El peritaje informático de una firma digital: qué examina el perito, qué pedirle y cómo se ofrece en el proceso

Una distribuidora de Trujillo demanda el pago de un suministro y presenta un contrato en PDF con la firma digital del gerente de la empresa compradora. El gerente dice que esa firma no es suya. El juez no resuelve en la audiencia: dice que hace falta una pericia. Es un caso inventado. Lo que sigue es lo que casi nadie ha visto antes de necesitarlo: qué mira el perito, qué puntos conviene proponerle y hasta cuándo se puede pedir, porque una pericia ofrecida tarde no se hace.

Este artículo es un satélite de Suplantación, fraude y disputas con la firma digital. La tacha, la nulidad y quién tiene que probar qué están en otro artículo de la serie y en la comparación por modalidades; aquí va lo que viene cuando el juez acepta una pericia. Leímos las normas el 18 de octubre de 2026. Esto no es asesoría legal.

Lo que dicen las normas sobre la pericia

Para el proceso civil usamos el Código Procesal Civil (D.Leg. 768, 4 de marzo de 1992) en la edición del Congreso, que anota enmiendas hasta 1997, y la Ley 30293 (El Peruano, 28 de diciembre de 2014), que reescribió el artículo 271. Para los artículos 262 a 270 no hallamos en fuente oficial un texto posterior, y tampoco una ley que los cambie; los citamos como están, sin poder descartar otra reforma.

La pericia procede cuando apreciar los hechos controvertidos «requiere de conocimientos especiales de naturaleza científica, tecnológica, artística u otra análoga» (artículo 262). Al ofrecerla se indican «con claridad y precisión, los puntos sobre los cuales versará el dictamen, la profesión u oficio de quien debe practicarlo y el hecho controvertido que se pretende esclarecer», y los peritos los designa el juez (263). Las partes pueden presentar informe de perito de parte en el mismo plazo, «siempre que lo hayan ofrecido en la oportunidad debida» (264). Los dictámenes son motivados, van «acompañados de los anexos que sean pertinentes» y se presentan «cuando menos ocho días antes de la audiencia de pruebas» (265); se pueden observar en la audiencia y ampliar por escrito en tres días (266). Paga el honorario quien ofrece la prueba, y si no lo hace en el plazo que el juez señale, este puede ordenar que se prescinda del medio probatorio, salvo que la otra parte ofrezca pagar (271, según la Ley 30293).

El artículo 4 del reglamento de la Ley 27269 (D.S. 052-2008-PCM, El Peruano, 19 de julio de 2008) añade que, si hay controversia sobre la validez de la firma digital, el juez «podrá solicitar a la Autoridad Administrativa Competente el nombramiento de un perito especializado en firmas digitales, sin perjuicio de lo dispuesto por los artículos 252, 264 y 268» del Código Procesal Civil. La Autoridad es INDECOPI (artículo 57). No encontramos norma que diga cómo se tramita ese nombramiento, y por eso no lo contamos.

En el proceso penal el reparto es otro. Según el Código Procesal Penal (D.Leg. 957, El Peruano, 29 de julio de 2004, artículos 172 a 181), el fiscal o el juez nombran al perito (173) y la parte designa al suyo «dentro del quinto día de notificados u otro plazo que acuerde el Juez» (177). El informe indica los criterios técnicos usados y no opina sobre la responsabilidad penal (178). Si hay informes discrepantes, se abre un debate pericial (181). No leímos reformas posteriores.

Quién puede ser perito

Los peritos que designa un juez salen de un registro judicial, regulado por la Directiva 008-2024-CE-PJ, versión 002, aprobada por la Resolución Administrativa 000436-2024-CE-PJ (acuerdo del Consejo Ejecutivo del 11 de diciembre de 2024): concurso público cada dos años (7.4.1), inscripción vigente un año, renovable por otro (7.4.8), y casilla electrónica obligatoria (6.3.2). Los honorarios los propone el perito tomando de referencia los de su colegio profesional y los aprueba el juez (6.5.1); no hay tarifa fija.

