Qué es la firma digital y cómo verificar si un PDF está realmente firmado

Recibes un PDF con el encabezado "Firmado digitalmente". Pero ¿cómo saber si esa firma es realmente válida? ¿Y cuál es la diferencia entre un documento con firma digital y otro con la imagen de la firma manuscrita pegada? Estas preguntas aparecen cada semana en despachos jurídicos, contables y de recursos humanos — y la confusión tiene un costo: documentos sin validez tratados como válidos, y documentos válidos rechazados por falta de comprensión del mecanismo.

Esta guía explica, sin tecnicismos innecesarios, cómo funciona la firma digital, cómo verificar la firma de un PDF correctamente, qué estándares son aceptados, y qué hacer cuando el resultado de la verificación es negativo.

La diferencia que define todo: firma digital vs. imagen de firma

Antes de cualquier verificación, es fundamental deshacer la confusión más común:

Imagen de firma (también llamada firma digitalizada o escaneada) es una foto o imagen de la firma manuscrita insertada como elemento gráfico en el PDF. Parece una firma, pero técnicamente es solo un rectángulo de píxeles — puede copiarse de un documento a otro, no está vinculada matemáticamente al contenido, y no garantiza nada sobre integridad ni autoría.

Firma digital es un mecanismo criptográfico: la firma se calcula a partir del contenido del documento y la clave privada del firmante, y es matemáticamente verificable por cualquier persona con la clave pública correspondiente. Prueba dos cosas a la vez: que el firmante efectivamente firmó (autoría) y que el documento no fue modificado desde entonces (integridad).

Cómo funciona una firma digital por dentro

Cada firmante tiene un par de claves criptográficas: una clave privada, que permanece bajo la custodia exclusiva del titular, y una clave pública, que puede distribuirse libremente.

Cuando alguien firma digitalmente un PDF ocurre lo siguiente:

1. El software calcula el hash SHA-256 del documento (una secuencia de 64 caracteres que representa unívocamente ese contenido — qué es un hash, explicado en detalle);
2. Ese hash se cifra con la clave privada del firmante — el resultado es la firma;
3. La firma, junto con el certificado digital del firmante (que contiene la clave pública y los datos de identidad), se incrusta en el archivo PDF.

Para verificar la firma, el verificador hace el camino inverso:

1. Descifra la firma usando la clave pública del firmante;
2. Obtiene el hash original que fue firmado;
3. Recalcula el hash del documento actual;
4. Compara los dos hashes: si coinciden, la firma es válida — el documento no cambió desde que fue firmado. Si difieren, el documento fue modificado después.

Certificados digitales: ICP-Brasil y gov.br

La firma digital solo prueba autoría si el certificado que la acompaña es confiable. ICP-Brasil es la Infraestructura de Clave Pública Brasileña, regulada por el ITI. Los certificados más comunes:

• A1 (en software): instalado en el computador, válido 1 año, protegido por contraseña;
• A3 (en hardware): almacenado en token USB o tarjeta inteligente, válido hasta 3 años. La clave privada nunca sale del dispositivo físico — el estándar exigido para actos de mayor impacto jurídico;
• e-CPF y e-CNPJ: los nombres populares de los certificados de persona física y jurídica en ICP-Brasil.

Firma gov.br: servicio del gobierno federal vinculado a la cuenta gov.br. Tres niveles de confiabilidad (bronce, plata, oro). Aceptada para la mayoría de los actos con organismos públicos y con creciente aceptación en el sector privado.

DocuSign, ClickSign y similares son plataformas de firma electrónica. Pueden operar con certificados ICP-Brasil, con la firma gov.br, o con mecanismos propietarios de menor fuerza probatoria. La validez jurídica depende del mecanismo utilizado y de lo que exija el contrato o la regulación aplicable.

Cómo verificar si un PDF está firmado digitalmente — paso a paso

En Adobe Acrobat Reader (gratuito)

1. Abre el PDF en Adobe Acrobat Reader;
2. Si el documento tiene firma digital, aparecerá un panel de firmas en la barra lateral izquierda o una barra de colores en la parte superior de la pantalla;
3. Haz clic para ver los detalles: nombre del firmante, fecha y hora de la firma, certificadora, estado de validez;
4. El ícono verde con tilde (✓) indica que la firma es matemáticamente válida y el documento no fue alterado; el ícono de advertencia indica un problema.

