Los servicios de firma en línea resuelven un problema de logística específico: obtener una firma en un documento cuando el firmante no tiene software de PDF, ni tiempo para imprimir, ni máquina de fax. DigiSigner se sitúa en ese espacio. Maneja archivos de PDF, Word, Excel e imágenes en un navegador, le permite colocar campos de firma en cualquier página y entrega un archivo completado sin requerir que la otra parte instale nada. Si ese intercambio realmente se sostiene depende de detalles que la página del servicio tiende a pasar por alto
Lo que realmente hace el flujo de firma
La mecánica es sencilla. Usted sube el documento a través de HTTPS, arrastra los campos de firma y fecha a las páginas donde pertenecen, y lo firma usted mismo o envía una invitación a otra parte. El firmante recibe un enlace, abre el documento en su navegador, hace clic a través de los campos y envía. Usted recibe una notificación y puede descargar el archivo completado
Ese camino de tres pasos funciona bien para aprobaciones internas, acuerdos rápidos de proveedores y situaciones donde la velocidad importa más que las garantías criptográficas. Donde comienza a tensionarse es en los documentos regulados, las secuencias multipartitas y cualquier cosa que pudiera ser impugnada en un tribunal. Para esos casos, el flujo de trabajo es tan bueno como la evidencia de auditoría que lo respalda
Registros de auditoría y evidencia de manipulación
El registro de auditoría es lo más importante de verificar antes de comprometerse con cualquier servicio de firma. Necesita registrar la identidad del firmante (típicamente verificada por correo electrónico), la dirección IP, la marca de tiempo y un hash del estado del documento en el momento de la firma. Algunos servicios empaquetan esta evidencia en el propio PDF como un archivo adjunto separado o metadatos incrustados; otros la mantienen del lado del servidor y emiten un certificado a pedido. Conozca qué enfoque usa un servicio antes de tener que producir la evidencia para una disputa
La evidencia de manipulación es una cuestión relacionada pero distinta. Un PDF completado de un servicio de firma puede llevar una firma digital aplicada por el propio certificado del servicio, lo que significa que cualquier modificación posterior a la firma romperá la firma y será visible en un visor compatible. Eso es diferente de una firma criptográfica de extremo a extremo creada con la propia clave privada del firmante. Para la mayoría de los flujos de trabajo empresariales, el certificado aplicado por el servicio es adecuado. Para industrias reguladas o transacciones transfronterizas cubiertas por eIDAS, puede que no lo sea
Afirmaciones de cumplimiento: lea la letra pequeña
La mayoría de los servicios de firma en línea enumeran ESIGN, UETA y eIDAS en su comercialización. Esas leyes establecen los requisitos de cuándo una firma electrónica es legalmente vinculante, pero no certifican software. Un servicio que afirme el cumplimiento de eIDAS podría significar cualquier cosa, desde "satisfacemos los requisitos básicos para una Firma Electrónica Simple" hasta "somos un Proveedor de Servicios de Confianza acreditado que emite Firmas Electrónicas Cualificadas". La brecha entre esas dos es significativa en cualquier jurisdicción donde la QES conlleva una equivalencia legal a una firma manuscrita
Revise la documentación del centro de confianza del servicio en lugar de la página de inicio. Busque detalles específicos: qué nivel de eIDAS, qué países están cubiertos por una opinión legal separada, si los términos del servicio incluyen indemnización por disputas de firmas. Si el tipo de documento exige una QES o una firma notariada por la ley local, una SES basada en navegador no es un sustituto, independientemente de lo que diga la comercialización
Almacenamiento de documentos y residencia de datos
Cuando carga un contrato o un documento financiero a un servicio de firma en la nube, vive en su infraestructura hasta que usted o ellos lo eliminen. Las preguntas prácticas son: dónde se almacena, quién dentro del servicio puede acceder a él, cuánto dura el período de retención predeterminado y si puede activar la eliminación a pedido. Para los documentos que contienen datos personales cubiertos por el RGPD, la respuesta a "dónde se almacena" no es opcional
