24 de marzo de 2026
Introducción
Que un certificado digital haya caducado hoy no significa, por sí solo, que una firma realizada años atrás haya dejado de ser verificable. La fecha de expiración describe hasta cuándo estaba previsto utilizar ese certificado para nuevas operaciones; para revisar una firma antigua hay que reconstruir qué ocurrió cuando se firmó y qué evidencia quedó conservada.
En un contrato de larga duración conviene separar cuatro momentos: la vigencia del certificado, el momento atribuido a la firma, cualquier referencia temporal fiable disponible y la validación que se realiza ahora. También hay que distinguir la expiración natural del certificado de una posible revocación.
Esta guía explica cómo revisar una firma antigua cuando su certificado ya ha expirado y cómo conservar el expediente para que una futura comprobación no dependa únicamente del estado actual del certificado.
La expiración actual no responde por sí sola sobre una firma antigua
Los certificados tienen un período de validez con una fecha de inicio y una fecha de fin. Una vez superada esta última, el certificado está expirado para su uso actual, pero ese dato no basta para determinar qué estado tenía cuando se produjo una firma anterior.
La revisión debería reconstruir una línea temporal con los datos disponibles:
- inicio de la vigencia del certificado;
- momento atribuido a la firma;
- referencias temporales asociadas a la firma, si existen;
- información de revocación disponible para el período relevante;
- fin de la vigencia del certificado;
- fecha de la validación que se realiza ahora.
El objetivo es evitar una conclusión demasiado simple: «el certificado está caducado, por tanto la firma es inválida». La herramienta de validación debe examinar la firma, el certificado y la evidencia temporal disponible para el archivo concreto.
También conviene conservar el documento firmado original. Una captura del visor o un PDF reexportado no sustituyen al objeto que contiene la firma y los datos necesarios para repetir la validación.
Separar expiración y revocación
Expiración y revocación describen situaciones diferentes.
La expiración se produce cuando termina el período de validez establecido en el certificado. La revocación indica que el certificado fue invalidado antes —o, según la información publicada por el emisor, con una fecha efectiva determinada— y requiere consultar los mecanismos de estado disponibles para ese certificado.
Esta diferencia es importante para una firma antigua. Un certificado puede estar expirado hoy y no haber estado revocado en el momento relevante. También puede existir información de revocación cuya fecha o motivo obligue a investigar qué ocurrió alrededor de la firma.
Por eso, una revisión reproducible debería registrar:
- identificador del certificado;
- período de validez;
- estado de revocación que la herramienta puede determinar;
- fuente utilizada para consultar ese estado;
- fecha de la consulta;
- cualquier limitación o resultado inconcluso.
Si el servicio de revocación ya no responde o la herramienta no puede determinar el estado histórico, registre esa limitación. «No se pudo comprobar» no equivale a «no estaba revocado», del mismo modo que tampoco equivale a una revocación confirmada.
Determinar qué fecha de firma puede demostrarse
Una fecha visible junto a una firma no siempre tiene el mismo valor técnico. Puede tratarse de la hora declarada por el dispositivo o la aplicación, o puede existir una referencia temporal adicional vinculada criptográficamente al documento.
Cuando haya un sello de tiempo u otra evidencia temporal verificable, revise:
- qué servicio o certificado intervino;
