¿Qué es un certificado de finalización en la firma electrónica? Qué registra y qué demuestra

Cuando un documento termina de firmarse, la mayoría de las plataformas devuelven dos cosas: el documento firmado y un segundo archivo — o un enlace — que casi todo el mundo mira una vez y no vuelve a abrir. Ese segundo artefacto es el certificado de finalización, y es la parte que agradecerá haber guardado el día en que alguien cuestione la firma. Esta página explica qué contiene, qué demuestra y qué no, por qué las plataformas serias lo entregan como archivo separado y qué hacer con él.

Qué es un certificado de finalización

Un certificado de finalización es el registro probatorio empaquetado de una transacción de firma. El documento firmado muestra qué se acordó; el certificado muestra cómo se ejecutó el acuerdo: la secuencia de eventos, las personas, las marcas de tiempo y el estado del archivo cuando todos terminaron.

El nombre viene de DocuSign, que adjunta un Certificate of Completion a cada sobre completado, y se ha convertido casi en el término genérico de la categoría. Otras herramientas llaman al mismo artefacto certificado de auditoría, certificado de firma o resumen de evidencias. Signatura entrega uno con cada documento completado. Sea cual sea la etiqueta, la función es idéntica: un resumen portátil y legible del rastro de auditoría, listo para entregar a un abogado, un auditor o una contraparte que pida «demuéstrelo».

Una cosa que no es: el contrato. Nada del certificado cambia lo acordado. Existe únicamente para respaldar la firma, no para reformular los términos.

Qué registra

El contenido varía según la plataforma, pero un certificado competente lleva el mismo núcleo — el que describimos en ¿son legalmente vinculantes las firmas electrónicas? como la diferencia entre una firma válida y una demostrable:

• Quién firmó — nombre y correo de cada firmante, y cómo se autenticó (enlace de correo, código de acceso, verificaciones de identidad más fuertes donde se usen).
• Cuándo y desde dónde — marcas de tiempo de cada evento, y la dirección IP y el contexto de dispositivo de cada acción.
• Qué ocurrió, en orden — la cadena de eventos de la transacción: enviado, entregado, visto, firmado, completado. Una firma con historial visible es mucho más difícil de discutir que la imagen suelta de un nombre.
• Qué se firmó — una huella criptográfica (un hash) del documento final, para poder identificar después el archivo exacto al que se refiere el registro y delatar cualquier copia alterada.

Qué demuestra — y qué no

Esta es la distinción que importa, y la que los proveedores tienden a difuminar: un certificado registra; el registro es prueba; la prueba no es un veredicto.

Lo que refuerza de verdad es la atribución y la integridad — los dos frentes donde realmente se atacan las firmas electrónicas. La ley estadounidense prohíbe rechazar una firma por el mero hecho de ser electrónica (ESIGN, § 7001(a)), y el eIDAS hace lo mismo en la UE, pero ninguna garantiza que una firma concreta prevalezca: eso depende de poder mostrar quién firmó y que el documento no ha cambiado. El certificado de finalización es exactamente esa demostración, y la regla de conservación de la ESIGN Act en el § 7001(d) — un registro que «refleja fielmente la información contenida en el contrato» y «sigue siendo accesible» — es el estándar que le ayuda a cumplir.

Lo que no puede hacer:

• No puede volver válido un acuerdo inválido. La intención, el consentimiento y el derecho contractual de fondo siguen haciendo su propio trabajo — el certificado calla sobre todo ello.
• No puede demostrar quién estaba al teclado más allá de la autenticación realmente utilizada. Un certificado que dice «firmado desde este correo, esta IP, a esta hora» demuestra exactamente eso; si el enlace de firma se reenvió, lo que lo habría detectado es una autenticación más fuerte, no un certificado más largo.
• Vale lo que valga lo capturado. Un certificado generado desde un rastro de auditoría pobre hereda la pobreza. El certificado es el envoltorio; el rastro es la sustancia.

