Firmar un PDF: imagen de firma, firma digital y lo que dice la ley

Pegar un PNG con tu firma manuscrita en la última página de un contrato y devolverlo por correo se ha vuelto lo normal, y casi nadie lo cuestiona. Sin embargo, «firmar un PDF» agrupa dos cosas técnicamente sin relación. Una es una imagen que imita la tinta sobre papel. La otra es una firma criptográfica ligada matemáticamente al contenido del documento. Cuando sabes distinguirlas, la pregunta «¿con esto basta?» se vuelve mucho más fácil de responder.

La imagen de firma: cualquiera puede copiarla

Si colocas una imagen de firma con una herramienta como añadir texto o imagen a un PDF, el archivo gana un objeto de imagen y una instrucción para dibujarlo. Esa imagen no tiene relación con nada más del documento.

Cualquiera puede extraerla y pegarla en otro documento.
Se puede cambiar el importe o la fecha del texto después de colocarla y el archivo no guarda rastro.
Nada en el archivo indica quién la puso.

Eso no la hace inútil. Lo que una firma demuestra sobre todo es que una persona aceptó el contenido, y esa voluntad se puede probar con otras cosas: el hilo de correos, las conversaciones, el hecho de que ambas partes cumplieron después. Pero si hay un conflicto, la imagen en sí prueba muy poco y el peso recae en esas pruebas de alrededor.

La firma digital: ligada al documento por un hash y una clave privada

La firma digital basada en certificados usa criptografía de clave pública. Quien firma tiene una clave privada; la clave pública correspondiente va en un certificado que cualquiera puede leer. Firmar un PDF funciona más o menos así:

El archivo se guarda dejando un hueco reservado para los datos de la firma.
Se calcula un hash de todos los bytes salvo ese hueco (el ByteRange).
El hash, junto con atributos como la hora de firma, se firma con la clave privada, se empaqueta con el certificado en formato CMS y se escribe en el hueco.

Quien verifica vuelve a calcular el hash del mismo rango y comprueba la firma con la clave pública del certificado. Si cambió un solo byte, el hash es otro; y sin la clave privada nadie puede generar una firma nueva que cuadre. La firma digital garantiza, por tanto, dos cosas: que el documento no ha cambiado desde la firma (integridad) y que lo firmó quien tiene esa clave privada.

Quién tiene la clave lo dice el certificado. Si lo emitió un prestador de confianza tras comprobar la identidad, como la FNMT en España, visores como Acrobat lo contrastan con su lista de confianza y muestran al firmante. Un certificado autofirmado, generado por uno mismo, da «identidad del firmante desconocida». La criptografía es igual de sólida; la garantía de identidad, no.

PAdES: firmas pensadas para durar

La especificación PDF (ISO 32000) define sus propios formatos de firma, pero en Europa la referencia es PAdES, normalizado por ETSI como EN 319 142. Las firmas PAdES básicas usan el SubFilter ETSI.CAdES.detached y añaden requisitos como una referencia firmada al certificado del firmante. La norma define cuatro niveles:

Nivel	Añade	Para qué
B-B	La firma básica	Firma y certificado del firmante
B-T	Un sello de tiempo de confianza	Un tercero garantiza que la firma existía en ese momento
B-LT	Material de validación (cadena de certificados, revocación)	Se puede validar aunque el prestador desaparezca o no responda
B-LTA	Sellos de tiempo de documento	Se renueva para que la prueba sobreviva al envejecimiento de los algoritmos

Los niveles existen porque los certificados caducan. El de persona física de la FNMT, por ejemplo, dura unos pocos años, pero un contrato puede necesitarse como prueba una década después. Para demostrar que una firma hecha con un certificado ya caducado era válida cuando se hizo, hace falta que un tercero garantice la hora de la firma y que el estado de revocación de aquel momento quede guardado dentro del documento.

La herramienta Firmar PDF digitalmente de este sitio firma en el formato básico de ISO 32000 (adbe.pkcs7.detached). Basta para la integridad y para comprobar el certificado del firmante, pero no lleva sello de tiempo ni datos de validación a largo plazo, así que no es una firma PAdES básica. Si una administración exige un formato concreto, usa la aplicación que indique.

Unión Europea: eIDAS y sus tres niveles

El Reglamento eIDAS (UE) n.º 910/2014, modificado por el Reglamento (UE) 2024/1183, es directamente aplicable en todos los Estados miembros y distingue tres niveles de firma electrónica:

Firma electrónica simple: cualquier dato electrónico que el firmante añade con intención de firmar. Una firma escaneada o una casilla de aceptación pueden entrar aquí.
Firma electrónica avanzada: vinculada al firmante de manera única, que permite identificarlo, creada con medios bajo su control exclusivo y vinculada a los datos de forma que se detecte cualquier cambio posterior. Una firma PDF con certificado puede cumplirlo.
Firma electrónica cualificada: una firma avanzada creada con un dispositivo cualificado de creación de firma y basada en un certificado cualificado.

