¿Qué es un certificado de finalización en la firma electrónica? Qué registra y qué demuestra

Cuando un documento termina de firmarse, la mayoría de las plataformas devuelven dos cosas: el documento firmado y un segundo archivo — o un enlace — que casi todo el mundo mira una vez y no vuelve a abrir. Ese segundo artefacto es el certificado de finalización, y es la parte que agradecerá haber guardado el día en que alguien cuestione la firma. Esta página explica qué contiene, qué demuestra y qué no, por qué las plataformas serias lo entregan como archivo separado y qué hacer con él.

Qué es un certificado de finalización

Un certificado de finalización es el registro probatorio empaquetado de una transacción de firma. El documento firmado muestra qué se acordó; el certificado muestra cómo se ejecutó el acuerdo: la secuencia de eventos, las personas, las marcas de tiempo y el estado del archivo cuando todos terminaron.

El nombre viene de DocuSign, que adjunta un Certificate of Completion a cada sobre completado, y se ha convertido casi en el término genérico de la categoría. Otras herramientas llaman al mismo artefacto certificado de auditoría, certificado de firma o resumen de evidencias. Signatura entrega uno con cada documento completado. Sea cual sea la etiqueta, la función es idéntica: un resumen portátil y legible del rastro de auditoría, listo para entregar a un abogado, un auditor o una contraparte que pida «demuéstrelo».

Una cosa que no es: el contrato. Nada del certificado cambia lo acordado. Existe únicamente para respaldar la firma, no para reformular los términos.

Qué registra

El contenido varía según la plataforma, pero un certificado competente lleva el mismo núcleo — el que describimos en ¿son legalmente vinculantes las firmas electrónicas? como la diferencia entre una firma válida y una demostrable:

• Quién firmó — nombre y correo de cada firmante, y cómo se autenticó (enlace de correo, código de acceso, verificaciones de identidad más fuertes donde se usen).
• Cuándo y desde dónde — marcas de tiempo de cada evento, y la dirección IP y el contexto de dispositivo de cada acción.
• Qué ocurrió, en orden — la cadena de eventos de la transacción: enviado, entregado, visto, firmado, completado. Una firma con historial visible es mucho más difícil de discutir que la imagen suelta de un nombre.
• Qué se firmó — una huella criptográfica (un hash) del documento final, para poder identificar después el archivo exacto al que se refiere el registro y delatar cualquier copia alterada.

Qué demuestra — y qué no

Esta es la distinción que importa, y la que los proveedores tienden a difuminar: un certificado registra; el registro es prueba; la prueba no es un veredicto.

Lo que refuerza de verdad es la atribución y la integridad — los dos frentes donde realmente se atacan las firmas electrónicas. La ley estadounidense prohíbe rechazar una firma por el mero hecho de ser electrónica (ESIGN, § 7001(a)), y el eIDAS hace lo mismo en la UE, pero ninguna garantiza que una firma concreta prevalezca: eso depende de poder mostrar quién firmó y que el documento no ha cambiado. El certificado de finalización es exactamente esa demostración, y la regla de conservación de la ESIGN Act en el § 7001(d) — un registro que «refleja fielmente la información contenida en el contrato» y «sigue siendo accesible» — es el estándar que le ayuda a cumplir.

Lo que no puede hacer:

• No puede volver válido un acuerdo inválido. La intención, el consentimiento y el derecho contractual de fondo siguen haciendo su propio trabajo — el certificado calla sobre todo ello.
• No puede demostrar quién estaba al teclado más allá de la autenticación realmente utilizada. Un certificado que dice «firmado desde este correo, esta IP, a esta hora» demuestra exactamente eso; si el enlace de firma se reenvió, lo que lo habría detectado es una autenticación más fuerte, no un certificado más largo.
• Vale lo que valga lo capturado. Un certificado generado desde un rastro de auditoría pobre hereda la pobreza. El certificado es el envoltorio; el rastro es la sustancia.

Certificado, rastro de auditoría, sello, firma digital: aclarando los términos

Cuatro términos que viajan juntos y se confunden sin parar:

• El rastro de auditoría es el registro corrido que la plataforma mantiene mientras ocurre la transacción.
• El certificado de finalización es ese registro empaquetado en un artefacto duradero y legible cuando la transacción termina.
• El sello a prueba de manipulaciones es la huella criptográfica (Signatura usa un hash SHA-256) que liga el registro a una versión exacta del archivo.
• Una firma digital es una técnica criptográfica, no una categoría legal — y no es requisito de validez, como desgranamos en firma electrónica y firma digital.

