Qué es un certificado de firma y un registro de auditoría
El certificado de finalización y el registro de auditoría son los dos documentos técnicos que respaldan la validez de una firma electrónica: el certificado resume el resultado del proceso de firma, y el registro de auditoría (audit trail) documenta cada evento relevante que ocurrió durante ese proceso, desde el envío del documento hasta la firma final de cada participante.
Qué contiene un certificado de finalización
El certificado de finalización es el documento que se genera automáticamente cuando todos los firmantes requeridos completan su parte. Normalmente incluye:
- Identificación del documento: nombre del archivo, número de páginas, y un identificador único de la solicitud de firma.
- Identificación de cada firmante: nombre, dirección de correo electrónico usada para el envío, y el momento exacto en que completó su firma.
- Hash criptográfico del documento final: una huella digital única calculada sobre el archivo firmado, que permite verificar si el documento se modificó después de generarse el certificado.
- Resumen del proceso: cuántos firmantes participaron, en qué orden (si se configuró un orden de firma), y el estado final de la solicitud.
- Sello de tiempo: la fecha y hora en que se completó el proceso, a menudo respaldada por un sello de tiempo conforme al RFC 3161, que certifica el momento de forma independiente al propio sistema de firma.
Este certificado suele adjuntarse al documento firmado o entregarse como un archivo independiente, y sirve como evidencia resumida de que el proceso se completó correctamente.
Qué contiene un registro de auditoría
Mientras que el certificado resume el resultado, el registro de auditoría documenta el proceso completo, evento por evento. Un registro de auditoría robusto suele capturar:
- Envío del documento: cuándo se envió la solicitud de firma a cada destinatario.
- Apertura o visualización: cuándo cada firmante abrió el documento por primera vez, y desde qué dirección IP.
- Cada acción de firma: el momento exacto en que cada firmante completó su firma, iniciales o campos asignados, junto con la dirección IP y, a menudo, información del navegador o dispositivo usado.
- Eventos intermedios: recordatorios enviados, visualizaciones adicionales, o cualquier otra interacción relevante durante el proceso.
- Encadenamiento mediante hashes: cada evento del registro se vincula criptográficamente con el anterior, de forma que modificar un solo evento rompería la cadena completa y sería detectable.
Este encadenamiento es lo que convierte a un registro de auditoría en una pieza de evidencia especialmente sólida: no basta con alterar un único registro para falsificar la historia del proceso, porque esa alteración sería matemáticamente detectable al verificar la cadena completa.
Un hash criptográfico es una función matemática que convierte cualquier dato —un documento, un evento de auditoría— en una cadena de caracteres de longitud fija, de forma que cualquier cambio mínimo en el dato original produce un hash completamente distinto. Cuando un registro de auditoría encadena cada evento incluyendo el hash del evento anterior, se crea una estructura similar a la de una cadena de bloques simplificada: alterar un evento antiguo requeriría recalcular los hashes de todos los eventos posteriores, lo que hace que cualquier manipulación sea detectable al comparar la cadena almacenada con una verificación independiente.
Tabla comparativa
| Elemento |
Certificado de finalización |
Registro de auditoría |
| Qué documenta |
El resultado final del proceso |
Cada evento individual del proceso |
| Formato típico |
Un resumen, a menudo en PDF |
Una lista cronológica de eventos |
| Uso principal |
Evidencia rápida de que el documento se firmó |
Evidencia detallada ante una disputa |
| Contiene hash del documento |
Sí |
Sí, de cada evento relevante |
| Contiene dirección IP de cada firmante |
Normalmente no en detalle |
Sí, por cada acción registrada |
Cómo se usan ante una disputa
Si la validez de una firma se cuestiona formalmente, el certificado de finalización suele ser el primer documento que se presenta como evidencia resumida, mientras que el registro de auditoría completo respalda ese certificado con el detalle de cada paso del proceso: quién recibió el documento, cuándo lo abrió, desde qué dirección IP firmó, y si el archivo final coincide exactamente con el hash calculado en el momento de la firma. Cuanto más completo y verificable sea este registro, más difícil resulta impugnar que el proceso de firma se completó correctamente.
No todas las plataformas de firma electrónica generan el mismo nivel de detalle en su certificado y registro de auditoría. Al evaluar una plataforma, conviene confirmar que: calcula un hash del documento en el momento de cada firma, registra la dirección IP y el dispositivo de cada firmante, documenta la secuencia completa de eventos con marcas de tiempo, y —idealmente— incluye un sello de tiempo conforme al RFC 3161 para certificar el momento de forma independiente.
Diferencias entre un registro de auditoría débil y uno robusto
No todos los registros de auditoría ofrecen el mismo nivel de protección. Un registro débil podría limitarse a anotar "documento firmado el [fecha]" sin más contexto, lo que aporta poca evidencia verificable ante una disputa real. Un registro robusto, en cambio, documenta cada paso de forma granular y verificable de forma independiente: separa claramente el momento del envío, la apertura y la firma; registra la dirección IP exacta de cada acción, no solo un resumen; calcula y almacena el hash del documento en cada etapa relevante, no solo al final; y permite exportar o verificar esa cadena de eventos sin depender de que la plataforma original siga operativa en el futuro. Esta diferencia rara vez se nota cuando todo funciona bien, pero se vuelve crítica precisamente en el escenario para el que existe: cuando alguien cuestiona si un documento se firmó realmente, cuándo, o si se modificó después.
Genera certificados y registros de auditoría completos
Cada documento firmado en Esignapi incluye un certificado de finalización y un registro de auditoría encadenado mediante hashes, con identificación del firmante, dirección IP, marca de tiempo de cada evento, y sello de tiempo RFC 3161 — accesible vía la API REST para integrarlo directamente en tus propios flujos.
Preguntas frecuentes
¿El certificado de finalización reemplaza al documento original firmado?
No. El certificado es un resumen del proceso de firma que acompaña al documento; el documento firmado en sí, con las firmas incrustadas, es el archivo que tiene efecto legal.
Depende de la plataforma. Las mejores prácticas incluyen hashes verificables de forma independiente y, cuando se usa, un sello de tiempo RFC 3161 que puede validarse mediante la autoridad de sellado de tiempo correspondiente, sin depender exclusivamente del sistema que generó el certificado.
¿Qué pasa si pierdo el registro de auditoría de un documento?
Sin el registro de auditoría, el documento firmado sigue existiendo, pero resulta más difícil demostrar los detalles del proceso (identificación del firmante, momento exacto, integridad) si alguna vez se disputa. Por eso conviene conservar el registro de auditoría junto con el documento, no solo el archivo final.
¿Cuánto tiempo debo conservar el certificado y el registro de auditoría?
Depende del tipo de documento y de los plazos de prescripción legal aplicables en tu jurisdicción para disputas relacionadas con ese contrato. Como práctica general, conservarlos durante toda la vigencia del documento y un periodo razonable después es lo más prudente.
¿Un registro de auditoría sirve igual para firma simple, avanzada y cualificada?
Sí, el concepto de registro de auditoría aplica a los tres niveles, aunque la cantidad y el rigor de la evidencia que respalda ese registro suele ser mayor cuanto más alto es el nivel de firma, especialmente en la cualificada, donde se añade la cadena de confianza del certificado digital.