Firmar PDF digitalmente

Acerca de Firmar PDF digitalmente

Lo que añade esta herramienta es una firma digital criptográfica, no una imagen de tu firma. Toma la clave privada RSA y el certificado de un archivo PFX/P12, firma un hash SHA-256 de los bytes del documento y guarda los datos CMS (PKCS #7) resultantes en un campo de firma del PDF. El recuadro que ves en la página (nombre, motivo, fecha y un sello PNG opcional) es solo la apariencia de la firma; la validación usa los datos CMS, que no se ven.

El segundo modo es la verificación. Busca todas las firmas del documento y comprueba si el rango firmado cubre todo el archivo, si el hash de ese rango coincide con el valor guardado en la firma y si la firma cuadra con la clave pública del certificado del firmante. Después muestra el nombre, el emisor y la validez del certificado. El modo de verificación nunca modifica el archivo.

Imagen de firma frente a firma digital

Un PNG con tu firma manuscrita pegado en una página se puede copiar a cualquier otro documento, y el texto de alrededor se puede editar después sin dejar rastro. Una firma digital firma con la clave privada un hash de todo el documento, así que cambiar un solo byte después de firmar cambia el hash y la validación falla. Y solo quien tiene la clave privada puede generarla.

Si añades un sello PNG en esta herramienta, ocurren ambas cosas a la vez: la imagen se dibuja en la apariencia del recuadro y, debajo, está la firma CMS real. Nada impide copiar la imagen, pero la firma no viaja con la imagen copiada.

Qué formato de firma es exactamente

El diccionario de firma usa /Filter /Adobe.PPKLite y /SubFilter /adbe.pkcs7.detached, el formato básico de firma PDF definido en ISO 32000, que validan Acrobat y la mayoría de visores. El resumen es SHA-256, el algoritmo es RSA con relleno PKCS #1 v1.5 y se incluye el atributo signingTime.

No es una firma PAdES básica (ETSI EN 319 142-1). Los perfiles básicos de PAdES usan el SubFilter ETSI.CAdES.detached y exigen atributos como la referencia al certificado firmante; esta herramienta no genera ese formato. Tampoco incluye:

• Sello de tiempo (RFC 3161): la hora de firma sale del reloj de tu ordenador, no de una autoridad de sellado de tiempo.
• Validación a largo plazo (LTV): no incrusta información de revocación (CRL u OCSP). Cuando el certificado caduque, el documento por sí solo no podrá demostrar que era válido al firmar.
• Control de cambios permitidos (DocMDP): la nueva firma se añade como actualización incremental, así que las firmas anteriores siguen siendo válidas. Pero al verificar, la herramienta no juzga si una actualización añadida tras una firma es otra firma o un cambio en las páginas.
• Claves ECDSA: solo acepta PFX con clave privada RSA. Si eliges un certificado ECDSA se detiene indicando el motivo, y las firmas ECDSA no se verifican; el informe explica por qué.

Qué significa «Válida» y qué no

«Válida» significa que las comprobaciones matemáticas se superaron: el archivo no ha cambiado desde la firma y la firma cuadra con la clave pública del certificado incluido en el documento. La herramienta no contrasta ese certificado con una lista de confianza ni consulta CRL u OCSP. Cualquiera puede crear un certificado autofirmado con el nombre que quiera, así que una firma «válida» no demuestra quién firmó. Confirma el emisor y la huella del certificado con el firmante por otro canal, o abre el archivo también en un visor con lista de confianza, como Acrobat. El informe de verificación indica este límite junto al resultado y muestra la huella SHA-256 del certificado para esa comparación.

Que el rango firmado no cubra todo el archivo también importa. Si el rango termina en una revisión anterior completa (acabada en %%EOF) y lo que sigue es una actualización incremental, la herramienta muestra el rango como «revisión anterior completa» y juzga la validez según que esa revisión firmada esté intacta. Lo añadido puede ser otra firma legítima o un cambio en las páginas, y la herramienta no lo inspecciona. Si el rango se queda corto de cualquier otra forma, la firma no es válida.

Qué certificados sirven

Cualquier PFX/P12 exportado con su clave privada. En España, el certificado de persona física de la FNMT se puede exportar desde el navegador o el almacén de certificados como .pfx con clave privada, y así funciona aquí. El DNI electrónico no: su clave privada está en el chip y no se puede extraer a un archivo. También sirven un certificado de firma de documentos de tu empresa o uno autofirmado creado con OpenSSL; con este último, Acrobat mostrará que la identidad del firmante es desconocida hasta que el destinatario lo añada a sus certificados de confianza.

Ejemplos

Cómo se usa

1. Elige un PDF y selecciona Añadir firma o Solo verificar.
2. Para firmar: indica el PFX/P12 y su contraseña, y elige página, posición del recuadro, texto y sello opcional.
3. Ejecuta; se genera el archivo firmado y se verifica al momento.

Términos clave

CMS (PKCS #7)

El formato que contiene el valor de la firma, el certificado del firmante y los atributos firmados. Va en /Contents.

ByteRange

Las partes del archivo cubiertas por la firma: todo salvo el hueco reservado para los datos de la firma.

PAdES

El formato europeo de firma electrónica avanzada en PDF, definido en ETSI EN 319 142, con niveles para sello de tiempo y validación a largo plazo.

Certificado autofirmado

Un certificado que te emites tú mismo sin autoridad de certificación. Funciona criptográficamente pero no acredita identidad.

Preguntas frecuentes

Guías relacionadas

• Firmar un PDF: imagen de firma, firma digital y lo que dice la ley