La directiva no usa la sigla REPEJ; aparece en la Resolución Administrativa 000511-2025-P-CSJSM-PJ (Moyobamba, 2 de junio de 2025), que aprueba la nómina de la Corte Superior de San Martín y manda que los jueces designen peritos por el «Módulo REPEJ» del Sistema Integrado Judicial. Es un registro por distrito judicial. No hallamos una lista nacional ni una especialidad de firma digital, y la directiva no habla de firmas.

Nuestra lectura: el artículo 264 no exige que el perito de parte esté inscrito, solo que se ofrezca a tiempo. Un abogado debe confirmarlo.

Qué examina el perito, y qué muestra pdfsig de cada paso

Ninguna norma fija el procedimiento técnico de una pericia de firma digital. Lo que sigue es el orden que nosotros usaríamos, y lo probamos con pdfsig (poppler 26.01.0). Hicimos PDF de prueba con una entidad de certificación ficticia, firmados con pyHanko 0.38.0, y miramos además una firma real, la de la resolución de San Martín bajada de gob.pe. Se puede repetir en casa.

1. Integridad. El perito calcula el hash de los bytes firmados y lo compara con el que lleva la firma. En nuestro PDF de prueba, SHA-256 de los dos rangos firmados dio 27c9719b…, igual al messageDigest de la firma (openssl cms -print), y pdfsig dijo «Signature is Valid». Cambiamos un solo dato, «S/ 1,000.00» por «S/ 9,000.00», sin tocar nada más: «Digest Mismatch».

2. Cobertura. Aquí pdfsig engaña a quien lee una sola línea. Añadimos al PDF firmado una actualización incremental que cambia el monto. La firma siguió siendo «Valid», porque los bytes firmados no cambiaron. Lo único distinto fue «Not total document signed», y pdftotext mostraba ya «S/ 9,000.00». El dictamen debe decir qué parte del documento está firmada.

3. Quién firmó. El certificado dice el titular. En la resolución real, el nombre distinguido incluye la entidad y un número de solicitud ante la entidad de registro. Ese número es el hilo para pedir el expediente de emisión (cómo). El perito dice de quién es el certificado, no quién tecleó el PIN: un PIN prestado da un archivo perfecto.

4. Cadena y lista de confianza. Con la entidad ficticia, pdfsig dijo «Certificate issuer isn't Trusted». Eso solo refleja la base de certificados de nuestra máquina: pdfsig no consulta la lista de confianza (TSL) de INDECOPI. El perito extrae los certificados (pdfsig -dump, openssl pkcs7 -print_certs), calcula sus huellas SHA-256 y las busca en iofe.indecopi.gob.pe/TSL/tsl-pe.xml. La lista que bajamos hoy es la secuencia 25, emitida el 10 de agosto de 2026, con 74 servicios y 73 certificados distintos. En la firma real, el certificado del firmante lo emitió «ECEP-RENIEC CA Class 3», que no figura como entrada propia; sí figura «ECEP-RENIEC», un nivel más arriba (huella 91520e1f…). Buscar solo al emisor inmediato habría dado «no está». Y los 74 servicios traen el historial vacío: que uno figure hoy no dice cómo figuraba el día de la firma (lectura nuestra).

5. Vigencia y revocación al firmar. La firma real es del 2 de junio de 2025 y su certificado vale del 11 de diciembre de 2024 al 11 de diciembre de 2025. Hoy pdfsig dice «Certificate has Expired». Es verdad hoy y no dice nada del 2 de junio: en nuestras pruebas evaluó el certificado en la fecha de la verificación, aunque la firma declarara una fecha anterior a la caducidad. Lo que sí responde es lo que la firma guardó dentro: una respuesta OCSP de la entidad, producida el 3 de junio de 2025 a las 02:04:23 UTC, evidencia del estado en ese momento. Cómo funcionan CRL y OCSP está en el artículo sobre revocación. Si pdfsig revisa también CRL no lo comprobamos; su ayuda solo menciona una opción OCSP.

