que le acerques el DNI. Otra dice que guarda tu certificado en el teléfono. Una tercera habla de la nube. Rosario no sabe cuál instalar, y todavía menos qué hace cada una con su clave privada.

Este artículo cierra la serie «El programa con que firmas», cuyo pilar explica por qué el reglamento pide un software acreditado. Aquí se aplica a un teléfono. Leímos el 28 de octubre de 2026 el reglamento, la guía de INDECOPI, la lista de software acreditado (ROPS) y las fichas de tres apps en las tiendas. Donde concluimos algo nosotros, lo marcamos como «nuestra lectura». No decimos de ninguna app que sea segura ni que no sirva: decimos lo que dicen las listas, la norma y el fabricante.

Qué dice la norma de tu clave privada

Tres artículos del D.S. 052-2008-PCM tocan el tema.

El artículo 7 d), que no figura entre los modificados por los decretos que revisamos, pide que la generación de la firma esté bajo «el control exclusivo del suscriptor». El artículo 10, en el texto que le dio el D.S. 029-2021-PCM (El Peruano, 19 de febrero de 2021), obliga al suscriptor a «Mantener el control y la reserva de la clave privada bajo su responsabilidad». Agrega que eso es «sin perjuicio de la responsabilidad del Prestador de Servicios de Valor Añadido acreditado en la modalidad de sistema de creación de firma remota que genere la clave privada para el servicio de firma remota». El literal e), que ese decreto no reproduce, dice qué hacer si la clave privada se compromete: avisar «de inmediato a la Entidad de Registro o Verificación o a la Entidad de Certificación que participó en su emisión para que proceda a la cancelación del certificado digital».

El artículo 8 a), también de 2021, fija la presunción de que el suscriptor tiene «el control de la clave privada asociada, con un elevado grado de confianza, incluso cuando la misma es gestionada» por un prestador acreditado en firma remota.

Nuestra lectura: da igual que firmes desde el teléfono o desde el computador. Lo que importa es dónde está la clave privada y quién puede usarla. Si está en tu teléfono, la responsabilidad de cuidarla es tuya. Si está en un servidor ajeno, la norma reparte la responsabilidad solo cuando ese servicio está acreditado como firma remota.

Dónde puede quedar tu clave privada en un celular

Las fichas de las apps que vimos describen cuatro lugares distintos. Cada uno cambia lo que te toca comprobar.

Lugar de la clave privada	Cómo lo dicen las fichas	Qué te toca comprobar
El chip del DNIe	«Firma con tu DNI electrónico 2.0 y 3.0 acercándolo a tu celular Android o iPhone mediante tecnología NFC» (Watana). «escanea el frente del DNI y completa la validación por NFC» (ID Firma Digital)	Que el certificado de tu DNIe esté vigente y recuerdes el PIN. Está en firmar con el DNIe por NFC
El propio teléfono	«instalado en el almacén seguro de tu sistema operativo, sin exponer tu llave privada» (Watana). «almacenar tus certificados de forma local y segura en tu propio celular» (FirmEasy Signer)	Cómo importaste el certificado y qué pasa si pierdes el teléfono
Un servidor del proveedor	«HSM en la nube» (Watana)	Si el proveedor está acreditado en firma remota y quién activa tu clave privada. Está en firma remota y HSM
Un certificado que no es el tuyo	«Dibuja tu firma manuscrita y quedará respaldada por un certificado digital de agente automatizado» (Watana)	A nombre de quién está ese certificado

La última fila merece una explicación. El reglamento define el agente automatizado en su artículo 9: cuando el certificado es de una persona jurídica para uso por un agente automatizado, «las personas jurídicas asumen las facultades de titulares y suscriptores». Nuestra lectura: un certificado de agente automatizado pertenece a una empresa, no a ti, y la firma que respalda no es la tuya con tu clave privada. La ficha no dice de quién es el certificado. Antes de usar esa modalidad para un contrato, pregúntalo por escrito.

