Verificar un certificado digital entre Colombia y Perú

Introducción

Verificar un certificado digital entre Colombia y Perú no consiste en comprobar únicamente que el archivo “se vea válido” o que su fecha de expiración aún no haya pasado. Antes de aceptar una firma respaldada por certificado, el equipo debe distinguir al menos cuatro preguntas: quién emitió el certificado, a quién identifica, si seguía vigente en el momento relevante y si la cadena de confianza puede verificarse dentro del marco aplicable.

En un flujo transfronterizo, esa revisión técnica debe mantenerse separada de la conclusión jurídica. Colombia y Perú regulan las firmas y los certificados digitales con marcos propios; que un certificado sea técnicamente verificable en un país no significa que deba considerarse automáticamente equivalente o aceptado en el otro.

La forma más segura de operar es registrar el resultado por certificado y por jurisdicción. Así, un comprador colombiano que recibe un documento firmado por un proveedor peruano puede conservar la evidencia de la comprobación sin presentar ambos regímenes como idénticos.

Identificar el certificado antes de validar la firma

La revisión empieza por el certificado concreto, no por una etiqueta genérica como “certificado colombiano” o “certificado peruano”. Registre el emisor, el titular, el número de serie, las fechas de vigencia y la jurisdicción o infraestructura de confianza con la que se pretende verificar.

También debe quedar claro qué documento y qué firmante están vinculados al certificado. Un certificado técnicamente válido no resuelve por sí solo si la persona que firma es la parte correcta, si actúa con facultades suficientes o si el documento corresponde a la versión aprobada.

En Colombia, la Ley 527 de 1999 regula los mensajes de datos, las firmas digitales, los certificados y las entidades de certificación. En Perú, la Ley 27269 regula las firmas y certificados digitales. Estas fuentes sirven para mantener separada la revisión jurídica de cada jurisdicción.

Verificar la cadena de confianza y el emisor

La cadena de confianza permite comprobar si el certificado puede vincularse con una autoridad o infraestructura que el verificador reconoce para ese contexto. La revisión no debería limitarse a leer el nombre del emisor mostrado por una aplicación.

El resultado técnico debe registrar qué cadena se evaluó, qué emisor aparece en el certificado y si la verificación llegó hasta un ancla de confianza aceptada por la política utilizada. Si falta un certificado intermedio, la cadena no puede construirse o el emisor no corresponde al marco esperado, el caso debe quedar pendiente en lugar de aprobarse por apariencia.

Este control se realiza por certificado. Si el expediente contiene una firma colombiana y otra peruana, cada cadena debe verificarse y documentarse por separado.

Confirmar vigencia, estado y titular

La fecha de expiración es solo una parte de la comprobación. El equipo también debe verificar el estado del certificado mediante los mecanismos disponibles en la infraestructura correspondiente, porque un certificado puede haber sido revocado antes de su fecha final.

El titular debe compararse con el firmante esperado y con la identidad utilizada en el proceso. Si el nombre, identificador u otros datos relevantes no coinciden, la discrepancia requiere revisión; no debería corregirse manualmente para forzar una coincidencia.

Conviene conservar tanto el momento de la firma como el momento de la verificación. Esto permite distinguir entre el estado del certificado cuando se produjo el acto y una consulta realizada posteriormente.

Comprobar la firma y la integridad del documento

Validar el certificado y validar la firma no son exactamente la misma tarea. Una vez revisado el certificado, el equipo debe comprobar que la firma corresponde al documento que se está evaluando y que la verificación de integridad no muestra cambios incompatibles con el estado firmado.

La Ley 527 de 1999 de Colombia define la firma digital mediante un procedimiento matemático vinculado a la clave del iniciador y al mensaje de datos, y contempla atributos relacionados con su verificabilidad y con la detección de cambios. La Ley 27269 de Perú define la firma digital como una firma electrónica basada en criptografía asimétrica.

Estas definiciones ayudan a explicar por qué la comprobación debe mantener unidos firma, certificado y documento. No establecen, por sí solas, una equivalencia automática entre certificados emitidos bajo ambos marcos.

Registrar el resultado sin mezclar Colombia y Perú

Una lista de comprobación útil no necesita declarar que un certificado es “válido para todo”. Debe describir qué se verificó y con qué alcance.

Para cada certificado, el expediente puede registrar emisor, titular, número de serie, periodo de vigencia, estado consultado, resultado de la cadena, documento asociado, resultado de la firma, fecha de la comprobación y fuente o herramienta utilizada. Si un dato no pudo verificarse, el resultado debe indicarlo expresamente.

Mantener filas separadas para Colombia y Perú evita trasladar una conclusión técnica o jurídica de una jurisdicción a la otra. La aceptación final puede depender además del contrato, del destinatario, de la política interna y de requisitos sectoriales que no se resuelven con la mera validación criptográfica.

Decidir si el certificado puede aceptarse en el proceso

El último paso es una decisión de proceso, no una “homologación” automática entre países. El certificado puede avanzar cuando las comprobaciones exigidas por la organización estén completas y no existan discrepancias sin resolver.

Si la cadena no se verifica, el certificado aparece revocado, el titular no coincide o la firma no corresponde a la versión esperada del documento, el expediente debería volver a revisión. Del mismo modo, una verificación técnica satisfactoria no sustituye el análisis de si el método de firma es adecuado para el acto concreto.

Nota Sign respalda flujos de firma locales y transfronterizos y conserva la evidencia generada por el proceso. Los equipos pueden vincular certificado, firmante, documento, resultado técnico y decisión por jurisdicción sin asumir equivalencia automática entre Colombia y Perú.

Siguiente paso: prueba en Nota Sign un expediente Colombia-Perú con controles separados de cadena, vigencia, titular y aceptación.