16 de febrero de 2025
Introducción
Un certificado autofirmado puede funcionar técnicamente para firmar o identificar un sistema, pero plantea una pregunta distinta cuando se utiliza en un contrato entre una empresa española y una contraparte situada en otro Estado miembro de la Unión Europea: ¿quién confía en ese certificado y por qué?
Con un certificado autofirmado, la decisión de confianza se desplaza a la gobernanza de las partes. Estas deben decidir cómo identifican el certificado, cómo lo distribuyen, cómo controlan su sustitución o retirada y qué evidencia conservarán para demostrar esa decisión.
Esto no significa que un certificado autofirmado sea automáticamente inválido ni que pueda equipararse a un certificado cualificado. Son cuestiones diferentes. Para evaluar el modelo correctamente hay que separar la confianza técnica acordada por las partes de las categorías de firma electrónica previstas por eIDAS y de cualquier requisito específico del documento.
Esta guía explica cómo construir una matriz de confianza para decidir si un certificado autofirmado es aceptable en un acuerdo entre España y otro país de la UE, con límites claros y una evidencia que pueda revisarse después.
Empezar por el documento y el requisito de firma
Antes de analizar el certificado, determine qué documento se va a firmar y qué exigencia debe cumplir el proceso. Una decisión válida para un acuerdo interno de bajo riesgo no debería trasladarse automáticamente a un contrato con formalidades específicas o a un flujo que exija una firma electrónica cualificada.
La ficha de revisión debería identificar, como mínimo:
- el documento y su versión;
- las entidades que intervienen;
- los firmantes previstos y sus roles;
- la ley aplicable acordada;
- el Estado o Estados miembros relevantes para el uso del documento;
- cualquier requisito contractual o sectorial sobre el método de firma;
- el nivel de evidencia que las partes esperan poder recuperar.
España forma parte del marco eIDAS, por lo que no existe un régimen europeo completamente separado del español para estas categorías de firma. En España, la Ley 6/2020 regula determinados aspectos nacionales de los servicios electrónicos de confianza dentro de ese marco. Aun así, un contrato concreto puede estar sujeto a reglas adicionales por su naturaleza, por las partes o por el contexto en el que deba utilizarse.
Por eso, la pregunta no debería ser «¿acepta España un certificado autofirmado?», sino «¿qué función cumple este certificado en este documento y qué requisitos debe satisfacer el método de firma elegido?».
Qué demuestra realmente un certificado autofirmado
Con un certificado autofirmado, la confianza no debería darse por supuesta. Las partes necesitan establecer cómo reconocerán el certificado aceptado y qué controles sostienen esa decisión.
Para un contrato, conviene separar cuatro preguntas:
- Identidad: ¿cómo se comprobó que el certificado pertenece a la persona o entidad prevista?
- Distribución: ¿cómo recibió la contraparte el certificado o su huella de confianza?
- Ciclo de vida: ¿qué ocurre si el certificado se sustituye o deja de aceptarse?
- Evidencia: ¿puede demostrarse posteriormente qué certificado se aceptó y para qué documentos?
Un certificado autofirmado no debería presentarse simplemente como «seguro» porque pueda validarse técnicamente en un entorno determinado. La seguridad del modelo depende también de la gobernanza que rodea al ancla de confianza.
No confundir un certificado autofirmado con un certificado cualificado
eIDAS distingue entre firma electrónica, firma electrónica avanzada (AES) y firma electrónica cualificada (QES). Estas categorías describen requisitos del método de firma y no se obtienen únicamente por añadir cualquier certificado al documento.
Un certificado autofirmado, por sí solo, no debe describirse como certificado cualificado ni como prueba de que una firma sea QES. Si el contrato requiere una QES, el proceso debe configurarse conforme a los requisitos aplicables a esa categoría y a los servicios de confianza utilizados.
La misma cautela se aplica a la AES. El hecho de utilizar un certificado no demuestra automáticamente que todo el proceso cumpla los requisitos de una firma electrónica avanzada. La evaluación debe considerar el método completo y los requisitos aplicables al acto de firma.
En España, la Ley 6/2020 complementa el marco eIDAS en determinados aspectos nacionales de los servicios electrónicos de confianza, pero no convierte un certificado autofirmado en certificado cualificado.
Evaluar cómo se establece la confianza entre las partes
El acuerdo debe identificar el certificado aceptado, su titular, el alcance de uso y el canal por el que se distribuye su huella o copia de confianza. La contraparte necesita una forma independiente de comprobar que recibió el certificado correcto, no uno introducido durante el intercambio.
También conviene definir quién aprueba nuevas versiones y qué documentos pueden firmarse con ellas. Así se evita que una confianza concedida para una prueba interna se extienda sin control a contratos de mayor riesgo.
Diseñar la retirada y sustitución antes de que exista un incidente
Un modelo privado necesita reglas para pérdida de clave, sospecha de compromiso, cambio de responsable y renovación. La retirada debe comunicar qué certificado deja de aceptarse, desde cuándo y qué ocurre con los documentos ya firmados.
Probar la validación desde el lado de la contraparte
Antes de utilizar el método en producción, la otra parte debe poder validar un documento de prueba con sus propias herramientas y conservar el resultado. La prueba debe incluir la cadena de confianza configurada, la integridad del archivo y el comportamiento ante un certificado desconocido o retirado.
Decidir cuándo el modelo autofirmado no es adecuado
Si el documento exige QES, si las partes no pueden gobernar de forma fiable la distribución de confianza o si terceros necesitarán validar sin acceso al acuerdo privado, conviene seleccionar otro modelo. La decisión debe responder al uso del contrato, no a una preferencia tecnológica.
Documentar una aprobación con límites explícitos
La ficha de aprobación debería recoger documento, partes, certificado, finalidad, canal de distribución, responsables, reglas de sustitución y prueba de validación. Deje claro que la aprobación no equivale a una conclusión universal sobre AES, QES o validez contractual.
Cómo encaja Nota Sign en este escenario
Nota Sign soporta la preparación, el enrutamiento, la firma y la evidencia del contrato. Si se utiliza un certificado autofirmado dentro de un modelo privado aprobado, el flujo puede configurarse con ese método y mantener la evidencia operativa; si se requiere AES o QES, Nota Sign soporta el flujo con el prestador y los certificados seleccionados.
Definir en Nota Sign el método de firma adecuado para el contrato ayuda a documentar la confianza antes de enviar la versión definitiva.
