25 de junio de 2025
Introducción
Validar una firma en un PDF no consiste solo en comprobar que el documento muestre una marca de “firmado”. La revisión debe determinar qué archivo se recibió, qué firma contiene, qué informa la herramienta sobre su integridad y sus certificados, y cómo se aplica ese resultado a la regla de aceptación del proceso.
La herramienta de validación aporta información técnica. Puede indicar, según sus capacidades y la firma analizada, si el documento cambió después de la firma, qué certificado está asociado, qué cadena de confianza puede construirse, qué información de vigencia o revocación está disponible y si existe un sello de tiempo verificable. Esa lectura técnica no sustituye la decisión del negocio, de cumplimiento o jurídica sobre si el documento debe aceptarse.
Un flujo de control claro puede organizarse así:
- conservar una copia identificable del PDF recibido;
- elegir una herramienta cuyo alcance sea adecuado para la firma que se va a revisar;
- validar cada firma y leer el resultado completo;
- registrar por separado el resultado técnico y la decisión de aceptación;
- archivar el PDF, el informe y la decisión bajo el mismo identificador.
El objetivo es que una revisión posterior pueda reconstruir qué archivo se analizó, con qué herramienta, qué se observó y por qué el proceso lo aceptó, rechazó o dejó pendiente de revisión.
Conservar exactamente el PDF que se recibió
La validación debe realizarse sobre una copia controlada del archivo recibido, no sobre una versión descargada más tarde desde otra fuente ni sobre un PDF que haya sido abierto, convertido o vuelto a guardar.
Asigne al archivo una identificación estable. Puede incluir la fecha de recepción, el identificador interno del documento y un hash criptográfico. El hash ayuda a comprobar que el archivo revisado posteriormente corresponde a los mismos bytes que se analizaron originalmente; no sustituye la validación de la firma ni determina por sí solo la validez jurídica del documento.
Durante la revisión, evite editar el PDF. Incluso cambios que parecen menores pueden alterar el archivo o generar nuevas revisiones internas del documento. Si necesita añadir notas, comentarios o una decisión de negocio, guárdelos en el expediente o en un registro separado.
Cuando se reciben varias copias del mismo documento, no asuma que son idénticas por tener el mismo nombre. Compare su identificación antes de reutilizar un resultado de validación.
Elegir una herramienta adecuada para la firma
No todas las herramientas de PDF validan los mismos elementos ni utilizan las mismas fuentes de confianza. Antes de ejecutar el control, confirme qué puede revisar la herramienta y registre su nombre o versión cuando ese dato sea relevante para reproducir el análisis.
Para una firma basada en certificado, una revisión útil suele incluir, cuando la información está disponible:
- integridad del documento y cambios posteriores a la firma;
- certificado asociado a cada firma;
- emisor y cadena de certificados;
- periodo de vigencia del certificado;
- información disponible sobre revocación;
- sello de tiempo, si la firma lo incorpora;
- fuentes o listas de confianza utilizadas por la herramienta.
El resultado puede variar si cambia la herramienta, su configuración, las listas de confianza o la disponibilidad de servicios externos. Por eso, un mensaje genérico como “firma válida” no debería archivarse sin el contexto suficiente para entender qué comprobó realmente la herramienta.
Si el PDF contiene varias firmas, revise cada una. Una firma anterior y una firma posterior pueden corresponder a revisiones diferentes del mismo documento, y el resultado debe permitir distinguirlas.
Leer el resultado técnico completo
La integridad responde a una pregunta concreta: si el contenido protegido por la firma permanece coherente con la firma criptográfica. No demuestra por sí sola que el documento deba aceptarse ni que todas las afirmaciones de su contenido sean correctas.
El certificado aporta información sobre la credencial utilizada para firmar. Revise el sujeto del certificado, el emisor y los datos de vigencia que muestre la herramienta. Si se consulta el estado de revocación, registre también el resultado observado. Cuando la herramienta no pueda determinar un dato, esa incertidumbre debe conservarse en lugar de transformarse en una conclusión positiva.
Un sello de tiempo, cuando existe y puede validarse, aporta información adicional sobre el momento asociado a la firma. No todos los PDF firmados incluyen el mismo tipo de sello ni todas las herramientas lo evalúan de la misma manera.
También conviene revisar los cambios posteriores a la firma. Algunas herramientas muestran si el documento fue modificado y cómo afecta esa modificación al estado de la firma. El revisor debería basarse en ese resultado detallado, no únicamente en el aspecto visual del PDF.
La lectura final debe responder, como mínimo, qué firma se revisó, qué elementos pudieron validarse, qué elementos presentaron advertencias o no pudieron determinarse y qué evidencia generó la herramienta.
Separar la validación técnica de la decisión de aceptación
Una herramienta de validación no debería convertirse en la política de aceptación del negocio. Su función es informar el estado técnico que puede observar; el proceso decide qué hacer con ese resultado.
Por ejemplo, una organización puede exigir que determinados documentos lleguen con una firma basada en un certificado concreto, que no existan cambios posteriores o que la herramienta pueda construir una cadena de confianza conforme a su política. Otro proceso puede admitir un conjunto distinto de controles. Esas reglas deben definirse fuera de la herramienta y aplicarse de forma consistente.
Registre ambos resultados por separado:
- resultado técnico: qué informó la herramienta sobre la firma y el PDF;
- decisión del proceso: aceptar, rechazar, solicitar una nueva copia o escalar para revisión;
- fundamento de la decisión: qué regla interna o requisito del proceso se aplicó;
- responsable y fecha: quién tomó la decisión y cuándo.
Esta separación evita afirmar que una herramienta “declara legal” un documento. La eficacia jurídica de una firma o de un documento depende del contexto aplicable, mientras que la validación técnica describe las propiedades que la herramienta pudo comprobar.
Archivar un expediente que pueda revisarse después
Al cerrar la revisión, el expediente debería permitir reconstruir el control sin depender de la memoria del revisor ni de volver a descargar el documento.
Conserve, según la política de la organización:
- el PDF exacto que fue validado;
- su identificador o hash;
- el resultado o informe de la herramienta;
- la herramienta y, cuando sea relevante, su versión;
- la fecha de la validación;
- las observaciones sobre certificados, integridad, revocación o sellos de tiempo;
- la decisión de aceptación y su responsable.
No sustituya el informe por una captura aislada si con ello se pierde información necesaria para interpretar el resultado. Del mismo modo, no mezcle una copia editada del PDF con el archivo original validado.
En flujos donde Nota Sign interviene en la gestión de documentos y firmas electrónicas, el resultado de la validación puede incorporarse al control documental del proceso. La configuración técnica y la regla de aceptación deben definirse de acuerdo con el tipo de documento, la firma utilizada y los requisitos aplicables al caso.
