Firma con certificado electrónico

El certificado no decide solo el nivel

Un certificado vincula datos de validación con una identidad bajo condiciones determinadas. Puede participar en firmas avanzadas o cualificadas, pero «firmado con certificado» no demuestra por sí mismo una firma cualificada. Hay que identificar tipo de certificado, titular, emisor, política, vigencia, dispositivo y servicio utilizado.

Para una cualificada se necesita certificado cualificado y dispositivo cualificado, además de los requisitos de firma avanzada. Esos criterios no se sustituyen con la marca del software, el candado del PDF o la apariencia visible.

Escenario de representante de sociedad

Una directora financiera debe firmar declaraciones y contratos en nombre de una empresa. Dispone de un certificado, pero el equipo no sabe si es personal, de representante o para otro uso. Antes de automatizar, se revisan titular, facultades, caducidad y aceptación por el receptor.

El flujo también decide quién prepara el documento, quién autoriza su envío y cómo se conserva el poder. Si varias personas comparten un equipo o credencial, se pierde control. La solución puede usar firma local, remota u otra arquitectura; cada una reparte custodia y autenticación de forma distinta.

Prueba del ciclo de vida

Se valida una firma de muestra y se inspeccionan certificado, cadena, estado de revocación, política y tiempo. Luego se prueba un certificado caducado, uno revocado y un documento modificado. El responsable documenta qué aplicación valida, qué información conserva y cómo actuará si el certificado cambia.

También se simula la baja del representante para comprobar revocación, permisos y continuidad. Esta guía no asegura haber probado servicios comerciales. Propone un examen que la empresa puede repetir y auditar.

El límite de la firma en servidor

Cuando el proveedor gestiona claves o firma remota, deben entenderse autenticación y control del firmante. Un botón dentro de una aplicación no explica qué dispositivo de creación opera detrás ni bajo qué servicio. La lista de confianza ayuda a comprobar cualificación del servicio preciso, no de toda la empresa.

Otro caso límite es el sello automatizado de una persona jurídica. Puede proteger origen e integridad de documentos masivos, pero no representa la voluntad de una persona física firmante. Firma y sello requieren decisiones separadas.

La caducidad merece planificación. Un certificado puede ser válido al firmar y estar caducado cuando se consulta años después. Por eso la conservación incluye información de validación, tiempos y formatos que permitan interpretar el estado histórico. Guardar únicamente el certificado actual del representante no basta. El sistema debe separar emisión, uso, revocación y validación posterior.

También se documenta el puesto de trabajo. Si la clave reside en tarjeta, dispositivo remoto o almacén central, cambian soporte y continuidad. La elección debe prever pérdida, sustitución y uso desde otra sede sin compartir credenciales.

Conclusión con certificado identificado

La firma con certificado encaja cuando el certificado y su uso responden al trámite, la representación y el nivel requerido. La ficha de decisión debe contener titular, emisor, política, vigencia, dispositivo, validación, revocación y conservación. eIDAS2 no altera esta exigencia ni permite presuponer que un wallet futuro resuelva ya el proceso. Si cualquiera de esos elementos queda oculto tras una etiqueta comercial, hace falta aclaración antes de contratar.