Validación cualificada de la firma electrónica frente a la verificación simple: en qué se diferencian y cuándo es relevante esa diferencia

La validación cualificada de una firma o un sello electrónico es un servicio de confianza (conforme a eIDAS), que proporciona una prueba irrefutable de la validez de la firma electrónica y el sello electrónico, mientras que la simple verificación de la firma electrónica no es más que una lectura técnica de la capa electrónica del archivo por parte de un programa informático.

Esta diferencia es decisiva cuando el documento llega a los tribunales, a los organismos de control o cuando se trata de transacciones de alto riesgo.

Imagina una situación típica: recibes en tu escritorio un contrato importante firmado electrónicamente por la otra parte. Abres el archivo en un programa de lectura de PDF, ves el símbolo verde que indica que las firmas son válidas y das el asunto por zanjado, pensando que tienes una prueba irrefutable entre manos. O bien subes el documento a un verificador en línea gratuito y recibes un mensaje indicando que el resultado es positivo.

El problema es que ninguna de estas acciones te aporta nada más que una comprobación del archivo en ese preciso instante. Si dentro de unos años tu socio comercial impugna el contrato ante un tribunal, ese «pajarito verde» que hoy ves en la pantalla de tu ordenador puede que no sea suficiente para proteger los intereses de la empresa. Veamos por qué ocurre esto y cómo proteger adecuadamente los documentos de la empresa.

Lo más importante en pocas palabras

• Una verificación simple (por ejemplo, en un lector de PDF) no es más que un escaneo técnico de la capa electrónica del archivo, aquella que no se ve en la capa visual. No se basa en presunciones legales, y el creador del programa no se hace responsable de un resultado erróneo.
• La validación cualificada de la firma es un servicio de confianza formalizado. Su resultado invierte la carga de la prueba ante los tribunales, y el proveedor (por ejemplo, Autenti) asume toda la responsabilidad por la corrección de la verificación.
• Un validador cualificado genera un informe sellado criptográficamente que «congela» el estado de la firma en una fecha y hora determinadas. El documento constituirá una prueba irrefutable incluso años después, cuando los certificados ya hayan caducado.
• La verificación ordinaria es suficiente para asuntos internos de bajo riesgo. La validación cualificada es imprescindible en licitaciones (PZP), entidades reguladas (KNF) y para acreditar contratos clave.
• Como único proveedor cualificado del mercado, nuestro validador reconoce y verifica de forma nativa tanto la firma electrónica estándar de Autenti como la firma electrónica avanzada de Autenti, mostrando los datos completos del firmante.
  
  

¿Qué es exactamente la «verificación» de una firma electrónica?

La verificación habitual de una firma electrónica es un proceso de comprobación técnica de una capa del documento invisible a simple vista mediante un software, como los populares lectores de PDF (por ejemplo, Adobe Acrobat) o los verificadores en línea gratuitos y de acceso general.

Cuando abres un documento firmado, el programa actúa como un escáner digital. Comprueba cuatro aspectos fundamentales:

1. Si el documento contiene elementos criptográficos incrustados, por ejemplo, en forma de certificados de firma o sellos electrónicos, con el fin de identificarlos,
2. si el archivo no ha sido modificado tras la aplicación de la firma o el sello,
3. si el certificado criptográfico de la persona que firma es válido en ese momento concreto,
4. Y si la ruta de certificación (la denominada «cadena de confianza») es coherente.

La verificación habitual de una firma electrónica cualificada es una herramienta muy útil para el trabajo operativo diario. Permite comprobar rápidamente si el archivo enviado es realmente el contrato que esperábamos.

Sin embargo, presenta una laguna fundamental: no ofrece ninguna garantía jurídica ni preserva la prueba para el futuro.

Desde el punto de vista jurídico y empresarial, confiar exclusivamente en la verificación simple conlleva riesgos concretos:

• Ausencia de presunciones legales: el resultado de una simple verificación no se beneficia de las presunciones legales. En caso de litigio, serás tú quien tenga que demostrar ante el tribunal (a menudo recurriendo a peritos informáticos) que la firma se realizó correctamente.
• Ausencia de responsabilidad del proveedor: El fabricante de un lector de PDF gratuito o de un portal independiente de verificación no asume absolutamente ninguna responsabilidad por el resultado. Si el programa interpreta erróneamente el certificado y muestra el «pajarito verde» en una firma no válida, las consecuencias recaerán exclusivamente sobre tu organización. Las mismas reglas se aplican a la validación de la integridad del documento tras la incorporación de firmas o sellos electrónicos en el mismo.
• El problema del paso del tiempo: Los certificados de firmas y sellos electrónicos tienen una validez técnica determinada (normalmente de uno a tres años, aunque cada vez se utilizan más los denominados «certificados de un solo uso»). Si abres ese mismo documento, correctamente firmado, en un lector de PDF convencional dentro de cinco años, y el certificado de la firma o del sello no incluye un sello de tiempo cualificado (LTV - Long Term Validation), lo más probable es que el programa muestre un error y marque la firma como no válida. Sin una prueba generada adecuadamente, será extremadamente difícil reconstruir la verdad histórica.
  
