Documento final seguro

El archivo que sale al final no es el PDF que entró con imágenes pegadas encima. Es un documento sellado criptográficamente, con el historial de cada revisión verificable y con el material necesario para validarlo incluso dentro de años: sin la plataforma, sin conexión a internet y sin nuestra colaboración.

Esta página describe, capa por capa, lo que contiene.

Las capas, de un vistazo

Capa	Cuándo se aplica	Qué garantiza
Sello certificador de la plataforma (AATL, DocMDP=3)	Al enviar, antes de que nadie firme	Integridad: el contenido de las páginas queda bloqueado
Firmas visuales (anotaciones)	A medida que firma cada firmante	Apariencia y autoría visible, sin romper el sello
Firma cualificada CMD	Si el firmante firma con la Chave Móvel Digital	QES: equivalencia con la firma manuscrita
Sellos SCAP	Cuando se integran los atributos profesionales	La condición profesional, acreditada por la entidad certificadora
Material LTV + sello de tiempo de archivo	Al sellar y al finalizar	Verificabilidad a largo plazo, sin conexión
Sello del Informe de finalización (AATL, DocMDP=1)	Al finalizar, en el informe, no en el documento	El informe de evidencias no admite ninguna modificación

El sello certificador, aplicado antes de cualquier firma

Los documentos publicados desde el asistente se sellan en el momento del envío, antes de que el primer firmante los toque, excepto los que ya llegan firmados: un PDF subido con firmas dentro no lleva sello, porque el sello tendría que ser la primera firma del archivo, y solo acepta la cofirma con la Chave Móvel Digital. El sello es una firma de certificación invisible, aplicada en el servidor.


Certificado	Sectigo AATL Document Signing (`rmb-aatl-signing`)
Emitido a	`RMB - SISTEMAS DE INFORMACAO LDA`, la entidad que opera AssinaJá
Clave privada	Azure Key Vault Premium HSM, clave no exportable: nunca sale del módulo
Nivel eIDAS	AES (Art. 26)
Perfil PAdES	`PAdES-BES`, o `PAdES-LTV` con el sello de tiempo de archivo (ETSI TS 102 778). No es un perfil baseline de la EN 319 142-1; consulte más abajo

AATL es la Adobe Approved Trust List. Adobe Reader confía en ella por defecto, y por eso el documento se abre con la marca verde sin que el lector tenga que instalar ni configurar nada.

Lo que permite y prohíbe el DocMDP=3

El sello escribe /Perms/DocMDP con /P 3. A partir de ahí, el PDF acepta solo tres cosas: rellenar campos de formulario, firmas adicionales y anotaciones. Cualquier cambio en el contenido de las páginas invalida el sello, y el lector de PDF pasa a mostrar el documento como modificado.

Adobe Reader lo indica así:

El autor ha especificado que en este documento se permite rellenar formularios, firmar y comentar. No se permite ningún otro cambio.

Las firmas visuales entran como anotaciones

Cada firma visual (imagen de la firma o de la rúbrica, nombre, fecha) se escribe como una anotación con su propio flujo de apariencia, y no se dibuja sobre la página.

El motivo es la regla anterior: con DocMDP=3, las anotaciones son un cambio permitido y el contenido de las páginas no. Escribir la firma en la página invalidaría el sello de la plataforma; escribirla como anotación lo deja intacto.

Cada firma se añade en una revisión incremental: no se reescribe nada de lo que ya estaba escrito. Por eso funcionan varios firmantes cualificados seguidos: la firma de quien firma en tercer lugar no toca el intervalo de bytes cubierto por la del primero.

La firma cualificada con la Chave Móvel Digital

Cuando un firmante firma con la Chave Móvel Digital (la identidad digital móvil del Estado portugués), lo que queda en el PDF es una firma QES producida con un certificado cualificado emitido por la ARTE (antigua AMA), prestador cualificado de servicios de confianza incluido en la EU Trust List portuguesa. La clave privada reside en un HSM de la ARTE, nunca en el móvil del firmante ni en AssinaJá.

