No basta con firmar un PDF: así debe validarse una firma digital en Perú

Firmar un PDF es solo la mitad del proceso. La otra mitad es que otra persona pueda comprobar esa firma, y la norma peruana tiene reglas concretas para ello.

¿Cómo se valida una firma digital en Perú?

Validar una firma digital es comprobar técnicamente su validez con un software de validación. En las entidades públicas, la Resolución N.° 007-2024-PCM/SGTD, que aprobó la Directiva N.° 002-2024-PCM/SGTD, dispone que esa validación se haga con un software debidamente acreditado en el marco de la IOFE. La resolución es del 11 de diciembre de 2024 y se publicó en El Peruano el 18 de diciembre.

La regla está en la segunda disposición complementaria final de la resolución, no en el texto de la Directiva:

“La validación de una firma digital, visible o invisible, debe realizarse utilizando un software de validación de firma digital debidamente acreditado en el marco de la Infraestructura Oficial de Firma Electrónica.”

— Segunda disposición complementaria final, Resolución N.° 007-2024-PCM/SGTD.

La Directiva se aplica de forma obligatoria a las entidades de la Administración Pública y a las empresas del Estado en el ámbito de FONAFE y de los gobiernos regionales y locales, en lo que corresponda. Por eso esta obligación específica no alcanza a una empresa privada, aunque la idea de fondo le sirve igual.

Qué comprueba una validación

La Directiva define la validación como la operación en la que un verificador comprueba la validez de la firma usando un software de validación. Normalmente se revisan:

• la integridad del documento;
• el certificado digital utilizado y la identidad asociada;
• la cadena de confianza;
• el estado y la vigencia del certificado;
• la estructura criptográfica de la firma.

El numeral 13.5 de la Directiva contempla tres resultados posibles: firma válida, inválida o indeterminada. La finalidad es determinar si la evidencia criptográfica del documento puede verificarse de forma confiable.

Certificado digital y firma digital: crear y validar

El certificado digital vincula una identidad con información criptográfica. Cuando el titular lo usa para firmar, se genera una firma digital asociada al contenido del archivo. Pero el proceso no termina ahí: quien recibe el documento debe poder verificar esa firma.

La Directiva también pone una condición en el momento de crear la firma. Su numeral 12.1 indica que la creación se realiza con un software de creación de firmas digitales acreditado dentro del marco de la IOFE. Es decir, la acreditación aparece en las dos etapas: crear y validar.

Si quieres repasar qué exige la ley a cada tipo de firma, revisa firma electrónica vs. firma digital. Si buscas herramientas para firmar, tienes cómo firmar un PDF con certificado digital.

Una imagen de firma no es una firma digital

Un PDF puede mostrar «Firmado por: Juan Pérez» o incluso una rúbrica manuscrita. Eso no demuestra por sí mismo que exista una firma digital, porque la firma digital funciona con criptografía. Este es el mismo problema que explicamos en por qué tu firma escaneada no te protege.

¿Hay que firmar cada página de un PDF?

No, y en el caso de los servidores civiles la norma va más allá: lo prohíbe. La misma disposición complementaria establece:

“Los servidores civiles que requieran firmar digitalmente un documento electrónico en formato PDF deben hacerlo una única vez, quedando prohibido que estos firmen cada página del documento.”

— Segunda disposición complementaria final, Resolución N.° 007-2024-PCM/SGTD.

La resolución añade que la firma digital, visible o invisible, protege todas las páginas del PDF de principio a fin, y que la protección de la firma visible no depende de la página donde se incrustó su representación gráfica. Por eso un documento de 2, 10 o 100 páginas no necesita una firma independiente en cada hoja. Lo que cambia en la última página es solo la imagen; la protección está en la firma criptográfica.

Firma visible y firma invisible

La Directiva distingue dos modos al firmar en formato PAdES. Ambos deben poder validarse.

Qué es la IOFE y por qué importa la acreditación

La IOFE es el marco oficial peruano de servicios vinculados con certificados y firma digital. En ella intervienen, entre otros, entidades de certificación, entidades de registro o verificación y prestadores de servicios de valor añadido, como los de sellado de tiempo. INDECOPI cumple el rol de acreditación dentro de este marco.

INDECOPI mantiene una guía y un procedimiento para acreditar aplicaciones de software de firma digital. En 2016 aprobó una nueva versión de esa guía mediante la Resolución N.° 010-2016/CFE-INDECOPI. La acreditación agrega una capa de confianza sobre el software que se usa dentro de la infraestructura oficial.

