Firmados en España: qué validez tienen y cómo comprobarlos

Qué es un documento firmado y qué valor tiene en España

Un documento firmado es aquel al que se le asocia una firma que permite identificar a quien lo suscribe y saber si el contenido ha sido alterado. En España, esa firma no vale menos por ser electrónica: si cumple los requisitos legales, puede producir efectos plenos en un expediente administrativo, ante una empresa o en un juzgado.

La referencia básica está en la Ley 59/2003, de firma electrónica, cuyo artículo 3 reconoce eficacia jurídica a la firma electrónica y permite usarla como medio de identificación y de manifestación del consentimiento. A nivel europeo, el Reglamento (UE) 910/2014, eIDAS dice en sus artículos 25 y 26 que una firma electrónica no puede quedar sin efectos por el mero hecho de ser electrónica, y que la firma cualificada equivale a la manuscrita en toda la Unión. En la Administración española, los artículos 10 y 11 de la Ley 39/2015, del Procedimiento Administrativo Común regulan los sistemas de firma admitidos y su uso por las administraciones.

La clave está en la prueba

Lo importante no es el nombre del archivo ni que aparezca una imagen de una rúbrica. Lo decisivo es que la firma permita probar tres cosas: quién firmó, qué se firmó y si el documento sigue intacto. Si hay certificado, huella verificable y cadena de confianza, el documento gana mucha fuerza; si falta alguno de esos elementos, la discusión suele ser probatoria, no automática.

En España, la firma electrónica vale por su capacidad de identificar al firmante y detectar cambios, no por el aspecto del archivo.

Qué tipos de firma electrónica y qué formatos son habituales

• La firma electrónica simple suele bastar para identificar a una persona en trámites de bajo riesgo, como una aceptación en pantalla o una confirmación por clic.
• La firma electrónica avanzada añade más garantías: vínculo único con el firmante, control exclusivo y detección de cambios del documento.
• La firma electrónica cualificada es la de mayor fuerza jurídica: usa un certificado cualificado y, además, un dispositivo o servicio cualificado de creación de firma.
• En la práctica administrativa española verás sobre todo documentos en PDF, XML y firmas en formato CAdES, XAdES o PAdES.

Firma electrónica simple

Es la puerta de entrada. Sirve cuando el trámite no exige el máximo nivel de seguridad y la identidad puede acreditarse por el contexto: una casilla marcada, un botón de aceptación o una firma dibujada en una tableta. En España puede ser suficiente para cerrar consentimientos o solicitudes poco sensibles, aunque su valor probatorio depende mucho de cómo se obtuvo y de qué rastro dejó.

Firma electrónica avanzada

Aquí ya hay una capa técnica clara: la firma queda vinculada de forma única al firmante, permite detectarle modificaciones posteriores y exige que el firmante mantenga bajo su control los datos de creación de la firma. Es la que mejor encaja en trámites electrónicos serios de ayuntamientos, comunidades autónomas o ministerios cuando no se exige la cualificada.

Firma electrónica cualificada

Es el nivel más fuerte. La define el eIDAS como firma avanzada basada en un certificado cualificado y creada con un dispositivo cualificado de creación de firma. En la práctica española, si un documento sale firmado con este nivel, su eficacia jurídica es la más robusta y se aproxima a la firma manuscrita en valor legal.

Formatos PDF, XML y CAdES, XAdES o PAdES

El formato no es lo mismo que el tipo de firma. El PDF es muy habitual en escritos y resoluciones; PAdES es el estándar de firma sobre PDF; XAdES se usa mucho en XML, típico de intercambios entre sistemas de la Administración; y CAdES encapsula la firma en un contenedor que suele aparecer en expedientes o intercambios técnicos. En sedes electrónicas del Estado, de las comunidades autónomas y de los ayuntamientos españoles, lo normal es que el visor o verificador te diga de inmediato qué formato reconoce.

Cuándo un firmado es válido y cuándo puede discutirse

Un firmado es válido cuando el soporte técnico respalda la identidad, la integridad y la trazabilidad. Puede discutirse si falta la cadena de confianza, si el certificado estaba revocado antes de firmar, si el documento ha sido modificado o si la persona niega la autoría y obliga a probarla. En un procedimiento administrativo español, el órgano no debería cuestionar de entrada una firma cualificada bien emitida; en cambio, si el documento llega roto, con huella errónea o con una firma no reconocida por el sistema, sí puede surgir problema.