Qué dice la guía de INDECOPI sobre celulares

Casi nada. Buscamos en la Guía de Acreditación de Aplicaciones de Software de Firma Digital (versión 4.0, rev. 2016) las palabras Android, iOS, iPhone, smartphone, celular, teléfono y tablet, y no aparece ninguna. La única mención de lo móvil está en el requerimiento 7: la aplicación debe llevar un certificado de firma de código emitido por una entidad «reconocida por los sistemas operativos, plataformas de desarrollo y proveedores de red móvil». Para la clave privada hay una regla, en el requerimiento 4.1.5: «la función de firma con la clave privada debe realizarse solamente en el módulo criptográfico certificado y no en las librerías criptográficas de la aplicación». Y otra: «No deben generarse copias automatizadas de la clave privada en el computador durante el proceso de firma».

La guía habla de «computador». Qué cuenta como módulo criptográfico certificado en un teléfono (el chip del DNIe, el almacén del sistema operativo) no lo responde, y no lo vamos a responder nosotros. Es la pregunta que puedes hacerle al proveedor.

Otro dato: el informe de auditoría debe registrar, como alcance de lo acreditado, el «Nombre de la Aplicación: (Incluye nombre comercial y versión del producto)», el «Tipo de Operación: (Web, desktop, etc.)» y los «Sistemas operativos donde funciona la aplicación: (Windows versión _ , Linux versión _, Java u otros)». Nuestra lectura: INDECOPI registra el sistema operativo de cada programa, pero la lista pública publica solo el nombre y la versión. Si una entrada del ROPS es de escritorio, web o móvil no lo dice la lista, lo dice el proveedor.

Cinco comprobaciones antes de instalar

1. Mira quién publica la app. En Google Play el nombre del desarrollador está bajo el título; en la App Store, bajo el nombre de la app. Anótalo tal como sale.
2. Busca ese nombre en el ROPS. Baja desde la página de INDECOPI en gob.pe el archivo «ROPS al 21 de octubre del 2026 - Completo» (al 28 de octubre seguía siendo el vigente) y busca a la empresa en la primera hoja. Mira qué servicios tiene acreditados: entidad de certificación, firma remota, software de firma digital.
3. Compara el nombre y la versión. La columna de servicio acreditado trae, por ejemplo, Watana versión 1.0.6. Compáralo con el nombre y la versión que muestra la tienda.
4. Pregunta qué modalidad usas y dónde queda tu clave privada. Con las cuatro filas de la tabla en la mano. Si respondes «no sé», no firmes el contrato todavía.
5. Pide la resolución. Las dos acreditaciones de ReFirma que citamos en el pilar tienen número y fecha. Pídela por correo al soporte que figure en la ficha.

Instala la app desde la tienda, escribiendo el nombre tú, y no desde un enlace que te llegó por mensaje. Cómo se reconoce el aviso falso de «documento pendiente de firma» está en el correo falso de documento pendiente de firma.

Tres apps vistas el 28 de octubre

Aplicamos las comprobaciones a tres apps. Watana la elegimos porque la página de Llama.pe la presenta como app para Android e iOS, como vimos en firmar en Mac o en Linux. Las otras dos salieron en una búsqueda de «firma digital dnie» en la App Store de Perú, con titular peruano. No es un ranking ni una recomendación.

App y titular en la tienda	Qué dice la ficha	Qué hay en el ROPS al 21 de octubre
Watana, LLAMA.PE SA. Versión 1.4.0 en Google Play y en la App Store (esta, publicada el 15 de octubre de 2026)	Cuatro modalidades de firma; Android 10 o posterior; para iOS la web del proveedor dice «iOS 12.0 o posterior» y la App Store, 15.0	Llama.Pe S.A. figura con firma remota, y el software Watana versión 1.0.6
FirmEasy Signer, Girasol Pe S.C.R.L. Versión 1.0.9 en la App Store	Certificados guardados «de forma local» en el teléfono y lectura de certificados por NFC	Girasol Pe S.C.R.L. figura, con el software Firmeasy - Firma Digital versión 1.0
ID Firma Digital, ID-ONE PERU S.A.C. Versión 1.4 en la App Store	Firma de PDF con el DNI electrónico por NFC	No encontramos «ID-ONE» en el ROPS ni en la lista de confianza

