Usar certificado de firma
En esta página
Un certificado de firma es el registro que acompaña a un formulario firmado. Muestra quién firmó, cuándo, a qué accedieron y una huella digital del documento firmado, y enlaza a una página pública donde cualquiera que tenga el documento puede verificarlo. Este artículo explica cuándo se produce un certificado, cómo configurarlo, qué ve el firmante y qué contiene el certificado.
Para el aspecto legal, qué leyes está diseñado para cumplir y para qué documentos no es adecuado, lee Firmas electrónicas legalmente vinculantes.
Cuándo se produce un certificado
Un certificado se produce solo cuando el formulario sabe quién fue solicitado para firmar. Eso ocurre cuando el formulario se envía a través de:
- una invitación con Seguimiento de Invitación y Certificado de Firma activados, o
- un paso de flujo de trabajo con Crear certificado de firma activado.
El Certificado de Firma está disponible en los planes de pago y durante la prueba gratuita.
Un formulario completado desde su enlace público no produce certificado, porque no hay registro de quién recibió el enlace. Un formulario incrustado en tu sitio web también se completa desde el enlace público, por lo que tampoco produce certificado. El campo de Firma sigue funcionando allí como antes.
Cada campo de Firma en el formulario se incluye en el certificado. Un formulario con tres campos de firma produce un certificado que lista los tres.
Configurar el formulario
Agregar el campo de Firma
-
En el constructor de formularios, agrega un campo de Firma.
-
Haz clic en el campo para abrir su panel de propiedades.
El aviso de consentimiento
El campo de Firma tiene un Aviso de consentimiento: una frase que se muestra bajo el panel de firma en los formularios que producirán un certificado. El texto predeterminado es:
Al firmar y enviar este formulario, acepto firmar electrónicamente, con el mismo efecto legal que firmar a mano.
Puedes editar la frase. Es un texto del campo, por lo que se traduce como cualquier otro texto de campo en la página de Multi-idioma, en cada idioma en el que ofrezcas el formulario. El certificado registra el texto exacto y el idioma que vio el firmante.
El aviso aparece solo en las invitaciones y flujos de trabajo que producen un certificado. En el enlace público, o cuando la opción de certificado está desactivada, el campo no muestra aviso.
Los formularios creados antes de que se mejorara el certificado de firma mantienen el certificado que tenían, y su panel de Firma no tiene Aviso de consentimiento. Los formularios que crees a partir de ahora obtienen el nuevo certificado automáticamente.
Activar el certificado
Invitaciones. En Gestionar formulario > Invitaciones, mantén Seguimiento de Invitación activado y activa Certificado de Firma antes de enviar. Una invitación enviada sin seguimiento no se almacena, por lo que no produce certificado. Cada destinatario de esa invitación recibe el aviso y un certificado.
Flujos de trabajo. En el diseñador de flujos de trabajo, abre el paso que recoge la firma y activa Crear certificado de firma. El enlace de tarea del paso entonces lleva el registro del firmante, y el certificado se emite cuando se envía ese paso.
Qué ve el firmante
El firmante abre la invitación o el enlace de tarea y completa el formulario como de costumbre. Bajo el panel de firma ven el aviso de consentimiento, en el estilo y idioma propios del formulario. En un formulario PDF, el aviso aparece bajo el panel en la ventana emergente de firma existente. No hay casilla adicional, ventana emergente ni paso extra.
Al dibujar, escribir o subir una firma y luego enviar el formulario, el firmante acepta el aviso. El certificado registra ese acuerdo junto con el texto mostrado.
Después del envío
En la página de Envíos
Cuando el envío llega con un certificado, las acciones del envío incluyen:
- Descargar Certificado de Firma, el certificado como un PDF, y su checksum SHA256 para que un destinatario pueda confirmar que el archivo es el que emitiste.
- Verificar firmas en línea, la página de verificación pública para este certificado.
El certificado también está disponible a través de la API y en el webhook de envío, junto con el PDF enviado, mientras el envío no haya sido editado. Una vez que el envío ha sido editado, sus datos de API no tienen bloque de certificado.
Cuando se edita un envío firmado
Solo la primera versión enviada de un envío está firmada. Cuando el envío se edita y se envía de nuevo (por el firmante con Editar Envío, por un miembro del equipo, a través de la API, o después de que un flujo de trabajo lo devuelva), la nueva versión es aceptada, pero no se registra la firma ni se emite un nuevo certificado. El certificado de la primera versión permanece como el registro de lo que se firmó:
- El menú Acciones de la fila ya no ofrece Descargar Certificado de Firma, y el tooltip del icono de certificado dice “Certificado de Firma Disponible en la Revisión 1”. Descarga el certificado desde Acciones > Revisiones …, donde la revisión 1 tiene un enlace de Certificado de Firma.