6. La hora. Firmamos un PDF con el reloj puesto al 20 de septiembre y un sello de tiempo del 18 de octubre. pdfsig imprimió «Sep 20 2026» y no mencionó el sello, que es lo que prueba la hora (qué es) y hay que leer con otra herramienta. En la firma real, el atributo de hora dice 21:04:25 UTC del 2 de junio, el sello visible dice 21:04:25 con huso -05:00 (02:04:25 UTC del 3 de junio) y la respuesta OCSP es de las 02:04:23 UTC. Nuestra lectura: el programa anotó la hora de Lima como si fuera UTC, cinco horas de diferencia. No sabemos si importa en ese documento. Sí importa que el perito concilie los relojes y los nombre.

7. PAdES-LTV. Hicimos una firma con sello de tiempo del documento y datos de validación (/DSS, /CRLs, /VRI, /DocTimeStamp). pdfsig no nombra los datos de validación. Mostró el sello como «Signature #2», sin firmante, con fecha «Dec 31 1969» y «has not yet been verified», y marcó la firma 1 como «Not total document signed» porque todo eso se añadió después. Es la frase de alarma del paso 2 con otra causa, y pdfsig solo no basta para dictaminar sobre LTV. El validador oficial (qué comprueba) es otra comprobación que el perito puede citar.

Qué pedirle al perito

El artículo 263 pide puntos «con claridad y precisión». Una redacción posible, nuestra y no oficial:

1. Si el archivo recibido conserva los bytes firmados, con el hash SHA-256 del archivo entregado y del rango firmado.
2. Qué partes del documento cubre la firma y si hay actualizaciones posteriores, de qué tipo.
3. Quién es el titular del certificado, qué entidad de certificación lo emitió y qué entidad de registro verificó la identidad.
4. Si la cadena llega a un servicio de la lista de confianza de INDECOPI y desde qué fecha figura.
5. Si el certificado estaba vigente y no cancelado en el momento de firmar, y con qué evidencia.
6. Qué hora consta, de qué fuente (sello de tiempo, reloj del firmante, registro del proveedor), y si las fuentes concuerdan.
7. Qué software y versión usó, con las salidas completas como anexo (el 265 pide dictamen motivado y con anexos).

Si la firma fue remota, el registro de eventos es otra fuente, y el reglamento obliga a la entidad de certificación a mantener un depósito de certificados emitidos y cancelados, con fecha de emisión y vigencia, y la información de cada certificado un mínimo de diez años desde su cancelación (artículo 26 d y g).

Cómo se ofrece en el proceso civil

1. En el escrito donde ofreces los medios probatorios, con los tres elementos del 263: puntos, profesión u oficio, hecho controvertido. Si vas a presentar perito de parte, dilo ahí, porque el 264 lo condiciona a haberlo ofrecido en la oportunidad debida.
2. Conserva el original, sin abrirlo y guardarlo de nuevo. Una impresión o un PDF vuelto a guardar ya no tiene la firma, y el perito no tiene qué examinar. Anota el hash del archivo el día que lo recibes.
3. Prevé el honorario. Lo paga quien ofrece la prueba (271). Si no depositas en el plazo, el juez puede prescindir de la pericia.
4. El dictamen entra ocho días antes de la audiencia de pruebas y se explica en ella (265).
5. Si la firma es remota, pide que se oficie al proveedor por registros y expediente. Que haga falta orden judicial es lectura nuestra, apoyada en que el reglamento reserva la confidencialidad «salvo orden judicial» (artículos 26 f y 30 c).