  

«Muchos empresarios descubren por las malas la diferencia entre un lector de PDF gratuito y una validación cualificada solo en la sala del tribunal. Un programa convencional solo ofrece una visión tecnológica en un momento dado. Solo un servicio de confianza cualificado protege los intereses de la empresa a largo plazo, invirtiendo eficazmente la carga de la prueba». — Agata Kolorz-Lentini, directora de Cumplimiento de Seguridad de la Información, Delegada de Protección de Datos en Autenti

¿Qué es un servicio de validación cualificado y en qué se diferencia?

Un servicio de validación cualificado es un servicio de confianza formalizado, definido en los artículos 32 y 33 del Reglamento eIDAS, que confirma de manera jurídicamente vinculante y a largo plazo que la firma electrónica o el sello electrónico eran válidos en el momento de su presentación y que la integridad de los datos firmados no se ha visto alterada.

A diferencia de los programas habituales, este servicio solo pueden prestarlo entidades que cuenten con la rigurosa condición de Proveedor Cualificado de Servicios de Confianza, inscritas en la lista de confianza europea (Trusted List). En el mercado polaco, actualmente solo Asseco, CenCert y Autenti forman parte de este reducido grupo.

El mecanismo de funcionamiento de la validación cualificada se basa en la entrega de una prueba inviolable en forma de informe, cuyo alcance ha sido definido por una norma específica publicada por el Instituto Europeo de Normas de Telecomunicaciones (ETSI). Desde un punto de vista empresarial y jurídico, este servicio se diferencia de la verificación habitual en tres elementos clave:

1. Presunciones legales del artículo 32 del Reglamento eIDAS: Esta es la ventaja más importante. El resultado de la validación cualificada goza de protección jurídica. De acuerdo con la normativa, los organismos estatales (por ejemplo, los tribunales, la fiscalía, la Cámara Nacional de Apelación, la Comisión Nacional de Supervisión Financiera o la Inspección de Trabajo) no pueden rechazar dicha prueba. En la práctica, esto supone una inversión de la carga de la prueba: si presentas un informe de validación cualificada, la parte que cuestione el contrato o la validez de las firmas deberá demostrar ante el tribunal que se ha producido un fraude. Tú estás protegido.
2. Fijación de la prueba (congelación en el tiempo): la validación cualificada documenta el estado de la firma en la fracción de segundo en la que se prestó el servicio. El informe generado se protege criptográficamente con un sello cualificado del proveedor del servicio y un sello de tiempo cualificado. Aunque dentro de un año el certificado de tu contraparte caduque o sea revocado, el informe de hoy constituirá en el futuro una prueba irrefutable de que, en el momento de la transacción, todo era correcto.
3. Detección de cambios tras el paso del tiempo: si resulta necesario presentar pruebas sobre una circunstancia concreta en relación con un contrato celebrado hace varios años, la validación cualificada es una herramienta imprescindible en el arsenal para cualquier situación. La validación cualificada no solo proporciona información sobre la validez del certificado de firma o del sello electrónico en el momento de su presentación, sino que también detecta y notifica cualquier cambio, incluida la revocación del certificado (por ejemplo, por fraude) o modificaciones no autorizadas en el propio certificado o documento.
4. Responsabilidad total del proveedor: al utilizar la validación cualificada de la firma, transfieres el riesgo al proveedor. Si el sistema emite un informe erróneo y certifica algo que no es cierto, el proveedor cualificado asume toda la responsabilidad.

