Qué prueba una firma, y qué no.
Una firma responde cuatro preguntas: quién, qué, cuándo y con qué intención. La criptografía resuelve bien sólo algunas.
Cuando un acuerdo termina en discusión, nadie pregunta si el documento "tiene firma". Las preguntas son otras: quién lo firmó, qué decía exactamente en ese momento, cuándo ocurrió y si quien firmó entendía lo que estaba aceptando. Una firma vale lo que vale la respuesta a esas cuatro preguntas.
Con la firma manuscrita esto nunca fue distinto. Un trazo en un papel prueba poco por sí mismo; su fuerza venía del contexto: los testigos, el escribano, la copia que quedó en cada parte, el sello de la oficina que recibió el expediente. La firma electrónica no cambió las preguntas. Cambió dónde se buscan las respuestas.
Las cuatro preguntas
- ¿Quién? La atribución: que la firma pueda vincularse con una persona concreta y no con cualquiera que tuviera acceso a un dispositivo o a una contraseña.
- ¿Qué? La integridad: que el contenido firmado sea exactamente el que hoy se presenta, sin una coma de diferencia.
- ¿Cuándo? El tiempo: que el momento de la firma pueda demostrarse y no dependa del reloj de quien la produjo.
- ¿Con qué intención? El consentimiento: que hubo voluntad de obligarse, y no un clic accidental ni una pantalla que mostraba otra cosa.
Lo que aporta la criptografía
Una firma digital basada en certificados resuelve muy bien una parte del problema. Garantiza que el documento no cambió desde que se firmó, porque cualquier alteración rompe la verificación. Y garantiza que la firma se produjo con una clave privada que corresponde a un certificado determinado, emitido a nombre de alguien.
Eso es mucho, pero no es todo. La criptografía no sabe quién tenía el control de la clave en ese instante, no sabe si la persona leyó el documento, no sabe si tenía facultades para firmar en nombre de una empresa y, salvo que intervenga un sello de tiempo emitido por un tercero, tampoco sabe cuándo ocurrió.
| Pregunta | Qué resuelve la firma criptográfica | Qué debe aportar el resto de la evidencia |
|---|---|---|
| Quién | Vincula la firma con un certificado y su titular. | Cómo se verificó la identidad al emitir el certificado y quién controlaba la clave al firmar. |
| Qué | Detecta cualquier alteración posterior del contenido. | Que lo que se mostró en pantalla coincide con lo que se firmó. |
| Cuándo | Nada, si sólo se usa la hora del equipo. | Un sello de tiempo de un tercero confiable. |
| Intención | Nada por sí sola. | El recorrido del firmante: qué vio, qué aceptó, en qué orden. |
Lo que dice el derecho
Las leyes de firma electrónica de casi todo el mundo descansan en una misma idea, la equivalencia funcional, formulada por la Comisión de las Naciones Unidas para el Derecho Mercantil Internacional (CNUDMI) en su Ley Modelo sobre Comercio Electrónico de 1996 y desarrollada en la Ley Modelo sobre Firmas Electrónicas de 2001. Un método electrónico cumple la función de una firma si permite identificar a la persona, indica que aprueba el contenido y es tan fiable como corresponda al propósito del acto.
A partir de ahí, la mayoría de los sistemas distingue niveles. El reglamento europeo eIDAS (910/2014) separa la firma simple, la avanzada y la cualificada, y da a esta última un efecto jurídico equivalente al de la manuscrita. En Uruguay, la Ley 18.600 de 2009 distingue la firma electrónica de la firma electrónica avanzada, a la que reconoce la misma validez que la firma autógrafa. Brasil adoptó un esquema de tres niveles con la Ley 14.063 de 2020.
Lo que cambia entre un nivel y otro no es si la firma "vale", sino quién tiene que probar qué. Con una firma de alto nivel, la carga de demostrar que algo salió mal suele recaer en quien la impugna. Con una firma simple, quien la presenta debe reconstruir el resto de la historia. En ambos casos, la evidencia que rodea a la firma es la que termina decidiendo.
Qué conviene conservar
- El documento firmado, en un formato que permita verificarlo sin depender del sistema que lo produjo.
- Los certificados y su cadena hasta una autoridad reconocida.
- La información de revocación vigente en el momento de la firma.
- Un sello de tiempo emitido por un tercero.
- El registro de eventos: envío, apertura, identificación, aceptación y cierre, encadenado de modo que no pueda editarse sin dejar rastro.
Toda firma responde cuatro preguntas: quién, qué, cuándo y con qué intención. La criptografía responde muy bien la segunda y parte de la primera; las otras dependen de la evidencia que se conserve. Elegir un nivel de firma es elegir quién deberá probar qué el día que haya una duda.