Certificado, rastro de auditoría, sello, firma digital: aclarando los términos

Cuatro términos que viajan juntos y se confunden sin parar:

• El rastro de auditoría es el registro corrido que la plataforma mantiene mientras ocurre la transacción.
• El certificado de finalización es ese registro empaquetado en un artefacto duradero y legible cuando la transacción termina.
• El sello a prueba de manipulaciones es la huella criptográfica (Signatura usa un hash SHA-256) que liga el registro a una versión exacta del archivo.
• Una firma digital es una técnica criptográfica, no una categoría legal — y no es requisito de validez, como desgranamos en firma electrónica y firma digital.

La versión corta: el rastro es lo que pasó, el certificado es cómo lo muestra, el sello es cómo prueba que el archivo es el archivo — un nombre mecanografiado puede ser legalmente vinculante, y es exactamente este registro lo que lo hace demostrable.

Por qué el certificado es un archivo separado

Hay una razón técnica por la que el certificado viaja junto al documento firmado y no dentro de él, y conviene entenderla porque explica una decisión de diseño que verá en las plataformas serias.

Un archivo no puede contener su propia huella. En el momento en que escribe el hash de un documento dentro del documento, ha cambiado el documento — y el hash deja de coincidir. Así que un sello verificable tiene que vivir fuera del archivo que describe. Fusione el certificado y el documento firmado en un solo PDF y la huella del archivo combinado no coincidirá con nada; manténgalos separados y cualquiera podrá recalcular el hash del documento y compararlo con el certificado, para siempre.

Así entrega Signatura cada documento completado: el archivo firmado y su certificado de finalización como dos archivos, con el sello SHA-256 verificable de nuevo por cualquiera que tenga el documento — sin cuenta, sin iniciar sesión y sin necesidad de confiar en nosotros el día en que importe. La mecánica está en nuestra página de seguridad.

¿Hay que conservarlo?

Sí — los dos archivos, juntos, mientras el acuerdo importe más su plazo de conservación. El documento firmado sin su certificado es un acuerdo con prueba más débil; el certificado sin el documento es prueba sobre un archivo que ya no tiene. Guárdelos como pareja, donde vivan sus contratos. Si alguna vez aflora una disputa, la pareja es lo que pedirá su abogado — y el «sigue siendo accesible» del § 7001(d) es el listón que un tribunal esperará que haya superado.

Preguntas frecuentes

¿El certificado de finalización es lo mismo que el contrato firmado?

No. El documento firmado es el acuerdo; el certificado es el registro probatorio de cómo se firmó — partes, marcas de tiempo, direcciones IP, secuencia de eventos y la huella del archivo. Conserve ambos; solo uno de ellos es el contrato.

¿Es legalmente obligatorio un certificado de finalización?

No. La validez viene de la ESIGN Act, la UETA y el eIDAS, y ninguno exige un certificado. Lo que sí exige la regla de conservación es un registro fiel y accesible — que es exactamente el trabajo que el certificado hace por usted cuando se cuestiona una firma.

¿Puede alguien verificar un certificado años después?

Si la plataforma selló el documento con un hash, sí: se recalcula la huella del documento y se compara con la del certificado. Signatura lo expone como una página pública de verificación que funciona para cualquiera que tenga el archivo, sin cuenta.

¿Y si solo guardé el PDF firmado?

El acuerdo sigue en pie — perder el certificado no anula nada. Simplemente ha renunciado a su mejor prueba de quién firmó y cuándo. Consulte la plataforma: la mayoría, la nuestra incluida, permite volver a descargar el certificado de un documento completado.

Dónde se sitúa Signatura

Cada documento completado en Signatura lleva un rastro de auditoría completo, entregado como certificado de finalización junto al archivo firmado — nunca fusionado con él, por la razón de verificación de arriba — y sellado con un hash SHA-256 que cualquiera puede verificar de nuevo en cualquier momento. La prueba es la mitad de la firma electrónica que no se puede atornillar después de que empiece la disputa, y por eso se incluye en todos los planes, no en un nivel por encima del suyo — vea cómo protegemos los documentos.

---

Fuentes: 15 U.S.C. § 7001 — la regla de validez de la ESIGN Act en (a) y el estándar de conservación en (d). Reglamento (UE) n.º 910/2014 (eIDAS) — la regla de no discriminación del artículo 25 para las firmas electrónicas. Las afirmaciones sobre el certificado, el sello SHA-256 y la verificación pública de Signatura describen nuestro propio comportamiento en producción — vea seguridad y la página de verificación.