DigiSigner, como la mayoría de los servicios en esta categoría, almacena documentos en la infraestructura de la nube y los retiene por un período configurable después de que se completa la firma. Revise el acuerdo de procesamiento de datos antes de enrutar cualquier cosa sensible a través del servicio. Si su organización opera bajo una regulación específica del sector como HIPAA o reglas de servicios financieros, confirme si el servicio firmará un Acuerdo de Socio Comercial (BAA) o un anexo equivalente
Dónde encaja DigiSigner y dónde no
DigiSigner es una elección razonable para aprobaciones internas ligeras, contratos de pequeñas empresas y organizaciones que necesitan una firma ocasional basada en navegador sin configurar su propia infraestructura. El nivel gratuito maneja un número limitado de documentos por mes, lo cual es suficiente para evaluar si el flujo de trabajo encaja antes de comprometerse
No es la herramienta adecuada cuando el flujo de trabajo de firma necesita integrarse estrechamente con una tubería de generación de documentos, cuando el volumen es lo suficientemente alto como para que el precio por documento sea significativo, o cuando los documentos conllevan obligaciones regulatorias que requieren un certificado cualificado. En esos casos, la arquitectura necesita una biblioteca que se ejecute localmente, le brinde control sobre la cadena de certificados y le permita incrustar la firma como parte de la generación de documentos en lugar de como un paso de procesamiento posterior
Preparación de un PDF generado por el desarrollador para su firma externa
Si su aplicación genera el PDF antes de entregarlo a un servicio de firma, algunas propiedades del documento hacen que el paso de firma sea más limpio. Mantenga el tamaño de la página consistente: un documento A4 enviado a un servicio que tiene por defecto la vista previa del tamaño de carta puede producir campos de firma desalineados. Acople (flatten) cualquier campo de formulario interactivo que no sea un marcador de posición de firma, porque algunos servicios reemplazan o descartan los campos de AcroForm existentes cuando agregan los suyos propios. Reserve espacio en blanco explícito en las páginas donde pertenecen las firmas en lugar de permitir que el servicio las superponga sobre el contenido activo
Guarde tanto la copia previa a la firma como la copia firmada completada, nombradas para que las dos estén claramente asociadas. Cuando un firmante disputa lo que acordó, tener el documento exacto que se envió es el punto de partida para cualquier investigación. Si la versión firmada regresa con un conteo de páginas diferente o métricas de fuentes diferentes a las que entraron, algo en la tubería de renderizado del servicio cambió el documento, lo que vale la pena entender antes de tratar la salida como autorizada
Servicio frente a biblioteca: una distinción práctica
Un servicio de firma en línea y una biblioteca de firma digital de PDF resuelven problemas diferentes y la distinción importa cuando está diseñando un flujo de trabajo de documentos. Un servicio maneja la logística: enrutar documentos a múltiples partes, recopilar evidencia de identidad, emitir notificaciones por correo electrónico y almacenar archivos completados. Una biblioteca maneja la criptografía: construir el diccionario de firmas, aplicar la cadena de certificados, incrustar el hash firmado en el rango de bytes del archivo según la norma ISO 32000-2. Los dos pueden coexistir en la misma tubería, pero sustituir uno por el otro porque ambos involucran la palabra "firma" tiende a producir flujos de trabajo que ni están debidamente auditados ni debidamente firmados
Para la mayoría de los casos de uso de pequeñas empresas y aprobaciones internas, un servicio como DigiSigner cubre lo que se necesita y cuesta menos que construir una infraestructura de firma desde cero. Para aplicaciones con muchos documentos donde las firmas son parte de la generación, donde la gestión de certificados importa, o donde el artefacto firmado necesita ser verificable sin referencia a un servidor de terceros, una biblioteca que se ejecute dentro de su propia pila es la arquitectura más defendible