En el Validador ITI (referencia oficial brasileña)

El ITI pone a disposición el Validador de Firmas en validar.iti.gov.br — la referencia oficial para verificar firmas ICP-Brasil:

1. Accede al portal y sube el archivo;
2. El informe indica: quién firmó, cuándo, qué certificadora emitió el certificado, si el certificado estaba vigente en la fecha de la firma, y si el documento no fue modificado después.

Para verificar la integridad del archivo sin depender de firmas, el verificador de integridad de RoseLab calcula el hash SHA-256 localmente, sin enviar el archivo a ningún servidor.

Qué significan las alertas de firma

"Documento modificado después de la firma" Esta es la alerta más seria: el archivo fue alterado después de firmarse. Puede indicar manipulación, pero también puede ser resultado de comprimir el PDF, dividirlo en partes, eliminar páginas o incluso una re-exportación inadvertida. Si quieres identificar qué cambió respecto a la versión originalmente firmada, abre las dos versiones en el comparador de PDF con el resaltado automático de diferencias activado.

"Certificado desconocido" o "Certificado no confiable" El lector de PDF no pudo verificar la cadena de certificación. Solución: instala los certificados raíz de ICP-Brasil disponibles en el sitio del ITI y vuelve a verificar.

"Certificado revocado" Si se revocó antes de la firma, la firma no es válida. Si se revocó después, la firma puede seguir siendo válida — lo que importa es el estado en la fecha de la firma. Más sobre esto en la guía de criptografía de documentos.

"Certificado vencido" Lo que importa es si el certificado estaba vigente en el momento de la firma, no en la fecha de verificación. Un contrato firmado en 2022 con certificado válido en esa fecha sigue siendo una firma de 2022, aunque el certificado haya vencido en 2023.

Firma digital y el flujo correcto de manipulación de PDF

Una vez que entiendes cómo funciona la firma digital, la regla operacional queda clara:

Toda manipulación del PDF viene antes de la firma. Si el documento necesita ser comprimido, dividido en partes, tener páginas eliminadas, ser unido con otros archivos o tener imágenes convertidas — todo eso debe hacerse antes de recoger cualquier firma digital.

Después de firmar, el archivo es intocable. Guarda el original firmado con su hash registrado (verificador) y trabaja solo en copias cuando necesites manipular el archivo.

Para una visión completa del flujo de preparación, comparación y protocolamiento de documentos, lee la guía completa para comparar documentos y demostrar qué cambió.

Preguntas frecuentes

¿La firma digital tiene validez jurídica en Brasil sin ICP-Brasil? La Ley Nº 14.063/2020 establece que los documentos electrónicos son válidos como prueba, evaluados caso a caso. La firma ICP-Brasil tiene presunción legal de autenticidad. Las firmas por otros mecanismos (gov.br, plataformas privadas) tienen validez contractual entre las partes que las aceptaron, pero la presunción legal es menor.

¿Puedo firmar un PDF de forma gratuita? La firma gov.br es gratuita y reconocida jurídicamente para la mayoría de los actos. El certificado ICP-Brasil tiene un costo de emisión. Plataformas como DocuSign y ClickSign tienen planes gratuitos con límite de documentos.

¿Cómo sé si mi PDF tiene firma digital o solo imagen de firma? La forma más simple: abre el PDF en Adobe Acrobat Reader. Si no aparece ningún panel de firmas ni barra de estado de firma, lo que ves es solo una imagen — sin valor criptográfico.

¿Puedo verificar sin instalar nada? Para verificación básica de integridad, el verificador de RoseLab funciona directo en el navegador, sin instalación. Para verificación formal de firma digital ICP-Brasil, el Validador ITI en validar.iti.gov.br es la referencia oficial.

¿Cuántas personas pueden firmar el mismo PDF? Pueden incrustarse múltiples firmas digitales en el mismo PDF. Si el documento se modifica tras la primera firma, solo las firmas anteriores a la modificación quedan invalidadas.