8 de agosto de 2026
Introducción
La seguridad de una firma electrónica en México no se decide con una pregunta genérica como “¿la firma electrónica es segura?”. Un control serio debe responder algo más concreto: qué documento se firma, qué método se usa, cómo se vincula al firmante, cómo se protege la integridad del contenido y qué evidencia quedará disponible después.
El marco jurídico también depende del contexto. En actos de comercio, el Código de Comercio reconoce el uso de medios electrónicos y establece criterios para valorar cuándo una firma electrónica puede considerarse fiable o avanzada. Por otra parte, la Ley de Firma Electrónica Avanzada regula la firma electrónica avanzada dentro de su ámbito de aplicación, y la e.firma del SAT tiene reglas propias para los trámites en los que se utiliza. No conviene tratar estos marcos como si toda firma privada tuviera que utilizar e.firma.
Por eso, una política de seguridad útil no asigna un único nivel de firma a todos los documentos. Clasifica el riesgo, define el método aceptable, verifica los controles técnicos y conserva evidencia suficiente para reconstruir el acto. La decisión jurídica sobre un documento concreto sigue dependiendo de su naturaleza, las partes, las formalidades aplicables y el sector.
Nota Sign respalda este enfoque con flujos de firma electrónica que mantienen vinculados el documento, los participantes, el método y la evidencia de finalización. Una vez aprobada la matriz de riesgo, el equipo puede convertirla en rutas repetibles para cada clase de documento.
Esta guía propone un modelo práctico para homologar controles de firma electrónica en México por documento y método, evitando afirmaciones absolutas sobre “seguridad”.
Clasificar el documento y el riesgo antes de elegir la firma
El primer control no es la tecnología, sino la clasificación del documento. Un acuse interno, una autorización operativa y un contrato con impacto financiero no necesariamente requieren el mismo nivel de identidad, autenticación o evidencia.
La matriz de política debería identificar, al menos, el tipo de documento, las partes, el riesgo del acto, la necesidad de atribuir la firma a una persona concreta y cualquier requisito de forma conocido. A partir de esa clasificación puede definirse el método de firma aceptable.
También debe separarse la política interna de la exigencia legal. Una empresa puede decidir que determinados contratos siempre pasen por un método de mayor aseguramiento aunque la ley no lo imponga de manera general. Esa decisión puede ser prudente, pero debe registrarse como control corporativo y no como obligación universal.
En México, el marco aplicable cambia según el acto. Para operaciones comerciales, el Código de Comercio contiene reglas sobre mensajes de datos y firmas electrónicas. Para la firma electrónica avanzada dentro del ámbito de la ley federal correspondiente puede consultarse la Ley de Firma Electrónica Avanzada. El trámite oficial del SAT para obtener e.firma cita como fundamento la Ley de Firma Electrónica Avanzada y el artículo 17-D del Código Fiscal de la Federación.
Vincular el método con la identidad y el control del firmante
Una firma es más difícil de atribuir si el proceso no permite saber quién debía firmar y cómo fue autenticado. Antes de liberar un flujo, la política debería indicar qué identidad se espera, qué método de autenticación se utiliza y qué evidencia conserva el sistema.
En los actos de comercio, el artículo 97 del Código de Comercio incluye entre los criterios de fiabilidad de una firma electrónica que los datos de creación correspondan exclusivamente al firmante y que, al momento de firmar, estén bajo su control exclusivo. Estos criterios ayudan a convertir conceptos abstractos de “seguridad” en controles verificables.
En un proceso real, eso puede traducirse en preguntas como: ¿el destinatario fue correctamente asignado?, ¿el mecanismo de autenticación corresponde al riesgo?, ¿las credenciales o datos de creación de firma están bajo control de la persona autorizada?, ¿existen señales de uso compartido o acceso indebido?
Cuando se utilice un certificado digital, la política también debería definir cómo se revisan su titular, vigencia y, cuando corresponda, su estado de revocación. Un certificado válido es un dato importante, pero no sustituye la revisión del documento, del firmante ni del contexto del acto.
Separar identidad, intención e integridad
Identidad, intención e integridad responden preguntas diferentes y conviene evaluarlas por separado.