El artículo 25 establece que no se denegarán efectos jurídicos ni admisibilidad como prueba a una firma electrónica por el mero hecho de ser electrónica o de no cumplir los requisitos de la cualificada, y otorga a la firma cualificada un efecto jurídico equivalente al de la firma manuscrita. Una firma cualificada basada en un certificado cualificado de un Estado miembro se reconoce como tal en todos los demás. PAdES es el formato habitual para llevar firmas avanzadas y cualificadas dentro de un PDF.

En España, la firma con certificado de la FNMT o con el DNI electrónico es la vía habitual para trámites con la Administración. El DNIe guarda la clave privada en el chip, por lo que se firma con lector y software compatible; el certificado de la FNMT instalado en el ordenador se puede exportar como archivo .pfx con su clave privada.

Estados Unidos: la ley ESIGN, neutral respecto a la tecnología

La ley ESIGN, firmada el 30 de junio de 2000 (15 U.S.C. § 7001 y siguientes), se aplica a las operaciones del comercio interestatal o exterior. Define la firma electrónica de forma muy amplia: un sonido, símbolo o proceso electrónico unido o asociado lógicamente a un contrato u otro registro y ejecutado o adoptado por una persona con intención de firmarlo. Una firma, un contrato o un registro no pueden verse privados de efecto jurídico, validez o fuerza ejecutiva solo por estar en forma electrónica. No exige criptografía; un nombre escrito al final de un correo puede valer según el caso. Quedan excluidos, entre otros, testamentos, asuntos de derecho de familia y resoluciones judiciales, y las comunicaciones obligatorias a consumidores por vía electrónica requieren un consentimiento previo específico.

Japón y Corea

En Japón, la Ley de Firma Electrónica y Servicios de Certificación entró en vigor el 1 de abril de 2001. Su artículo 3 presume que un documento electrónico con la firma electrónica de la propia persona, que cumpla ciertos requisitos, se creó por voluntad de esa persona. El requisito central es que se trate de una firma que «solo esa persona puede realizar», trasladando al mundo electrónico la presunción que en papel aporta el sello personal. En septiembre de 2020 tres ministerios publicaron una guía según la cual los servicios de contratación en la nube que firman con la clave del proveedor por orden del usuario pueden acogerse a esa presunción si el proceso asegura lo suficiente que solo el usuario pudo iniciarlo.

Corea del Sur reformó por completo su Ley de Firma Electrónica (Ley n.º 17354), en vigor desde el 10 de diciembre de 2020. Eliminó el régimen de «certificados acreditados», que durante veinte años fueron casi obligatorios para la banca y la Administración en línea. El nuevo artículo 3 dice que una firma electrónica no pierde efecto como firma por ser electrónica y que, cuando una ley o un acuerdo entre las partes elige la firma electrónica como forma de firmar, la firma elegida tiene efecto de firma.

Cuándo basta con una imagen y cuándo no

En todos estos sistemas el punto de partida es el mismo: lo electrónico no es inválido por serlo. Así que la pregunta práctica es menos «¿tiene efecto legal?» y más «si esto sale mal, ¿cómo demostraré lo acordado?». Como orientación general, no como asesoramiento para un caso concreto:

Una imagen de firma o una firma electrónica simple suele bastar para:

presupuestos y pedidos con un cliente habitual, cuando los correos ya dejan constancia del acuerdo;
aprobaciones internas y actas, cuando la organización tiene sus propios registros;
operaciones cotidianas de poco importe y poco riesgo.

Conviene una firma con certificado o el método que marque la ley para:

documentos para los que una norma exige una forma concreta, firma manuscrita o intervención notarial (trámites administrativos, algunas operaciones inmobiliarias y financieras, testamentos);
contratos de importe alto con alguien cuya identidad no has comprobado en persona;
documentos en los que quizá tengas que demostrar años después que no cambió ni una palabra tras la firma;
cualquier caso en que la otra parte exija un formato, como una firma cualificada.

Un último apunte técnico. La firma digital delata los cambios, pero no oculta el contenido. Si quieres enviar un contrato firmado y además mantenerlo confidencial, necesitas cifrar el PDF como paso aparte, y cifrar un archivo ya firmado lo reescribe y rompe la firma. Decide el orden de antemano o usa un programa que haga ambas cosas a la vez.