Qué pruebas técnicas fortalecen una firma avanzada (hash, sellos y logs)

Más allá del clic: por qué una firma avanzada es robusta

Una firma electrónica avanzada no es un botón, un trazo en pantalla ni un OTP por SMS. El valor jurídico de una firma avanzada no está en el “gesto de firmar”, sino en las pruebas técnicas que permiten demostrar:

• quién firmó,
• qué documento se firmó,
• cómo se identificó al firmante,
• cuándo se realizó la firma,
• y que el documento no ha sido alterado después.

El artículo 26 del Reglamento eIDAS establece estos requisitos, pero no describe la tecnología necesaria para cumplirlos. Esa responsabilidad recae en el proveedor del servicio de firma.

En este artículo explicamos las evidencias técnicas que hacen que una firma avanzada sea realmente avanzada.

1. Hash criptográfico: la huella digital del documento

El hash es una función criptográfica que genera una huella única de un conjunto de datos cualquiera, como por ejemplo un documento. Si el documento cambia una sola coma, el hash que se obtiene del mismo cambia por completo.

Ejemplo (abreviado):

Qué aporta a la firma avanzada:

• Garantiza que el documento firmado no se ha modificado.
• Vincula la firma a un documento específico.
• Permite verificar la integridad incluso años después.

2. Identificación del firmante y control exclusivo

eIDAS exige vincular la firma al firmante mediante “datos de creación bajo su control exclusivo”.

Esto se consigue mediante evidencias como:

• Solicitud enviada por email certificado, que vincula identidad y canal.
• OTP por SMS certificado, que demuestra posesión del número.
• Enlace seguro único (token de un solo uso).

Cuantas más evidencias independientes confluyen, más inequívoca es la identificación.

3. Logs detallados del proceso de firma

Los logs documentan todo lo que ocurrió durante la firma:

• Envíos, aperturas e intentos.
• Dirección IP y dispositivo.
• Validaciones de identidad.
• Resultado final de la firma.

Ejemplo:

Para ser válidos, los logs deben estar:

• firmados,
• ser inmutables,
• y conservarse con custodia técnica.

4. Evidencia de integridad del proceso

Una firma avanzada protege no solo el documento, sino todo el flujo:

• Registros (logs) de cada paso.
• Enlaces con expiración y tokens seguros.
• Verificación de integridad del PDF final.

Esto demuestra que la firma no pudo ser interceptada o alterada.

5. El paquete de evidencias (audit trail)

El resultado de una firma avanzada no es simplemente un PDF firmado. Debe generarse un paquete de evidencias verificable:

• Documento firmado.
• Hashes y metadatos.
• Sello de tiempo.
• Logs completos.
• Firma digital del prestador.

En eEvidSign, este conjunto forma un Evidence Audit listo para litigios o auditorías.

Cómo difiere de una firma simple

Ambas son válidas, pero se usan en contextos distintos según el riesgo jurídico.

Cuándo son necesarias todas estas pruebas

• Contratos comerciales.
• RRHH (contratos, anexos, autorizaciones).
• Sectores regulados.
• Procesos susceptibles de impugnación.

Conclusión

La firma avanzada no consiste en “dibujar” una firma sobre un documento. Es un sistema de hashes, sellos, logs y evidencias que demuestra:

• quién firmó,
• qué firmó,
• cómo se identificó,
• y que el documento no cambió.

Sin estas pruebas, una firma avanzada no es realmente avanzada.

Con soluciones como eEvidSign de eEvidence, las empresas obtienen evidencia técnica completa, lista para auditorías o litigios.