¿Mi firma digital puede expirar?
Desde el inicio de la pandemia, muchas empresas han tenido que adaptarse para mantener sus procesos en marcha, desde lo comercial hasta la gestión administrativa. Uno de los retos fue firmar documentos que requieren aprobación frecuente, ya sea con empleados o clientes. Para resolverlo, algunas empresas han empezado a usar firmas digitales en sus procesos internos, disfrutando de beneficios como la agilidad para acceder a documentos firmados y ahorro en impresión, envío y almacenamiento físico.
Aunque mucha gente ya conoce o ha usado la firma digital, quedan algunas preguntas clave que vamos a responder aquí:
- ¿Cuánto dura mi firma digital?
- ¿Que pasa si mi certificado digital expira o vence?
- ¿Las firmas siguen siendo válidas o debo firmar otra vez?
Ahora vamos a comenzar definiendo que es una firma digital
Para comprender cómo funciona la vigencia de una firma digital, primero necesitamos entender sus dos componentes principales:
- Certificado Digital: Es como tu DNI, pero en versión electrónica. Contiene tus datos personales (DNI, nombre, correo, etc.), y ha sido emitido por una entidad de confianza que verifica tu identidad. Cuidarlo es tan importante como cuidar tu DNI físico.
- Software de Firma Digital: Este es el “mago” que utiliza tu certificado digital para firmar un documento (normalmente un PDF), añadiendo toda la información necesaria y asegurando que el documento no se puede modificar después de la firma.
Tipos de firma digital
Existen dos tipos de firma digital que abordan de manera diferente el tema de la vigencia y la validación:
- Firma Digital Básica Es la más sencilla y contiene la información básica del firmante, además de datos sobre la entidad que emitió el certificado. Sin embargo, si el certificado expira, validar la firma puede ser complicado, ya que esta firma no guarda toda la información necesaria para futuras validaciones.
- Firma Digital Longeva Esta firma es más avanzada y contiene más detalles que permiten validar el documento a lo largo del tiempo, incluso después de que el certificado haya expirado. Incluye:
a. Información del firmante.- Obtenida al momento de la firma digital.
b. Cadena de confianza.- Datos de la entidad/empresa (autoridad de certificación) que validó y emitió el certificado digital.
c. Información sobre el estado del certificado (CRL/OCSP).- (si estaba activo o revocado en el momento de la firma) mediante servicios como CRL y OCSP.
- CRL: lista de certificados revocados (entiéndase anulados), es como una lista negra de certificados que han sido reportados por sus suscriptores para que no se puedan utilizar, DATO IMPORTANTE: En esta lista solo vamos a encontrar los certificados que aún están dentro de su periodo de vigencia, pero que por algún motivo se revocó. Por ejemplo si tengo un certificado que vence el 12/12/2023 y luego solicito que se revoque, este certificado va a estar en la CRL hasta la fecha que expire 12/12/2023, luego de esa fecha se considera un certificado vencido por lo que ya no estaría en esta lista negra.
- OCSP: que es un servicio que da información al software de firma si el certificado está activo o no.
d. Sello de tiempo.- que es como una marca de fecha y hora independiente verificada por un tercero de confianza.
¿Quizá hasta aquí se sigan preguntando, pero como puedo saber si mi firma tiene una fecha de expiración?. Pues es bastante simple, vamos a poner un caso práctico con cada tipo de firma.
Ejemplo práctico de firma básica en un PDF
Imaginemos que hoy (13/05/2022) firmamos un documento. Nuestro certificado digital está vigente, pero vence mañana (14/05/2022).
> Validación el mismo día (13/05/2022): Si validamos la firma el mismo día, el software confirma que:
a. El firmante es quien dice ser.
b. El documento no ha sido modificado
c. El certificado es emitido por una entidad de confianza, Acreditada.
d. El certificado está activo y no ha sido revocado.
Como el certificado sigue vigente, la validación se realiza sin problemas.
> Validación un día después (15/05/2022): Al intentar validar el documento un día después de que el certificado haya expirado, el software ya no puede comprobar si el certificado estaba revocado al momento de la firma (la información ya no está disponible). Esto significa que, en este caso, la firma digital ya no puede ser validada correctamente.
Por lo tanto, si usamos una firma básica, la validez de la firma depende de la vigencia del certificado digital.
¿Por qué las firmas longevas son diferentes?
Con una firma longeva, toda la información de validación está incluida dentro del documento, lo que permite que, incluso si el certificado digital expira, la firma siga siendo válida a lo largo del tiempo. No es necesario consultar nada en línea para realizar futuras validaciones, y se puede confiar en la autenticidad de la firma por mucho más tiempo.
Esperamos que esta explicación te haya ayudado a entender mejor las firmas digitales y cómo su vigencia depende del tipo de firma que uses. Si deseas más información sobre cómo realizar firmas longevas en tus documentos, ¡contáctanos en informes@bigprime.pe!