La versión corta: el rastro es lo que pasó, el certificado es cómo lo muestra, el sello es cómo prueba que el archivo es el archivo — un nombre mecanografiado puede ser legalmente vinculante, y es exactamente este registro lo que lo hace demostrable.

Por qué el certificado es un archivo separado

Hay una razón técnica por la que el certificado viaja junto al documento firmado y no dentro de él, y conviene entenderla porque explica una decisión de diseño que verá en las plataformas serias.

Un archivo no puede contener su propia huella. En el momento en que escribe el hash de un documento dentro del documento, ha cambiado el documento — y el hash deja de coincidir. Así que un sello verificable tiene que vivir fuera del archivo que describe. Fusione el certificado y el documento firmado en un solo PDF y la huella del archivo combinado no coincidirá con nada; manténgalos separados y cualquiera podrá recalcular el hash del documento y compararlo con el certificado, para siempre.

Así entrega Signatura cada documento completado: el archivo firmado y su certificado de finalización como dos archivos, con el sello SHA-256 verificable de nuevo por cualquiera que tenga el documento — sin cuenta, sin iniciar sesión y sin necesidad de confiar en nosotros el día en que importe. La mecánica está en nuestra página de seguridad.

Cómo demostrar que un PDF firmado no ha sido manipulado

El certificado le entrega una huella; demostrar que el archivo no ha cambiado consiste en recalcular esa huella y comparar las dos. Lleva alrededor de un minuto y no requiere software especial.

1. Parta del archivo tal como se entregó, no de una copia que haya vuelto a guardar. Si no está seguro de cuál tiene, descargue de nuevo el original: la sección siguiente explica por qué este es el paso que más se falla.
2. Localice el hash en el certificado. Un certificado solvente imprime la huella del documento como una cadena hexadecimal larga, normalmente etiquetada SHA-256.
3. Recalcule el hash del PDF que tiene. En macOS o Linux: shasum -a 256 su-documento.pdf. En Windows: certutil -hashfile su-documento.pdf SHA256. Ambos vienen con el sistema operativo, no hay que instalar nada y el archivo no sale de su equipo.
4. Compare las dos cadenas. Coinciden exactamente o no coinciden. No hay coincidencia parcial: cambiar un solo carácter en cualquier parte del archivo cambia el valor completo.

Si el documento lleva además una firma digital incrustada, un lector de PDF puede hacer su propia versión de esta comprobación: Acrobat y la mayoría de los lectores modernos muestran un panel de firma que informa de si el archivo se ha modificado desde que se firmó. Ese panel lee un certificado almacenado dentro del archivo, mientras que la comprobación de hash anterior compara con un registro que guarda la plataforma, así que son complementarias y no alternativas; y si el panel dice algo desconcertante, merece cinco minutos entender la terminología.

Para los documentos firmados en Signatura, la página de verificación hace los pasos 2 a 4 por usted: suba el PDF y volvemos a calcular su hash en el navegador para decirle si el valor coincide con nuestro registro de finalización. Sin cuenta y sin inicio de sesión, y sigue funcionando mucho después de que termine cualquier suscripción.

¿Sobrevive la evidencia de manipulación al exportar un PDF firmado?

Sí, pero solo porque mover un archivo y volver a guardarlo son cosas distintas. Y es justo aquí donde con más frecuencia se destruyen las propias pruebas sin querer.

Copiar el PDF, enviarlo por correo, ponerlo en Drive o Dropbox, descargarlo otra vez o archivarlo en un gestor de contratos deja los bytes idénticos: el hash sigue coincidiendo y una firma incrustada sigue validando. Lo que rompe la coincidencia es cualquier cosa que escriba un PDF nuevo:

• Imprimir a PDF o «Exportar como PDF», que reconstruye el archivo desde cero.
• Aplanar, «reducir el tamaño del archivo» u «optimizar», que reescriben la estructura interna.
• Anotar, comentar o añadir una página en un editor y luego guardar.
• Algunos recorridos de vista previa y descarga en gestores documentales, que recodifican en silencio lo que devuelven.