Watana. La página de Llama.pe lista la aplicación y dice «Aplicación para Android e iOS». El ROPS lista un software con el mismo nombre y la versión 1.0.6, que es muy anterior a la 1.4.0 de las tiendas. No sabemos si la entrada del ROPS es la app móvil, y no sabemos si una versión posterior queda dentro del alcance acreditado. La guía dice que un prestador acreditado que quiera extender el alcance «podrá solicitar al INDECOPI una evaluación de actualización», pero no dice qué cambios la exigen. Para la nube, la web dice «acreditado por Indecopi», y el ROPS sí lista a Llama.Pe como prestador de firma remota. Dónde se comprueba esa acreditación está en esta comprobación con el ROPS y la TSL.

FirmEasy. El nombre de la app y el del software de la lista se parecen y el titular es el mismo, pero no coinciden palabra por palabra ni en la versión. Pueden ser el mismo producto o dos. La ficha añade una frase prudente: «La validez legal de los documentos firmados depende del certificado utilizado y del mutuo acuerdo de aceptación entre las partes». Esa frase es del proveedor, no de INDECOPI.

ID Firma Digital. No hallamos al titular en la lista, y la ficha tampoco dice que la app esté acreditada. Eso no dice nada de cómo funciona la app. Dice algo del documento: el artículo 4 del reglamento dice que los documentos firmados dentro de la IOFE «deberán ser admitidos como prueba», y entre las condiciones pone la de haber aplicado un software de firmas digitales acreditado. Es un caso de «no figura», con las salvedades que da el pilar sobre qué significa que un programa no esté en la lista.

Lo que sale mal

• Perder el teléfono con el certificado dentro. Si el certificado está instalado en el aparato y alguien más lo usa, la clave privada quedó comprometida. El artículo 10 e) dice qué hacer: avisar de inmediato a quien emitió el certificado para que lo cancele. El PIN de la app o el bloqueo biométrico que menciona la ficha de Watana no sustituyen ese aviso.
• Los nombres de las tiendas. Al buscar «DNIe» salen apps hechas para el DNI español. La de Google Play titulada «DNI DIGITAL (DNIe)» dice en su descripción «App no gubernamental» y remite al portal MiDNI y a la FNMT, con enlaces a sitios .gob.es. No menciona al RENIEC. Mira de qué organismo habla la descripción antes de bajarla.
• La modalidad equivocada. Que la app guarde el PDF con un recuadro de firma no prueba qué clave privada lo firmó. Comprueba el resultado con un validador, como el de Firma Perú; no probamos esa pantalla con estas apps. Si usas el DNIe, revisa también que su certificado no haya vencido: renovar los certificados del DNIe y recuperar el PIN.
• Los datos que declara la tienda. La ficha de Google Play de Watana dice, por declaración del desarrollador, «No se comparten datos con terceros» y que la app puede recopilar «Información personal y Dispositivo u otros IDs». La propia tienda avisa de que esa información la da el desarrollador. Léela antes de instalar, sabiendo quién la escribió.

Nuestra opinión

Para firmar un contrato que puede acabar discutido, usa la modalidad cuyo lugar de la clave privada sepas explicar en una frase: tu DNIe por NFC, o una firma remota de un prestador que figure en el ROPS como tal. La razón es el artículo 10: la responsabilidad de la clave privada es tuya, y es difícil responder por algo que no sabes dónde está.

No exportes un archivo de certificado con su contraseña a una app de la que no puedas ver el titular en el ROPS. Se puede hacer, pero entonces la clave privada depende del cuidado de ese programa y de tu teléfono, y la norma te deja a ti la carga. Y si lo que necesitas es firmar muchos documentos, acercar el DNI al teléfono cada vez no es el método: mira token USB o firma remota.

