Pruebas de la firma
Cada firma lleva consigo las pruebas de cómo se produjo
Quién abrió el documento, cuándo, desde qué dirección, con qué código: kSign lo registra paso a paso, lo enlaza con una cadena de huellas digitales y lo entrega en un certificado que cualquiera puede verificar con un QR. Si algún día alguien impugna una firma, no tienes que reconstruir nada.
El valor de una firma electrónica está en sus pruebas
El reglamento eIDAS reconoce valor a la firma electrónica, pero ante una impugnación cuenta lo que puedes demostrar: que el firmante era realmente esa persona, que vio ese documento y no otro, que el archivo no ha cambiado después. kSign reúne estas pruebas mientras la firma ocurre, no después, y las guarda junto al documento. Los instantes están en UTC y las fechas en formato ISO, para que nadie malinterprete una hora o un día.
Cómo funciona
-
Cada paso deja un rastro
Carga, envío, apertura del enlace, código OTP enviado y verificado, verificación con CIE, firma o rechazo: cada evento se registra con su instante, dirección IP y una huella SHA-256 que incluye la del evento anterior.
-
Con la firma completada, el documento se cierra
kSign aplica en el PDF una firma criptográfica con sello de tiempo RFC 3161, genera para cada firmante un certificado de firma con la huella del documento y un QR, y cierra el registro de eventos.
-
Cualquiera puede comprobarlo
El QR del certificado abre una página pública de verificación: estado de la solicitud, firmantes, integridad de la cadena de eventos. Quien tiene el PDF original lo carga y ve al instante si la huella coincide.
Una firma vale lo que valen las pruebas que puedes mostrar.
Qué puedes hacer
-
Cadena de hashes SHA-256
Cada evento está ligado al anterior por su huella: si alguien altera uno, la cadena deja de cuadrar y la verificación lo señala. La cronología de la solicitud muestra todos los pasos en orden, firmante por firmante.
-
Registro de eventos descargable
Desde la solicitud descargas el registro de eventos en PDF, legible para un abogado o un juez, y en JSON para quien quiera recomprobar las huellas por su cuenta. También se guarda una copia en un almacenamiento separado de la base de datos.
-
Certificado de firma con QR
Uno por cada firmante: datos de la persona, huella del documento, detalles de la firma, nivel (simple o avanzada con CIE) con las referencias normativas, y el QR que lleva a la página de verificación.
-
Firma criptográfica y sello de tiempo
El PDF firmado contiene una firma digital que cubre todo el archivo y un sello de tiempo RFC 3161 emitido por una autoridad de sellado pública: cualquier cambio posterior invalida la firma. Con varios firmantes en el mismo documento la firma criptográfica es una sola, aplicada después del último.
-
Anclaje OpenTimestamps
Si lo activas, al cierre la huella del registro se ancla a la blockchain de Bitcoin mediante OpenTimestamps. A partir de ese momento cualquier cambio posterior en el registro se detecta, y la prueba se descarga en formato .ots para verificarla con herramientas independientes.
-
Documentos cifrados en reposo
El original, el PDF firmado y los certificados se guardan cifrados con AES-256-GCM, con una clave distinta para cada empresa. Las huellas se calculan sobre el documento antes del cifrado, así que la verificación funciona con el PDF que tienes en la mano.
Preguntas frecuentes
¿Se puede modificar el registro de eventos?
Nadie lo modifica desde la aplicación, y la cadena de hashes saca a la luz una alteración parcial de los eventos. Para tener además un punto fijo en el tiempo, activa el anclaje OpenTimestamps: la huella del registro cerrado queda fijada en la blockchain de Bitcoin y cualquier cambio posterior se vuelve detectable por quien tenga la prueba .ots. El peso probatorio de la firma, en cualquier caso, procede sobre todo de la identidad del firmante: el código OTP por SMS y, en la firma avanzada, la CIE.
¿Qué muestra la página pública de verificación, y a quién?
Llega a ella quien tiene el QR o el enlace del certificado. Muestra título y estado de la solicitud, los firmantes con el correo parcialmente oculto, si verificaron el código, la integridad de la cadena y la lista de eventos con instante y huella. El PDF que cargas para la comparación no se envía a nadie: la huella se calcula en tu navegador.
¿Qué veo si abro el PDF firmado en un lector como Acrobat?
En el panel de firmas encuentras la firma digital con su sello de tiempo, y el lector te avisa si el archivo se ha modificado después. El certificado técnico lo genera kSign y no una autoridad de certificación incluida en las listas de confianza, así que el lector indica la identidad como no verificada: la identidad del firmante la prueban el registro de eventos y el certificado de firma, no ese certificado técnico.
¿El sello de tiempo es cualificado?
No. El sello dentro del PDF sigue el estándar RFC 3161 y lo emite una autoridad de sellado pública, no cualificada según eIDAS. Quien necesite el sello de tiempo cualificado (art. 42 eIDAS) lo encuentra en la lista de precios como extensión aparte: pregúntanos plazos y condiciones de activación antes de contar con él.
¿Dónde acaban los documentos firmados, y quién puede leerlos?
Se guardan cifrados con AES-256-GCM y una clave propia de tu empresa: incluso quien accediera al almacenamiento sin esa clave solo vería datos ilegibles. En la aplicación los abre quien tiene permisos sobre la solicitud, y cada firmante recibe por correo la copia firmada cuando el documento está completo.
Las demás funcionalidades de kSign
Firma los documentos de tu empresa con kSign
Solicita una demo: te mostramos cómo kSign hace que la firma sea rápida, conforme y no repudiable.
Alex