Validar una firma digital: qué comprueba de verdad el validador del Estado
Validar una firma parece una operación binaria: se sube el archivo, sale verde o sale rojo. En la práctica son cuatro comprobaciones independientes que se presentan juntas, y confundirlas explica la mayoría de las discusiones que terminan en «pero si a mí me salía bien».
El Estado peruano ofrece su propio validador en apps.firmaperu.gob.pe. Es la referencia práctica, porque es la herramienta que va a usar la contraparte cuando quiera comprobar tu documento sin fiarse de ti.
Lo primero: qué formatos entiende
El propio validador lo dice: «Puedes validar las firmas generadas con formatos estandarizados como PAdES, XAdES o CAdES. Otros formatos pueden dar resultados no concluyentes».
«No concluyentes» no es «inválidas». Es peor para quien tiene que probar algo: la herramienta oficial no se pronuncia. Si tu sistema produce un envoltorio propio o una firma en un formato que no está en esa lista, el documento puede ser criptográficamente impecable y aun así dejarte sin la comprobación que otros aceptan.
También conviene saber que el sitio advierte que «los documentos cargados no se almacenan en el servidor, se eliminan luego de la validación de firmas». Es la respuesta a la pregunta que siempre aparece cuando alguien va a subir un contrato.
Las cuatro comprobaciones
Una validación de firma responde cuatro preguntas distintas. Cuando la interfaz las resume en un solo resultado, se pierde la información que importa.
1. ¿El documento cambió después de firmarse? Es la única puramente matemática y la única que no caduca. Si el archivo se modificó en un byte, falla siempre y para siempre.
2. ¿Quién firmó? El certificado incluido en la firma identifica al titular. Aquí es donde se ve si firmó una persona, una empresa o un proceso automático, y por eso importa haber elegido bien el tipo de certificado antes de integrar.
3. ¿El certificado pertenece a la cadena de confianza? Es decir, si lo emitió una entidad de certificación acreditada dentro de la Infraestructura Oficial de Firma Electrónica. El artículo 6 del D.S. 052-2008-PCM enumera las cuatro vías por las que un certificado está dentro: emitido por entidad acreditada, incorporado por certificación cruzada, reconocido por acuerdo mutuo, o emitido por entidad extranjera incorporada por reconocimiento.
4. ¿El certificado estaba vigente y sin revocar en el momento de firmar? Esta es la que se rompe con el tiempo, y merece su propio apartado.
Por qué una firma que hoy valida puede no validar en 2029
Los certificados caducan. Se revocan. Las entidades que publican las listas de revocación cambian de infraestructura.
Cuando un validador comprueba el punto 4, necesita saber dos cosas: en qué momento se firmó y cuál era el estado del certificado en ese momento. Si la firma no lleva sello de tiempo, la única fecha disponible es la que declaró el equipo que firmó, que no acredita nada frente a un tercero. Y si la firma no incrusta los datos de validación del momento en que se hizo, el validador tiene que ir a buscarlos ahora, a un servicio que puede haber dejado de responder.
Ese es el motivo real por el que existen los niveles de firma con sello de tiempo y con datos de validación, que explicamos en PAdES, XAdES y las decisiones que no se pueden deshacer. No son un lujo de conformidad: son la diferencia entre un documento que se verifica solo dentro de diez años y uno que depende de que un servidor ajeno siga en pie.
Si tienes que quedarte con una regla: valida hoy los documentos que firmaste hace tres años. Es la prueba que revela si tu integración envejece bien, y es gratis.
Qué dice la norma cuando la validación no zanja la discusión
El artículo 4 del reglamento cubre el caso, y conviene conocerlo antes de necesitarlo: «La comprobación de la validez de un documento firmado digitalmente se realiza en un ambiente electrónico aplicando el Software de Verificación de la firma digital. En caso de controversia sobre la validez de la firma digital, el Juez podrá solicitar a la Autoridad Administrativa Competente el nombramiento de un perito especializado en firmas digitales».
Dos consecuencias prácticas. La primera es que la comprobación es un acto técnico previsto por la norma, no una opinión: hay un procedimiento y hay una autoridad, que es INDECOPI. La segunda es que la controversia se resuelve con un perito examinando el documento, así que todo lo que tu sistema haya incrustado en la firma —cadena de certificados, sello de tiempo, datos de revocación— es material que ese perito va a poder usar. Lo que no esté dentro del archivo, no existe.
Y cuando la firma sí es válida, el artículo 8 hace el resto del trabajo: presume que el suscriptor tenía el control exclusivo de su clave privada, que se firmó con ella y que el documento no se alteró después. Con la consecuencia expresa de que «el suscriptor no podrá repudiar o desconocer un documento electrónico que ha sido firmado digitalmente usando su clave privada».
Los cuatro fallos que aparecen de verdad
Por orden de frecuencia en integraciones nuevas:
- El documento se «optimizó» después de firmarse. Un servicio de compresión de PDF, un flujo que rasteriza para reducir tamaño, un antivirus que reescribe el archivo. La firma detecta el cambio y falla. Es correcto que falle.
- Se firmó con un certificado de pruebas. Válido matemáticamente, fuera de la IOFE. El validador no lo reconoce como cadena de confianza.
- La firma no lleva sello de tiempo y el certificado ya caducó. El documento sigue íntegro, pero nadie puede acreditar que se firmó cuando el certificado estaba vigente.
- El formato no es ninguno de los tres reconocidos. Resultado no concluyente, que en una discusión equivale a no tener validación.
Los cuatro se detectan antes de producción con una prueba de diez minutos: firma un documento con el flujo real, súbelo al validador oficial y mira qué dice. Después repite la prueba con un documento firmado hace meses.
Antes de integrar, comprueba lo que vas a poder demostrar
Si estás montando la integración, los requisitos legales que la sostienen —certificado dentro de la IOFE, software de firmas acreditado y conservación— están en la guía completa de integración.
Y si lo que necesitas es el certificado con el que firmar, en Mi Firma Digital emitimos dentro de la IOFE para personas naturales, jurídicas y agentes automatizados. Escríbenos con el caso concreto: qué firma, quién firma y cuántos años tiene que durar la verificación. Esas tres respuestas determinan el certificado, y es más barato acertarlas antes.