- La página de verificación muestra Reemplazado por una versión posterior. Aún muestra la versión firmada y cuándo fue firmada, además de una fila de Versión actual con el número de la última versión.
- Una página que edita el envío, como Editar Envío, no muestra el aviso de consentimiento bajo los campos de Firma.
- Cuando un flujo de trabajo devuelve un paso certificado, el certificado de la ejecución no incluye las decisiones de aprobación.
Para recoger una nueva firma sobre contenido modificado, envía una nueva invitación.
En tu correo electrónico de notificación
El correo electrónico de notificación predeterminado adjunta el certificado e imprime su checksum. Los formularios creados antes de que esto fuera el predeterminado necesitan dos variables en el Cuerpo del Correo bajo Notificaciones:
{{attach_sign_cert_pdf}}adjunta el certificado de firma al correo electrónico.{{sign_cert_checksum}}imprime el checksum SHA256 del certificado.
Qué contiene el certificado
- Firmantes. La dirección de correo electrónico de cada firmante de la invitación o tarea, la hora de la firma en UTC, dirección IP y navegador, y una imagen de cada firma con su propia huella digital.
- Aviso acordado. El aviso de consentimiento exactamente como se mostró, con su idioma y versión.
- Huella digital del documento. El hash SHA-256 del PDF firmado. Para un flujo de trabajo, también el hash del PDF final cuando el flujo de trabajo se completa.
- Línea de tiempo. Cada evento registrado en orden: enlace abierto, páginas vistas, firma aplicada, aviso acordado, enviado, documento renderizado, certificado emitido. Cada evento lleva un hash que incluye el hash del evento anterior, por lo que un cambio en cualquier evento pasado se muestra como una ruptura en la cadena.
- Enlace de verificación. La dirección de la página de verificación pública.
Verificar una firma en línea
Cualquiera que tenga el enlace del certificado puede abrir la página de verificación. Muestra si la cadena de evidencia está intacta, los firmantes con sus direcciones de correo electrónico parcialmente enmascaradas, el aviso al que accedieron, la huella digital del documento y la línea de tiempo. Nada en la página es editable.
Para verificar un documento, elige el PDF firmado y haz clic en Verificar. La página compara la huella digital del archivo con la registrada cuando se firmó e informa si hay coincidencia o no. El archivo solo se hash y no se almacena. La misma información está disponible como JSON en la dirección de la página con .json añadido, para tus propios sistemas. Para explicar la verificación a la otra parte, comparte ¿Cómo puedo probar que una firma electrónica de PlatoForms es válida?.
Para equipos con cumplimiento HIPAA habilitado, la página muestra solo el veredicto, las huellas digitales y el número de firmantes hasta que se sube un documento coincidente.
Cuánto tiempo se conserva la evidencia
El certificado y su línea de tiempo permanecen con el envío mientras el envío exista, bajo la configuración de retención de datos de tu equipo.
Además, una copia del PDF del certificado y su línea de tiempo completa se escribe en almacenamiento de solo escritura cuando se emite el certificado y se conserva durante siete años. Eliminar el envío no elimina esa copia, y la página de verificación sigue respondiendo por ella, marcada como una copia retenida. Esto protege la evidencia si un documento firmado se elimina por error.
Qué no hace el certificado
El certificado está diseñado para cumplir con los requisitos de una firma electrónica estándar en la mayoría de las jurisdicciones. Ten en cuenta sus límites:
- Identidad. El firmante se identifica por la dirección de correo electrónico a la que se envió la invitación o tarea. No hay verificación de identidad, código SMS o certificado digital para el firmante.
- Tiempo. Los tiempos provienen de los servidores de PlatoForms, no de una autoridad de sello de tiempo independiente.
- El PDF en sí. El PDF firmado y el certificado no están sellados criptográficamente. Su integridad se muestra mediante las huellas digitales registradas en el certificado y en la página de verificación, no solo por los archivos.
Algunos tipos de documentos, como testamentos, escrituras notariales y algunas transferencias de propiedad, requieren una firma presenciada o calificada en la mayoría de los países y no son adecuados para esta función.