24 de marzo de 2026
Introducción
Controlar el vencimiento de certificados digitales no consiste solo en anotar una fecha en un inventario. Para que un equipo pueda seguir firmando sin interrupciones y conservar evidencia útil, debe distinguir al menos cuatro cosas: periodo de vigencia, estado del certificado, responsable de renovación o reemplazo y relación con las firmas ya realizadas.
En Colombia, la Ley 527 de 1999 define la firma digital y establece el marco general para los mensajes de datos, las firmas digitales y las entidades de certificación. Sin embargo, la fecha de expiración concreta de un certificado depende del certificado emitido y de las condiciones del prestador correspondiente. Por eso, una política interna no debería convertir una fecha genérica en una regla universal.
También conviene separar el vencimiento de la revocación. Un certificado puede estar dentro de su periodo de vigencia y, aun así, requerir una comprobación adicional de estado según el método de firma y el prestador. Del mismo modo, que un certificado expire después no significa por sí solo que todas las firmas creadas anteriormente deban considerarse inválidas; la validación de una firma existente debe atender al momento de firma, a la evidencia disponible y a las reglas aplicables al documento.
El objetivo operativo es más sencillo: saber qué certificados están activos, cuáles se acercan al vencimiento, quién debe gestionar su renovación o reemisión y qué evidencia debe conservarse para cada cambio.
Nota Sign respalda flujos de firma digital en Colombia y permite vincular el certificado y el método aprobados con el documento, el participante y la evidencia del proceso. Así, el equipo puede preparar la renovación sin perder la trazabilidad de las firmas anteriores.
Crear un inventario que permita actuar antes del vencimiento
El inventario debe identificar cada certificado de forma inequívoca. Como base, conviene registrar el titular, el emisor, el identificador o número de serie cuando esté disponible, la fecha de inicio de vigencia, la fecha de expiración y el responsable interno de su seguimiento.
Ordenar el inventario por fecha de vencimiento ayuda a detectar certificados que requieren atención antes de que afecten un flujo de firma. No hace falta esperar a que el estado pase a “vencido”: una política de alertas puede clasificar los certificados como vigentes, próximos a vencer, en proceso de renovación o reemplazo, vencidos y retirados.
La Ley 527 de 1999 define la firma digital como un valor numérico adherido a un mensaje de datos mediante un procedimiento matemático vinculado a la clave del iniciador. Esa definición ayuda a entender por qué el certificado y la clave asociada forman parte del control técnico de la firma, pero no establece una única duración aplicable a todos los certificados.
El inventario, por tanto, debe tomar las fechas del certificado y de la información proporcionada por su emisor, no de una duración estándar asumida por la organización.
Verificar vigencia y estado antes de usar el certificado
Antes de utilizar un certificado para una nueva firma, el sistema o el responsable del proceso debería confirmar que el certificado corresponde al titular esperado y se encuentra dentro de su periodo de vigencia.
La fecha de expiración es solo una parte de la comprobación. Cuando el método de firma o el proveedor lo requieran, también debe revisarse el estado del certificado, por ejemplo para detectar una revocación previa al vencimiento. Estos controles responden a preguntas diferentes: la vigencia indica el periodo temporal declarado en el certificado; el estado permite identificar si existe una condición que impida seguir confiando en él según el esquema aplicable.
La verificación debería quedar asociada al proceso en el que se utilizó el certificado. Para una revisión posterior resulta más útil saber qué certificado se usó, cuándo se comprobó y qué resultado produjo la validación que conservar únicamente una captura del inventario.
Si el certificado ya está vencido o no supera la validación prevista por la política, no debería utilizarse para generar una nueva firma. El flujo debe detenerse o dirigirse al proceso de reemplazo correspondiente.
Programar la renovación o reemisión con margen operativo
“Renovar” un certificado puede significar procesos distintos según el prestador. En algunos casos se emite un nuevo certificado con nuevas fechas o credenciales; en otros, el proceso puede describirse comercialmente como renovación. La política interna debería reflejar el procedimiento real del proveedor en lugar de asumir que el certificado existente simplemente extiende su fecha.
Para cada certificado, defina un responsable y una fecha objetivo anterior al vencimiento. El margen debe ser suficiente para completar los pasos del proveedor, resolver incidencias y actualizar los sistemas que dependan del certificado.
El calendario puede priorizar los certificados según su impacto. Un certificado utilizado en un flujo crítico o de alto volumen requiere una preparación distinta a uno asociado a un proceso ocasional.
Cuando se emita un nuevo certificado, conviene registrar la relación con el anterior sin sobrescribir su historial. Así, el inventario puede mostrar cuándo dejó de utilizarse el certificado previo y desde qué momento comenzó a utilizarse el nuevo.
Mantener separados vencimiento, revocación y baja
Un inventario claro no debería resumir todos los cambios bajo la palabra “vencido”. Hay al menos tres situaciones diferentes:
- vencimiento: termina el periodo de vigencia indicado en el certificado;
- revocación: el certificado deja de ser confiable según el mecanismo y la autoridad aplicables antes de su expiración;
- baja o retiro interno: la organización deja de utilizarlo por una decisión operativa, aunque el certificado todavía pueda estar dentro de su periodo de vigencia.
Registrar estas causas por separado mejora la trazabilidad. También evita interpretar erróneamente una baja administrativa como un vencimiento técnico o una revocación.
Cada cambio de estado debería conservar fecha, responsable y motivo. Si la organización utiliza una fuente externa para consultar el estado del certificado, también puede registrar la referencia o el resultado necesario para reconstruir la comprobación.
No confundir el vencimiento actual con la validez de una firma anterior
Una de las dudas más comunes aparece después de la expiración: ¿qué ocurre con los documentos que ya fueron firmados?
La respuesta no debería deducirse únicamente del estado actual del certificado. Una firma creada anteriormente debe evaluarse con la evidencia correspondiente al momento en que se realizó, el método utilizado, el estado del certificado que pueda acreditarse para ese momento y las reglas aplicables al documento.
Por eso, el expediente de firma y el inventario de certificados cumplen funciones distintas. El inventario administra el ciclo de vida de los certificados; el expediente de cada documento conserva la evidencia necesaria para revisar una firma concreta.
Esta separación también evita un error operativo frecuente: reemplazar un certificado vencido y perder la referencia del certificado con el que se firmaron documentos históricos. El certificado anterior debe permanecer identificable en los registros aunque ya no pueda utilizarse para nuevas firmas.
Actualizar sistemas y flujos después del reemplazo
La emisión de un certificado nuevo no completa el proceso por sí sola. Los sistemas, integraciones o flujos que dependan del certificado deben actualizarse y probarse antes de considerar cerrada la renovación.
El registro debería indicar qué certificado quedó activo, desde cuándo se utiliza y qué dependencias fueron actualizadas. Si existe un periodo de transición, debe quedar claro cuál es el certificado autorizado para nuevas operaciones.
En un flujo gestionado con Nota Sign, el certificado y el método de firma se vinculan con la configuración aprobada para el documento y el participante. El inventario de ciclo de vida aporta las fechas y decisiones para que el cambio se pruebe antes de entrar en producción.
El resultado esperado es un inventario que permita anticipar el vencimiento, verificar el estado antes del uso y conservar el historial de cada sustitución sin perder la relación con firmas anteriores.
Siguiente paso: prueba en Nota Sign la sustitución de un certificado próximo a vencer y verifica que el nuevo flujo conserve la referencia histórica del anterior.