Técnicamente es un contenedor CAdES-BES (ETSI.CAdES.detached, con los atributos firmados content-type, message-digest y signing-certificate-v2, en SHA-256) sellado con un sello de tiempo cualificado. El validador DSS de la Comisión Europea clasifica el resultado como QESig / TOTAL_PASSED, en el perfil PAdES-BASELINE-T.

Consulte Firma cualificada con CMD.

Los sellos SCAP, cuando se integran los atributos

Con atributos profesionales (SCAP), el documento lleva una firma adicional por cada entidad certificadora, que acredita la condición profesional con la que firmó el firmante. Lo que eso prueba, y lo que queda escrito en el sello, se explica en CMD y CMD con Atributos Profesionales.

El Informe de finalización lleva su propio sello

El informe de evidencias se sella con el mismo certificado AATL, pero en DocMDP=1: no admite ninguna modificación, mientras que el documento mantiene el DocMDP=3 descrito arriba. Lo que contiene se explica en Qué contiene el informe de finalización.

Validación a largo plazo (LTV)

Una firma solo se puede validar si, en el momento de la comprobación, todavía es posible saber que el certificado era válido cuando se usó. Pasados unos años, los servicios que responden a esa pregunta pueden haber dejado de existir. Ese es el problema que resuelve el LTV: guardar las respuestas dentro del archivo.

Al sellar, AssinaJá recoge las respuestas OCSP/CRL y los certificados de la cadena y los escribe en el PDF, en un Document Security Store (/DSS) con una entrada por firma (/VRI). Ese material es lo que hace que Adobe muestre la firma como habilitada para LTV.

Una nota honesta sobre el nombre del perfil. El validador de la Comisión Europea (EU DSS) clasifica el sello como PAdES-BES (o PAdES-LTV cuando está presente el sello de tiempo de archivo), que son perfiles de la norma ETSI TS 102 778, y no como un perfil baseline (B-T, B-LT, B-LTA) de la EN 319 142-1. El material técnico está ahí; lo que difiere es la clasificación. La política de firma dice lo mismo.

Al finalizar, se añade un sello de tiempo de archivo que cubre todo el archivo, incluido ese material de validación. El validador pasa a notificarlo como PAdES-LTV, y es también lo que hace desaparecer el aviso de «cambios después de la última firma».

Los sellos de tiempo proceden de autoridades de sellado de tiempo cualificadas europeas, que se prueban en un orden de prioridad fijo, pasando a la siguiente si una falla; no es una lista rotativa. Para el sello de tiempo de cada firma, la primera es la TSA del Cartão de Cidadão (IRN/AMA), seguida de IZENPE, la BOSA belga, Sectigo Europe, BalTstamp y ACCV. Para el sello de tiempo de archivo, la TSA del Cartão de Cidadão queda fuera a propósito: su sello no incluye la cadena completa, y con él Adobe muestra «Firmado por Desconocido». Ningún documento se queda sin sello de tiempo porque un servicio no esté disponible.

El efecto práctico de todo esto es uno solo: quien reciba el PDF lo valida con lo que contiene. No necesita acceso a internet ni a AssinaJá.

La firma CMD queda en B-T, no en B-LT. El enriquecimiento LTV también se ejecuta para la CMD, pero el certificado del Cartão de Cidadão (el documento de identidad portugués) no publica un punto de acceso a la revocación que permita incrustarla de forma fiable. La firma es plenamente válida; lo que se complica es verificarla muchos años después de que caduque el certificado, porque esa comprobación depende de que los servicios OCSP/CRL de la época sigan respondiendo.

Guarde la pareja. Por eso, archive juntos el PDF firmado y el Informe de finalización; consulte Validar un documento firmado.

Los límites, dichos con claridad

Los límites legales (el sello de la plataforma es AES y no QES, y solo la Chave Móvel Digital produce una firma cualificada) se explican en Validez legal. El límite técnico de esta página es uno solo: la firma CMD queda en B-T, y por eso hay que guardar la pareja PDF + Informe de finalización; consulte Validación a largo plazo (LTV).

Véase también

Validar un documento firmado: cómo comprobar todo esto sin AssinaJá
Niveles de firma
Firma cualificada con CMD
Historial y auditoría
Validez legal