Cómo comprobar la firma paso a paso

1. Descarga o localiza el archivo firmado tal como se presentó en la sede electrónica del organismo español, sin renombrarlo ni abrirlo con editores que lo puedan alterar.
2. Abre el verificador oficial del propio organismo o de la Administración que lo haya emitido.
3. Carga el documento firmado y, si el sistema lo pide, también el documento original o el fichero resultante de la firma.
4. Revisa el tipo de firma, el estado del certificado, la huella y el sello de tiempo.
5. Guarda el informe de verificación en PDF o XML para poder usarlo luego ante el ayuntamiento, la comunidad autónoma o, si hace falta, el juzgado.

Verificación en la sede electrónica del organismo emisor

1. Entra en la sede electrónica del ministerio, comunidad autónoma o ayuntamiento que generó o recibió el documento.
2. Busca la opción de verificación de firma o comprobación de documentos firmados.
3. Sube el fichero firmado; en algunos servicios también tendrás que aportar el documento original, sobre todo cuando la firma es explícita y el original no va incluido.
4. Lee el resultado completo y comprueba si el sistema identifica el formato: en la sede electrónica del Ministerio de Sanidad se admiten firmas PDF, CAdES y XAdES, además de casos marcados como desconocidos.

Verificación con AutoFirma, visor PDF o herramienta de escritorio

1. Abre el documento en AutoFirma o en el visor de firmas de tu equipo, especialmente si el trámite de la Junta de Comunidades de Castilla-La Mancha, de otra comunidad autónoma o de un ayuntamiento te lo pide expresamente; la Junta de Comunidades de Castilla-La Mancha explica el uso de certificados en software, hardware seguro y firma remota con Cl@ve Firma.
2. Comprueba que el archivo no esté dañado y que la firma aparezca como válida o, al menos, verificable.
3. Mira si el visor muestra la cadena de certificación completa y el detalle del certificado.
4. Si el PDF trae varias firmas, revisa cada una por separado, porque una puede estar bien y otra no.

Qué debe salir en el informe de verificación

Si el informe es limpio, suele aparecer un mensaje de firma válida, junto con el certificado, el algoritmo de huella y la fecha. Si hay alertas, fíjate primero en la revocación y en el sello de tiempo: una firma puede seguir siendo válida aunque hoy el certificado esté caducado, siempre que la firma se hiciera cuando seguía vigente y el sellado temporal lo acredite.

Qué hacer si la firma sale inválida, caducada o revocada

1. No reenvíes el documento sin guardar antes el archivo original y el informe de verificación; en España eso te puede salvar una prueba en un expediente o en un pleito.
2. Comprueba si el problema es del fichero, del navegador o del verificador. Repite la revisión en la sede del organismo emisor y en otra herramienta, porque a veces el fallo está en la lectura, no en la firma.
3. Si el certificado está caducado, mira la fecha de firma y el sello de tiempo: si firmó antes de caducar, la caducidad posterior no tumba por sí sola la validez.
4. Si el certificado aparece revocado, distingue entre revocación anterior y posterior a la firma; si fue anterior, la firma queda muy tocada.
5. Si hay alteración del documento, pide al órgano que emitió o recibió el archivo una nueva comprobación y presenta un escrito de subsanación ante la administración competente antes de que te venza el plazo del trámite.
6. Si el conflicto llega a un procedimiento judicial, impugna el documento y apóyate en la prueba pericial que proceda; el artículo 326 de la LEC es la referencia básica cuando discutes un documento privado o su autenticidad.

Ejemplo práctico: un PDF firmado por dos personas en una sede electrónica española

Imagina un PDF de 1,8 MB presentado en la sede electrónica del Ayuntamiento de Zaragoza para una licencia menor. Lo firman dos personas: Laura, a las 09:14, y Sergio, a las 09:17. Ambos usan certificado cualificado de una autoridad española y el archivo queda en formato PAdES.

Al verificarlo, el sistema devuelve esto:

• dos firmas válidas;
• huella SHA-256 coincidente con el PDF subido;
• cadena de confianza completa hasta la autoridad de certificación;
• sello de tiempo a las 09:17:22;
• certificado de Sergio caducado tres meses después, pero no antes de la firma.

Resultado práctico: el documento sigue siendo válido, porque la verificación demuestra que el PDF no se ha alterado desde que se firmó y que las dos firmas estaban correctas en el momento de su creación. Si, en cambio, la segunda firma hubiese aparecido como revocada el mismo día a las 08:30, el ayuntamiento podría pedir aclaración y el expediente quedaría en riesgo hasta que se acreditara qué pasó.

Preguntas frecuentes