Lo que sale mal

• Leer solo «Valid». Los pasos 2 y 5 lo muestran: un documento cambiado puede dar «Valid», y uno bien firmado puede dar «Expired».
• No guardar el original. Sin él no hay bytes firmados que calcular.
• Pedir la pericia tarde (264) o sin puntos precisos: el dictamen responde lo que el perito cree que importa.
• Creer que la pericia resuelve la autoría. Prueba el estado técnico de la firma; la autoría la deciden el artículo 2A y los hechos (ver el artículo del juicio). Si ya firmaron con tu certificado, empieza por cancelar y denunciar.

Para firmar la próxima vez dejando dentro del archivo la hora y los datos de validación, pregunta al proveedor, antes de comprar, qué nivel PAdES entrega (qué decidir al integrar). El catálogo de certificados está en mifirmadigital.pe.

Lo que este artículo no afirma

• Cómo nombra INDECOPI a un perito, ni su trámite. El reglamento dice que el juez puede pedirlo; no hallamos más.
• El texto vigente completo del Código Procesal Civil. Los artículos 262 a 270 son los de la edición del Congreso con enmiendas hasta 1997; el 271, el de la Ley 30293 (2014). Pueden existir reformas posteriores.
• El Código Procesal Penal actual. Leímos la edición de 2004, no sus reformas.
• Que haya un REPEJ nacional ni una especialidad de firma digital. Solo vimos la nómina de una corte y la directiva.
• Honorarios en soles. La directiva no fija tarifa y no encontramos una.
• Cómo valoran los jueces estas pruebas. No buscamos jurisprudencia.
• Que pdfsig sea un instrumento aceptado en juicio ni que un perito deba usarlo. Es lo que pudimos probar nosotros.
• Que pdfsig revise CRL, o que se comporte igual en otras versiones o con otros PDF.** Probamos la versión 26.01.0, ocho PDF firmados propios con una entidad ficticia y un PDF real.
• Un error en el documento real. La diferencia de cinco horas es lectura nuestra y no sabemos su efecto.
• Que la TSL diga cómo figuraba un servicio en una fecha pasada.
• Que el texto del reglamento esté al día en los artículos 4, 26, 30 y 57. Citamos el de 2008; el D.S. 029-2021-PCM solo toca el literal h) del 57, pero no revisamos otros decretos.

Cuando termines, vuelve al mapa del problema en Suplantación, fraude y disputas con la firma digital.

Última revisión: 18 de octubre de 2026.

Fuentes

Consultadas el 18 de octubre de 2026.

• Código Procesal Civil, Decreto Legislativo 768, 4 de marzo de 1992, edición del Congreso: artículos 252, 258 y 262 a 271.
• Ley 30293, El Peruano, 28 de diciembre de 2014: artículo 2, nuevo texto del artículo 271 (escaneo leído con OCR).
• Código Procesal Penal, Decreto Legislativo 957, El Peruano, 29 de julio de 2004: artículos 172 a 181 (escaneo leído con OCR).
• Ley 27269, 28 de mayo de 2000, con la Ley 27310.
• D.S. 052-2008-PCM, El Peruano, 19 de julio de 2008: artículos 4, 26, 30 y 57.
• D.S. 029-2021-PCM, 19 de febrero de 2021: artículo 2A incorporado.
• Resolución Administrativa 000436-2024-CE-PJ, diciembre de 2024 (acuerdo del 11 de diciembre), y su Directiva 008-2024-CE-PJ, versión 002: numerales 6.3.2, 6.5.1, 7.4.1 y 7.4.8.
• Resolución Administrativa 000511-2025-P-CSJSM-PJ, Corte Superior de Justicia de San Martín, 2 de junio de 2025: nómina REPEJ 2025, y el PDF firmado que usamos como ejemplo real.
• Lista de confianza (TSL) de INDECOPI, secuencia 25, emitida el 10 de agosto de 2026.
• Pruebas propias con pdfsig 26.01.0 (poppler) del 18 de octubre de 2026; los archivos y las salidas están guardados en reports/redaccion-diaria/2026-10-18-notas/fuentes/mfd-peritaje/pruebas-pdfsig/.