16 de febrero de 2025
Introducción
Un certificado autofirmado no debe evaluarse únicamente por el hecho de que la firma criptográfica pueda comprobarse. En un contrato entre Argentina y la Unión Europea, el punto central es quién emitió el certificado, qué cadena de confianza puede demostrarse y a qué régimen corresponde esa firma.
El análisis debe mantenerse separado por jurisdicción. Del lado argentino, la Ley 25.506 regula la firma digital. Del lado europeo, el Reglamento (UE) n.º 910/2014 define, entre otras categorías, la firma electrónica avanzada y la firma electrónica cualificada. El expediente no debería convertir estas categorías en equivalentes ni trasladar automáticamente la confianza de un régimen al otro.
Para evaluar el riesgo de un certificado autofirmado, conviene responder cuatro preguntas:
- ¿Quién figura como emisor del certificado?
- ¿Existe una cadena de confianza que pueda vincularse al régimen aplicable?
- ¿El certificado corresponde realmente al método de firma que se está evaluando en esa jurisdicción?
- ¿Qué decisión toma el proceso a partir de esa evidencia?
El objetivo es cerrar el contrato con una evaluación documentada por cada lado: emisor, cadena, régimen, resultado técnico y decisión de aceptación.
Nota Sign respalda la firma digital en Argentina dentro de procesos locales y transfronterizos. El equipo puede vincular cada certificado con el documento, la parte, el resultado técnico y la decisión de confianza correspondiente a su jurisdicción.
Identificar primero al emisor del certificado
La revisión empieza por el emisor. Antes de concluir que un certificado ofrece un nivel determinado de confianza, el responsable debe identificar quién lo emitió y qué papel ocupa dentro de la cadena correspondiente.
Un certificado autofirmado se caracteriza porque el propio certificado se firma con la clave asociada a su sujeto, en lugar de apoyarse en un tercero que actúe como emisor dentro de una cadena de confianza. Por eso, comprobar que la firma criptográfica del certificado es coherente no demuestra por sí solo que exista confianza externa sobre la identidad del titular.
La evaluación debería registrar, como mínimo:
- nombre o identificador del emisor;
- sujeto del certificado;
- jurisdicción a la que se pretende vincular;
- papel del emisor dentro de la cadena;
- herramienta o fuente utilizada para revisar esa información;
- fecha de la comprobación.
Si el emisor no puede identificarse, el expediente debería quedar en revisión. Sin ese dato no es posible determinar de forma reproducible qué cadena se está evaluando.
Diferenciar un certificado autofirmado de una cadena de confianza
La diferencia operativa no es simplemente “seguro” frente a “inseguro”. Un certificado autofirmado puede utilizar criptografía correctamente y, aun así, no aportar por sí mismo una cadena de confianza externa que vincule el certificado con un tercero reconocido dentro del régimen que se pretende aplicar.
Por eso, la evaluación debe separar dos cuestiones:
- validez técnica del certificado o de la firma: qué puede comprobar la herramienta sobre la criptografía, la integridad y el certificado;
- confianza de la cadena: qué entidad respalda el certificado y cómo se vincula esa entidad al régimen correspondiente.
Un resultado técnico positivo en la primera comprobación no completa automáticamente la segunda.
Cuando el certificado pertenece a una cadena emitida por terceros, el expediente debería conservar la información suficiente para reconstruir esa cadena. Cuando es autofirmado, debería quedar documentado expresamente que la confianza depende de una decisión adicional del proceso y no de una cadena externa demostrada por el certificado.
Evaluar el lado argentino dentro de su propio régimen
En Argentina, la Ley 25.506 distingue firma digital y firma electrónica. Para presentar un certificado como parte de una firma digital, el expediente debe comprobar la categoría utilizada, la cadena que respalda al certificado y la evidencia técnica exigida por el procedimiento aprobado.
Un certificado autofirmado no adquiere por ese solo hecho el estatus previsto para un certificado respaldado por la infraestructura aplicable. Si el proceso decide admitirlo para otro uso, la decisión debe registrar alcance, controles compensatorios, responsable y límite temporal.
Evaluar el lado europeo sin trasladar conclusiones de Argentina
En la Unión Europea, el marco eIDAS diferencia la firma electrónica avanzada y la firma electrónica cualificada. Un certificado cualificado debe cumplir las condiciones del reglamento y vincularse con un prestador cualificado; un certificado autofirmado no se convierte en cualificado por acuerdo de las partes.
La evaluación europea debe conservar su propia fuente, validación, cadena y decisión. Un resultado obtenido bajo el régimen argentino aporta contexto al contrato, pero no sustituye esta comprobación.
Registrar la evaluación y decidir por separado
La tabla final debería mostrar, para cada lado, emisor, sujeto, huella, cadena, categoría reclamada, herramienta, fecha, resultado y decisión. Si falta un elemento crítico, el contrato permanece en revisión o se solicita una nueva ruta de firma.
Nota Sign permite reunir ambas rutas bajo la misma versión contractual y conservar sus decisiones diferenciadas. El resultado comercial es un cierre trazable, sin confundir una aprobación interna con equivalencia jurídica entre Argentina y la Unión Europea.
Siguiente paso: configura en Nota Sign un contrato piloto Argentina-UE y prueba una ruta de certificado aceptado y otra que deba escalarse.