Lo que este artículo no afirma

• Que alguna de las tres apps sea segura, insegura, válida o inválida. Solo contrastamos lo que dicen las fichas con lo que dice el ROPS.
• Que Watana versión 1.0.6, Firmeasy - Firma Digital versión 1.0 o cualquier otra entrada del ROPS sea una app de celular. La lista no dice el sistema en que corre cada programa.
• Que las versiones nuevas de las tiendas estén o no cubiertas por la acreditación, ni la vigencia de ninguna: el ROPS no trae fechas.
• Que una firma hecha con una app que no figura en el ROPS carezca de valor. Eso lo discute el pilar, y no encontramos jurisprudencia.
• Si el almacén seguro de un sistema operativo móvil cuenta como «módulo criptográfico certificado» en el sentido de la guía.
• A nombre de quién está el certificado de agente automatizado que menciona una de las fichas.
• Cuántas apps de firma hay en las tiendas. Vimos las que salieron en las búsquedas del 28 de octubre en la App Store de Perú y en Google Play; los resultados cambian.

La serie «El programa con que firmas»

Este es el quinto y último artículo del clúster. Los otros: el pilar sobre el software acreditado, firmar un PDF con ReFirma paso a paso, Firma Perú, firmar en Mac o en Linux y firmar con Adobe Acrobat.

Fuentes

Consultadas el 28 de octubre de 2026. Copias locales en reports/redaccion-diaria/; mfd-celular es 2026-10-28-notas/fuentes/mfd-celular.

• D.S. 052-2008-PCM, El Peruano, 19 de julio de 2008, artículos 7 a 10 y glosario. Copia: 2026-10-15-notas/fuentes/mfd-pilar/ds052_gobpe.txt.
• D.S. 029-2021-PCM, El Peruano, 19 de febrero de 2021, segunda disposición complementaria modificatoria (artículos 8, 10 y 15 del D.S. 052-2008-PCM). Copia: 2026-10-24-notas/fuentes/mfd-cadena/ds029_elperuano.txt.
• INDECOPI, Guía de Acreditación de Aplicaciones de Software de Firma Digital (SFD), versión 4.0, rev. 2016. Copia: 2026-10-25-notas/fuentes/mfd-pilar12/sfd-guia.txt.
• INDECOPI, ROPS al 21 de octubre del 2026 - Completo, vigente en gob.pe el 28 de octubre. Copias: mfd-celular/rops-21oct.xlsx (idéntico al del 25 de octubre), mfd-celular/rops-gobpe-28oct.html, 2026-10-25-notas/fuentes/mfd-pilar12/rops-21oct.txt y la búsqueda en mfd-celular/rops-busqueda-celular-28oct.txt.
• INDECOPI, lista de confianza TSL, secuencia 25, emitida el 10 de agosto de 2026. Copia: mfd-celular/tsl-pe-28oct.xml (idéntica a la del 25 de octubre).
• INDECOPI, Resolución 175-2024-DGI/INDECOPI, 24 de junio de 2024. Copias: mfd-celular/res175-2024.html, .pdf y .txt.
• Watana, página de descargas (28 de octubre de 2026). Copia: mfd-celular/watana-bare.html y .txt.
• Llama.pe, página de firma digital (28 de octubre de 2026). Copia: mfd-celular/llama-firma-28oct.html y .txt.
• Google Play, Watana y DNI DIGITAL (DNIe), fichas del 28 de octubre de 2026. Copias: mfd-celular/play-watana.html y .txt, mfd-celular/play-com.dnie_sign.midni.html y .txt.
• Apple, App Store de Perú, fichas de Watana, FirmEasy Signer e ID Firma Digital, leídas el 28 de octubre de 2026 por la API pública de búsqueda y consulta de iTunes. Copias: mfd-celular/itunes-watana.json, mfd-celular/itunes-lookup-watana.json y mfd-celular/itunes-firma-dnie.json.

Si lo que necesitas es un certificado con el que firmar desde el celular o el computador, en mifirmadigital.pe vendemos certificados digitales emitidos dentro de la Infraestructura Oficial de Firma Electrónica.

Última revisión: 28 de octubre de 2026.