Nada de eso es manipulación, pero la evidencia no puede distinguirlo, y no debería poder. Un sello que sobreviviera a volver a guardar sobreviviría también a la edición, y entonces no valdría nada. De ahí la regla práctica: conserve el archivo exactamente como llegó como copia de archivo, junto a su certificado, y lea, anote y comparta duplicados.

Un hash que ya no coincide no anula el acuerdo ni acusa por sí solo a nadie: la validez proviene de las leyes, no del sello. Lo que cuesta una discrepancia es la prueba fácil, y por eso conviene guardar el original.

¿Hay que conservarlo?

Sí — los dos archivos, juntos, mientras el acuerdo importe más su plazo de conservación. El documento firmado sin su certificado es un acuerdo con prueba más débil; el certificado sin el documento es prueba sobre un archivo que ya no tiene. Guárdelos como pareja, donde vivan sus contratos. Si alguna vez aflora una disputa, la pareja es lo que pedirá su abogado — y el «sigue siendo accesible» del § 7001(d) es el listón que un tribunal esperará que haya superado.

Preguntas frecuentes

¿El certificado de finalización es lo mismo que el contrato firmado?

No. El documento firmado es el acuerdo; el certificado es el registro probatorio de cómo se firmó — partes, marcas de tiempo, direcciones IP, secuencia de eventos y la huella del archivo. Conserve ambos; solo uno de ellos es el contrato.

¿Es legalmente obligatorio un certificado de finalización?

No. La validez viene de la ESIGN Act, la UETA y el eIDAS, y ninguno exige un certificado. Lo que sí exige la regla de conservación es un registro fiel y accesible — que es exactamente el trabajo que el certificado hace por usted cuando se cuestiona una firma.

¿Puede alguien verificar un certificado años después?

Si la plataforma selló el documento con un hash, sí: se recalcula la huella del documento y se compara con la del certificado. Signatura lo expone como una página pública de verificación que funciona para cualquiera que tenga el archivo, sin cuenta.

¿Y si solo guardé el PDF firmado?

El acuerdo sigue en pie — perder el certificado no anula nada. Simplemente ha renunciado a su mejor prueba de quién firmó y cuándo. Consulte la plataforma: la mayoría, la nuestra incluida, permite volver a descargar el certificado de un documento completado.

¿Exportar o volver a guardar un PDF firmado rompe el sello de manipulación?

Volver a guardarlo sí; moverlo no. Copiar, enviar por correo o volver a descargar el archivo deja los bytes intactos, así que el hash sigue coincidiendo. Imprimir a PDF, «exportar como PDF», aplanar, optimizar y anotar escriben un archivo nuevo cuyo hash no coincidirá con el certificado: no porque nadie lo haya manipulado, sino porque un sello que tolerase volver a guardar toleraría también la edición. Conserve la entrega original como copia de archivo.

¿Qué hago si el hash no coincide?

Antes de concluir nada, determine qué copia tiene, porque un archivo vuelto a guardar o reexportado explica el caso mucho más a menudo que un acuerdo alterado. Recupere la descarga original —o pida a la plataforma que la vuelva a emitir— y compruebe esa. Si el original tampoco coincide con el hash de su certificado, ese es el momento de plantearlo al remitente y buscar asesoramiento.

Dónde se sitúa Signatura

Cada documento completado en Signatura lleva un rastro de auditoría completo, entregado como certificado de finalización junto al archivo firmado — nunca fusionado con él, por la razón de verificación de arriba — y sellado con un hash SHA-256 que cualquiera puede verificar de nuevo en cualquier momento. La prueba es la mitad de la firma electrónica que no se puede atornillar después de que empiece la disputa, y por eso se incluye en todos los planes, no en un nivel por encima del suyo — vea cómo protegemos los documentos.

---

Fuentes: 15 U.S.C. § 7001 — la regla de validez de la ESIGN Act en (a) y el estándar de conservación en (d). Reglamento (UE) n.º 910/2014 (eIDAS) — la regla de no discriminación del artículo 25 para las firmas electrónicas. Las afirmaciones sobre el certificado, el sello SHA-256 y la verificación pública de Signatura describen nuestro propio comportamiento en producción — vea seguridad y la página de verificación.