Cómo validar un documento firmado electrónicamente
Cómo comprobar quién firmó, cuándo y si el documento fue alterado después. Qué significa cada resultado del validador.
Actualizado el
Recibes un PDF que dice estar firmado. ¿Cómo sabes que es cierto? El sello azul que se ve en la página no prueba nada por sí solo: cualquiera puede dibujar un recuadro parecido. Lo que prueba algo es la firma criptográfica que va dentro del archivo, y esa hay que verificarla.
Qué comprueba realmente una validación
Un validador responde a tres preguntas distintas, y conviene no mezclarlas:
- ¿Quién firmó? Sale del certificado incrustado en el documento: nombre, cédula o RUC y qué entidad lo emitió.
- ¿El documento cambió después de firmarse? Al firmar se calcula un resumen del contenido exacto del archivo. Si alguien altera una letra, el resumen deja de coincidir y la firma se declara inválida.
- ¿El certificado servía en ese momento? Es decir, si estaba vigente, si no había sido revocado y si la entidad que lo emitió está acreditada.
Estas tres son independientes. Un documento puede tener una firma matemáticamente correcta hecha con un certificado ya caducado, y entonces la respuesta honesta no es «válido» ni «inválido», sino «firmado por esta persona, pero con un certificado que ya no estaba vigente».
Cómo validar un documento en Ecuador
La referencia es el validador del Estado, en firmadigital.gob.ec. Reconoce las entidades de certificación acreditadas en el país, que es justo lo que un lector de PDF genérico no sabe hacer.
Ese es el punto importante: si abres un documento ecuatoriano en un lector extranjero, puede advertirte de que «la identidad del firmante es desconocida». Casi nunca significa que la firma sea falsa; significa que ese programa no tiene en su lista a la entidad que emitió el certificado. El validador oficial sí la tiene.
Cómo interpretar los resultados
- Firma válida. El contenido no se ha modificado desde que se firmó y el certificado era correcto. Es lo que esperas ver.
- El documento fue modificado. Alguien alteró el archivo después de firmarlo. Puede ser malicioso o simplemente que se reguardó desde un editor que reescribió el PDF. En cualquier caso, esa firma ya no respalda este archivo.
- Identidad desconocida o no confiable. Suele ser la falta de reconocimiento de la entidad emisora, no un fraude. Prueba con el validador oficial antes de alarmarte.
- Certificado caducado o revocado. La firma se hizo con un certificado que no estaba en condiciones. Convendría pedir que vuelvan a firmar el documento.
La fecha de la firma merece una nota aparte
Una firma electrónica corriente guarda la fecha y hora del equipo de quien firmó. Y el reloj de una computadora se puede cambiar. Eso significa que la fecha que ves es una declaración del firmante, no una prueba.
Cuando la fecha importa de verdad —plazos, licitaciones, prescripciones— existe el sellado de tiempo: una autoridad independiente certifica que el documento existía en un instante concreto. Es un servicio adicional al de la firma.
Si un documento debía firmarse antes de una fecha límite, comprueba si lleva sellado de tiempo. Sin él, la hora que muestra el archivo no acredita nada por sí sola.
Documentos con varias firmas
Cuando varias personas firman el mismo PDF, cada firma cubre el estado del documento en el momento en que se aplicó. El validador debería mostrarlas todas, con su firmante y su fecha.
Si una firma antigua aparece como inválida mientras las nuevas están bien, lo habitual es que alguien reescribiera el archivo al añadir su firma en lugar de agregarla sin tocar lo anterior. Una herramienta que firme correctamente no invalida las firmas previas.