Cómo verificar la autenticidad de un documento firmado
Verificar la autenticidad de un documento firmado electrónicamente consiste en comprobar que el archivo no se modificó después de la firma, usando el hash criptográfico que la plataforma calculó en el momento de firmarlo y el certificado de finalización que lo acompaña. Si el archivo cambia aunque sea mínimamente después de firmarse, el hash deja de coincidir, y eso es lo que permite detectar una alteración.
Por qué hace falta verificar un documento firmado
Un PDF se puede modificar con relativa facilidad después de generarse, por eso no basta con que un documento "se vea firmado" para confiar en él. La verificación resuelve dos preguntas distintas: si la firma realmente corresponde a la persona que dice haber firmado, y si el contenido del documento sigue siendo exactamente el mismo que se firmó, sin ninguna alteración posterior.
Qué contiene el certificado de finalización
Cuando un documento termina su proceso de firma, se genera un certificado de finalización junto al PDF firmado. Ese certificado normalmente incluye:
- El hash criptográfico del documento firmado.
- La identidad de cada firmante (nombre, correo, dirección IP desde la que firmó).
- La fecha y hora de cada evento del proceso (envío, apertura, firma).
- Un sello de tiempo conforme al RFC 3161, que certifica de forma independiente cuándo ocurrió la firma.
Puedes ver el detalle completo de qué incluye en qué es un certificado de firma y un registro de auditoría.
Cómo verificar un documento paso a paso
- Localiza el certificado de finalización que recibiste junto al documento firmado (normalmente llega por correo en el mismo envío que el PDF final, o está disponible para descarga desde la plataforma).
- Compara el hash del documento que tienes con el hash registrado en el certificado. Si coinciden, el archivo no se modificó desde que se firmó.
- Si la plataforma ofrece una página de verificación pública, normalmente basta con el enlace o el identificador del documento para que compruebe automáticamente la integridad, sin que tengas que calcular el hash manualmente.
- Revisa el registro de auditoría para confirmar que la secuencia de eventos (quién firmó, cuándo, desde dónde) coincide con lo esperado.
Qué significa que el hash no coincida
Si al verificar un documento el hash calculado no coincide con el registrado en el certificado, significa que el archivo fue modificado después de firmarse —aunque sea un cambio mínimo, como abrir el PDF con otro programa y guardarlo de nuevo puede alterar el hash—. En ese caso, el documento no debería considerarse una copia fiel de lo que realmente se firmó.
La cadena de hashes del registro de auditoría
Además del hash del documento en sí, el registro de auditoría (audit trail) que acompaña al proceso de firma suele estar encadenado mediante hashes: cada evento registrado incluye un hash que depende del evento anterior, de forma que modificar cualquier entrada del registro rompería la cadena completa, no solo esa entrada. Esto hace que alterar el historial del proceso sin que se note sea mucho más difícil que simplemente borrar o editar un registro.
Con qué frecuencia conviene verificar un documento
No hace falta verificar cada documento firmado de forma rutinaria: en la práctica, la verificación cobra sentido en momentos concretos, como antes de presentar un documento como evidencia, al recibir una copia de un documento de un tercero que quieres confirmar que es auténtica, o si tienes alguna razón para sospechar que un archivo pudo haberse alterado. Para el uso cotidiano, basta con confiar en que el documento descargado directamente desde la plataforma de firma es el original, sin necesidad de verificar cada vez.
Qué revisar si no tienes acceso a una herramienta de verificación
Si la plataforma donde se firmó el documento no ofrece una herramienta pública de verificación, todavía puedes revisar manualmente que la fecha y hora del certificado coincidan con lo que recuerdas del proceso, que los nombres y correos de los firmantes sean correctos, y que el número de páginas del documento coincida con el original. No sustituye a una verificación criptográfica real del hash, pero ayuda a detectar inconsistencias evidentes mientras consigues una forma más formal de confirmar la integridad del archivo.
Verificación visual vs. verificación criptográfica
Es importante distinguir entre revisar visualmente que un documento "parece" correcto y verificar criptográficamente que lo es. A simple vista, un PDF modificado puede verse idéntico al original; la única forma confiable de confirmar que no hubo cambios es comparando el hash, no solo mirando el contenido.
Qué hacer si necesitas presentar un documento firmado como evidencia
Si un documento firmado electrónicamente necesita presentarse como evidencia —en una disputa comercial, por ejemplo—, no basta con adjuntar el PDF: conviene incluir también el certificado de finalización completo, que es lo que permite a un tercero (un abogado, un tribunal, una contraparte) confirmar de forma independiente que el documento no se alteró y que la firma corresponde a quien dice haber firmado. Ver la firma electrónica como prueba: qué evidencia genera para más detalle sobre este escenario específico.
Si recibiste un documento que alguien firmó usando una plataforma distinta a la que tú usas habitualmente, normalmente el proceso de verificación es similar: cada plataforma genera su propio certificado con su propio hash, y lo que necesitas revisar es si esa plataforma específica ofrece una forma de confirmar la integridad del documento, ya sea comparando el hash manualmente o usando su propia herramienta de verificación pública si la tiene.
Qué transmite un documento verificable a la otra parte
Más allá de tu propia tranquilidad, que un documento sea fácilmente verificable también genera confianza en la otra parte del acuerdo: si alguien puede confirmar por su cuenta que el documento no cambió y que las firmas son auténticas, hay menos espacio para disputas sobre qué fue exactamente lo que se acordó. Esa confianza mutua es, en buena medida, el propósito final de todo el proceso de verificación.
Verifica tus documentos firmados
Esignapi incluye un certificado de finalización con hash verificable y registro de auditoría encadenado en cada documento firmado, para que tanto tú como cualquier tercero puedan confirmar su autenticidad cuando haga falta, sin depender de herramientas externas ni de procesos manuales complicados para hacerlo.
Preguntas frecuentes
¿Necesito un software especial para verificar un documento firmado?
Depende de la plataforma: algunas ofrecen una herramienta de verificación pública donde solo subes el documento; en otros casos, puede requerir comparar manualmente el hash del archivo con el del certificado.
¿Cualquiera puede verificar un documento, o solo quienes participaron en la firma?
Generalmente cualquiera que tenga acceso al documento y al certificado puede verificar su autenticidad, ya que la verificación no depende de tener una cuenta en la plataforma donde se firmó.
¿Qué pasa si pierdo el certificado de finalización?
Conviene guardar el certificado junto con el documento firmado, ya que es la pieza que permite verificar la integridad del archivo más adelante. Algunas plataformas permiten recuperarlo desde el historial de la cuenta que gestionó el envío.
No. Al imprimir y escanear un documento se genera un archivo completamente distinto, con un hash diferente, por lo que ya no se puede verificar contra el certificado original. Por eso conviene conservar siempre el archivo digital final.
¿La verificación confirma también quién firmó, o solo que el documento no cambió?
Ambas cosas: el hash confirma la integridad del contenido, mientras que el registro de auditoría documenta la identidad de cada firmante y el momento exacto en que completó su parte.