«El mayor valor de la validación cualificada es proporcionar información completa sobre los certificados que figuran en el documento. No solo el mero hecho de su existencia, pues, como sabemos, la mera visualización de la firma no tiene ninguna validez jurídica en el contexto de la firma electrónica, sino también de todos los datos contenidos en el certificado, el proveedor del certificado, su validez o cualquier modificación no autorizada en el documento o en las medidas de seguridad criptográficas. La herramienta permite combatir de manera eficaz cualquier tipo de abuso, entre los que destaca, sobre todo, la posible mala fe de nuestros interlocutores, que presentan ante los tribunales documentos falsos o manipulados como prueba» — Agata Kolorz-Lentini, directora de Cumplimiento de Seguridad de la Información y responsable de Protección de Datos en Autenti

En la práctica: cuándo basta con una verificación simple y cuándo se necesita una verificación cualificada

En nuestra práctica, vemos a menudo que las empresas recurren a verificadores gratuitos en contratos multimillonarios. La decisión sobre cuándo utilizar cada herramienta debe basarse en el análisis de riesgos (cumplimiento normativo) de tu organización.

Una verificación simple es más que suficiente cuando:

• Se procesan documentos dentro de la organización que no conllevan consecuencias legales (por ejemplo, solicitudes de vacaciones, circulares, aprobaciones de reglamentos internos de rango inferior).
• Solo quieras asegurarte de que el archivo no se ha dañado tras descargarlo del correo electrónico, antes de enviarlo a otro departamento para su revisión.
• Verificas documentos de carácter no formal, en los que es poco probable que surja un posible litigio con un socio comercial o en los que los costes de dicho litigio serían insignificantes en comparación con los costes de tramitación.

La validación cualificada es absolutamente imprescindible cuando:

• Participas en licitaciones públicas (PZP): como poder adjudicador, tienes la obligación de verificar si la oferta ha sido firmada correctamente. El rechazo de una oferta debido a una lectura errónea por parte de un programa gratuito da lugar a protestas inmediatas. Las sentencias de la Cámara Nacional de Apelación (KIO) indican claramente que los poderes adjudicadores, al examinar las ofertas, deben basarse en herramientas cualificadas (p. ej., KIO 457/22).
• Recopilas documentación por si surge un litigio: cuando documentas la celebración de un contrato con un contratista exigente. En caso de que se cuestione la autenticidad del contrato (por ejemplo, en litigios de consumo y los denominados fraudes en el sector de las telecomunicaciones), un informe cualificado permite desestimar rápidamente las reclamaciones.
• Eres una entidad regulada: organizaciones como bancos, aseguradoras o empresas de leasing están sujetas a auditorías de la KNF y a rigurosos procedimientos AML. En su caso, las pruebas de la voluntad de los clientes deben ser irrefutables y conservarse durante años.
• Verificas las firmas de contrapartes extranjeras: La validación de una firma cualificada emitida por una entidad de otro país de la Unión Europea requiere una amplia base de datos de proveedores europeos (EU Trusted List) que se actualice en tiempo real. Los lectores habituales no tienen, por defecto ,listas de certificados de confianza para las firmas cualificadas europeas y, a menudo, se pierden entre los certificados extranjeros, generando errores falsos.
• Estás preparando contratos para que los firme el consejo de administración: los asistentes del consejo y los departamentos de compras, al recibir los contratos de los proveedores, asumen la responsabilidad de su corrección. Presentar a los miembros del consejo de administración un contrato con una firma defectuosa del contratista supone un enorme riesgo legal para toda la empresa.

💡 ¿Te preguntas si los procesos y documentos de tu organización requieren una validación cualificada?

Concierta una consulta gratuita con un experto de Autenti y descubre cómo minimizar el riesgo legal en el manejo de documentos electrónicos.

¿Qué incluye el resultado de una validación cualificada? — Informe y certificado

Muchos usuarios de programas gratuitos están acostumbrados a que el resultado de la verificación de una firma sea simplemente un mensaje que aparece brevemente en la pantalla. Sin embargo, el resultado de una validación cualificada son documentos permanentes y protegidos criptográficamente.

Al finalizar el proceso de validación cualificada, obtienes dos elementos clave:

1. Informe de validación (archivo XML): se trata de un documento altamente técnico, elaborado de conformidad con las estrictas normas del ETSI (Instituto Europeo de Normas de Telecomunicaciones). Este archivo es legible por máquina, lo que permite una fácil integración del servicio a través de una API con los sistemas de gestión documental de la empresa (por ejemplo, ERP, CRM), donde el software lee el resultado por sí mismo sin intervención humana.
2. Certificado de validación (archivo PDF): se trata de un documento visual legible para el ser humano que sirve como prueba física.

