El rol de los prestadores de confianza.
Qué hace un prestador de servicios de confianza y por qué su supervisión sostiene todo lo demás.
Detrás de cada firma con certificado hay alguien que no aparece en el documento pero lo sostiene: el prestador de servicios de confianza. Emitió el certificado del firmante, comprobó su identidad, mantiene al día si ese certificado sigue vigente y, muchas veces, también emite sellos de tiempo o custodia la clave. Si el prestador falla, todas las firmas que dependen de él quedan en duda. Por eso es la pieza más regulada del sistema.
Qué hace un prestador
- Comprueba identidades. Directamente o a través de oficinas de registro, verifica quién es cada persona antes de emitirle un certificado.
- Emite certificados. Vincula una clave pública con una persona u organización, con su firma como autoridad.
- Informa la vigencia. Publica listas de revocación y responde consultas en línea sobre el estado de cada certificado.
- Presta otros servicios. Sellos de tiempo, firma remota con custodia de claves, validación de firmas, conservación de documentos firmados.
Por qué se confía en él
Un prestador no se vuelve confiable porque lo diga. La confianza se construye con piezas verificables.
- Reglas escritas. Cada prestador publica su política de certificación y su declaración de prácticas, que dicen qué hace y cómo. El RFC 3647 propone una estructura común para esos documentos.
- Auditoría independiente. Un tercero comprueba periódicamente que las prácticas reales coinciden con las escritas. En Europa lo hacen organismos de evaluación de la conformidad; en otros mercados se usan esquemas como WebTrust.
- Supervisión. Un organismo público acredita al prestador, puede sancionarlo y retirarle la habilitación.
- Publicidad. Las listas de confianza o los registros oficiales informan quién está habilitado y desde cuándo.
Responsabilidad y continuidad
Los marcos más maduros exigen además dos cosas que suelen olvidarse. La primera es responsabilidad: si el prestador actúa con negligencia y causa daño, responde, y debe tener recursos o seguros para hacerlo. La segunda es continuidad: un plan de cese que asegure que, si deja de operar, la información necesaria para validar las firmas que emitió sigue disponible. Una firma no puede morir porque su prestador cerró.
| Pregunta para un prestador | Dónde está la respuesta |
|---|---|
| ¿Cómo verifica identidades? | Su declaración de prácticas. |
| ¿Quién lo audita y cuándo? | Informes o certificados de auditoría. |
| ¿Está habilitado? | La lista de confianza o el registro oficial. |
| ¿Qué pasa si cierra? | Su plan de cese. |
| ¿Hasta cuánto responde? | Sus condiciones y seguros. |
El prestador de servicios de confianza comprueba identidades, emite certificados, informa su vigencia y presta servicios como sellos de tiempo o firma remota. Su confiabilidad se apoya en reglas escritas, auditoría independiente, supervisión pública y publicidad, más responsabilidad y planes de continuidad.