La identidad busca establecer a quién se atribuye el acto. La intención o consentimiento busca demostrar que la persona realizó una acción destinada a aprobar o firmar ese documento. La integridad permite detectar si el contenido protegido cambió después del momento relevante de la firma.
La Ley de Firma Electrónica Avanzada recoge, dentro de sus principios, conceptos como autenticidad e integridad. En el ámbito comercial, el artículo 97 del Código de Comercio también considera la posibilidad de detectar alteraciones posteriores de la firma y de la información del mensaje de datos al valorar la fiabilidad.
Ninguno de estos controles debería resumirse en una marca visual de firma. Una rúbrica dibujada en una página puede formar parte de la presentación, pero la evaluación de seguridad depende de la evidencia técnica y operativa que la acompaña.
Si una de las capas falla —por ejemplo, el documento cambió después de firmarse o la autenticación no corresponde a la persona esperada—, la política debería detener la homologación o enviar el caso a revisión en lugar de asumir que los demás controles compensan automáticamente la anomalía.
Registrar evidencia suficiente para reconstruir el acto
La evidencia debe permitir reconstruir qué ocurrió sin depender de la memoria del equipo. Como base, conviene conservar la versión del documento, la referencia del firmante, el método aplicado, los eventos relevantes del flujo, el resultado de la firma y la información necesaria para validar la integridad.
No todos los eventos tienen el mismo significado. La apertura de un enlace puede demostrar actividad en el flujo, pero no equivale por sí sola a una firma ni a una conclusión jurídica sobre consentimiento. De forma similar, una dirección IP o un correo electrónico pueden aportar contexto, pero no deberían tratarse automáticamente como prueba suficiente de identidad.
La política también debería establecer qué evidencia se guarda para cada clase de documento y durante cuánto tiempo conforme a las reglas aplicables. No es necesario acumular datos sin propósito; el objetivo es conservar lo necesario para el riesgo, la auditoría y las obligaciones correspondientes.
Cuando el proceso use certificados o firmas de mayor aseguramiento, el expediente puede incorporar además la información de validación pertinente. La evidencia debe permanecer vinculada a la versión exacta que recibió la firma.
Evaluar la e.firma del SAT en su contexto correcto
La e.firma del SAT es una firma electrónica avanzada utilizada en trámites fiscales y en otros servicios o actos en los que su uso está previsto. El SAT indica como fundamento la Ley de Firma Electrónica Avanzada y el artículo 17-D del Código Fiscal de la Federación.
Eso no significa que todo contrato privado en México deba firmarse con e.firma. En relaciones comerciales privadas deben analizarse el Código de Comercio, la naturaleza del acto, las formalidades específicas que puedan aplicar y lo que hayan acordado las partes.
Para una política corporativa, esta distinción evita dos errores opuestos: exigir e.firma en todos los documentos sin necesidad o asumir que cualquier mecanismo electrónico ofrece el mismo nivel de atribución y evidencia.
La pregunta correcta es qué método resulta apropiado para el documento y qué controles permiten defender su uso en el caso concreto.
Homologar el control por documento y método
La homologación debería producir una matriz sencilla y reutilizable. Cada fila corresponde a una clase de documento y registra el método autorizado, el nivel de autenticación, los controles de integridad, la evidencia mínima, la fuente jurídica o política aplicable y el responsable de aprobar excepciones.
Una fila no debería liberarse solo porque “usa firma electrónica”. Debe quedar claro por qué ese método es adecuado para ese documento y qué evidencia permite verificar el resultado.
La revisión periódica también importa. Si cambia el proveedor, el método de autenticación, el proceso de certificados, el tipo de documento o una norma aplicable, la fila correspondiente debe volver a evaluarse. La homologación no es una aprobación permanente de la tecnología en abstracto.
Con Nota Sign, el equipo puede estructurar flujos en los que documento, participantes, controles y evidencia de finalización permanezcan relacionados con la política aprobada para el caso concreto.
Siguiente paso: configura en Nota Sign un flujo piloto para una clase de documento y valida que los controles y la evidencia respondan a su nivel de riesgo.