En el Certificado de validación encontrarás todos los detalles de la transacción: los datos exactos de la persona que firma (nombre, apellidos y, en ocasiones, la organización), el número de serie del certificado y los datos de su proveedor, el formato de la firma y los parámetros del sello de tiempo utilizado. Todo ello va acompañado de un identificador único del proceso de validación.

Sin embargo, el elemento más importante del informe es el indicador final de validación, que, en virtud de la normativa de la UE, siempre adopta uno de estos tres estados:

• TOTAL-PASSED (Validación positiva): La firma es totalmente correcta, el certificado era válido en el momento de la firma y el archivo no ha sido alterado.
• INDETERMINATE (Validación indeterminada): El sistema no dispone de datos suficientes para emitir un resultado inequívoco y vinculante. Esto puede ocurrir, por ejemplo, cuando la firma se realizó hace mucho tiempo, sin utilizar un sello de tiempo cualificado, y no se puede determinar con certeza si esto ocurrió antes de que caducara el certificado.
• TOTAL-FAILED (Validación negativa): Indica un error grave. Suele producirse cuando el certificado criptográfico no era válido en el momento de su uso, o cuando alguien ha alterado físicamente el contenido del documento tras su firma.

Ambos archivos (XML y PDF) están rigurosamente protegidos mediante la aplicación de un sello electrónico cualificado del Proveedor de Servicios de Confianza y un sello de tiempo cualificado. Este sello garantiza que el propio informe nunca ha sido manipulado.

Un malentendido frecuente: ¿son los validadores gratuitos «conformes con eIDAS»?

A la hora de elegir una herramienta para verificar documentos, es muy fácil caer en la trampa del marketing tecnológico. Muchos validadores gratuitos en línea, así como los lectores de PDF más populares, se promocionan con eslóganes del tipo: «Herramienta compatible con eIDAS» o «Admitimos los estándares eIDAS». Esto significa que ofrecen la denominada «conformidad tecnológica», que, sin embargo, no garantiza en absoluto la validez jurídica.

La conformidad técnica con eIDAS significa únicamente que el software se ha programado de tal manera que lee correctamente las estructuras criptográficas (como XAdES o PAdES) recomendadas por la Unión Europea. El código del programa no incumple las directrices de la UE. Sin embargo, es como decir que un título universitario impreso en una impresora tiene el formato adecuado y utiliza la tipografía correcta.

Un servicio de validación cualificado, en el sentido del artículo 33 del Reglamento eIDAS, es, a su vez, un estatus jurídico de gran peso para la entidad que expide dicho título. Un servicio cualificado no es solo una cuestión de implementación del código, sino de auditorías de varios meses realizadas por entidades certificadoras, la inclusión en la lista europea (Trusted List), la aplicación de rigurosos procedimientos de seguridad y cumplimiento, y la disposición a asumir la responsabilidad financiera por cada resultado de validación generado.

La siguiente tabla ayuda a comprender por qué una herramienta «técnicamente conforme» no es lo mismo que un servicio cualificado:

Si tu objetivo es obtener seguridad jurídica, una herramienta técnicamente conforme, pero prestada por un entidad no cualificada, es sencillamente insuficiente.

💡 ¿Te preguntas si las herramientas que utilizas protegen realmente los intereses de tu empresa?

Consulta la implementación de una validación cualificada con nuestro experto y obtén una seguridad probatoria del 100 %.

Resumen

La diferencia fundamental entre la verificación y la validación cualificada de la firma electrónica es de carácter jurídico, no técnico. Aunque, a primera vista, ambas herramientas puedan mostrar el mismo mensaje positivo sobre el estado del documento, solo una de ellas te proporciona una prueba sólida y duradera con un valor indiscutible.

El software habitual es una herramienta estupenda para una revisión rápida e informal de los archivos. Sin embargo, si proteges los intereses de tu empresa frente al riesgo de pérdidas económicas, confiar en los mensajes verdes de un lector gratuito es una imprudencia. La validación cualificada te libera de la carga de la prueba en caso de litigio y traslada la responsabilidad a un proveedor certificado y supervisado.

Como Proveedor de Servicios de Confianza Cualificado autorizado, inscrito en la Lista de Confianza polaca y europea, ofrecemos soluciones que proporcionan una seguridad jurídica del 100 %. Es importante destacar que nuestro validador es el único del mercado que admite de forma nativa y verifica plenamente también la firma electrónica de Autenti y la firma electrónica avanzada de Autenti. Protege las pruebas de los contratos que celebres y asegúrate de que tu organización esté protegida a largo plazo: echa un vistazo al validador cualificado de Autenti.