Qué verificar antes de comprar un certificado digital

El certificado es solo una parte de un proceso que incluye emisión, uso de las claves, firma, validación, conservación y verificación futura. Antes de comprarlo, responde:

1. ¿Quién firmará?
2. ¿Qué documentos se firmarán?
3. ¿El uso será tributario, documental o profesional?
4. ¿Qué sistema utilizará el certificado?
5. ¿Quién recibirá los documentos?
6. ¿Cómo se validarán las firmas?
7. ¿El proceso requiere sello de tiempo?
8. ¿Se necesita automatizar la firma?

Un caso típico es el de una empresa que presenta un documento a una entidad pública: el representante lo firma con su certificado, la entidad valida la firma y recién entonces el documento ingresa al procedimiento. Por eso conviene usar un certificado y un software compatibles con el ecosistema oficial.

Validación de la firma y sello de tiempo no son lo mismo

La firma digital ayuda a comprobar al firmante y la integridad del documento. El sello de tiempo asocia una evidencia temporal a la información electrónica. En determinados procesos se usan juntos: certificado, firma, sello de tiempo, validación y evidencia.

Esto importa porque el reto ya no es solo cómo firmar un PDF, sino cómo podrá otra persona verificar esa firma dentro de uno, cinco o diez años. Ese tema lo desarrollamos en qué es el sello de tiempo y por qué fortalece tu firma digital.

¿Solo las entidades públicas deberían validar firmas?

La obligación analizada proviene de una norma dirigida a entidades públicas. Aun así, cualquier organización que reciba documentos firmados digitalmente necesita definir cómo comprobará esas firmas: bancos, aseguradoras, universidades, estudios jurídicos, áreas de recursos humanos, fintech, proveedores y plataformas B2B. En el sector de seguros, por ejemplo, lo vimos en certificado digital y pólizas electrónicas según la SBS.

Conclusión

La firma digital no termina cuando se firma el documento: también debe poder verificarse de forma confiable. Para las entidades públicas, la Resolución N.° 007-2024-PCM/SGTD exige validar con software acreditado en la IOFE, y para los servidores civiles establece que el PDF se firme una sola vez. Un buen proceso de confianza digital combina certificado, firma, validación y evidencia.

Este artículo es informativo y no constituye asesoría legal. Revisa siempre el texto oficial de la resolución y de la Directiva.

Preguntas frecuentes

¿Cómo se valida una firma digital en Perú?

En las entidades públicas, con un software de validación de firma digital debidamente acreditado en el marco de la IOFE, según la Resolución N.° 007-2024-PCM/SGTD. La validación comprueba la firma, el certificado y el documento.

¿Tengo que firmar digitalmente cada página de un PDF?

No. Para los servidores civiles, la norma dispone que el PDF se firme una única vez y prohíbe firmar cada página. La firma digital protege todas las páginas del documento, de principio a fin.

¿Una firma digital invisible tiene validez?

La Directiva contempla firmas digitales visibles e invisibles, y ambas deben poder validarse. Que no aparezca una imagen no significa que el PDF carezca de firma digital.

¿Una imagen de mi firma es una firma digital?

No. Una imagen es solo una representación gráfica. La firma digital usa criptografía y un certificado digital para proteger el documento.

¿Cómo sé si un PDF está firmado digitalmente?

Debes comprobarlo con un software capaz de reconocer y validar la estructura de la firma. Un texto como «Firmado por» o una rúbrica en pantalla no basta para saberlo.

¿Quién acredita el software de firma digital en Perú?

INDECOPI mantiene un procedimiento y una guía de acreditación para las aplicaciones de software de firma digital que buscan incorporarse a la IOFE.

Siguiente paso

Si necesitas firmar documentos que otros puedan validar, o acreditar cuándo se firmaron, estas son las opciones:

• Certificado Digital para Persona Natural: para firmar documentos a título propio.
• Sello de tiempo: para fijar fecha y hora cierta en documentos firmados digitalmente.
• Iniciar tu solicitud.

Fuentes

• Resolución N.° 007-2024-PCM/SGTD, que aprueba la Directiva N.° 002-2024-PCM/SGTD — LP Derecho
• Directiva N.° 002-2024-PCM/SGTD, que regula el uso de la firma digital en las entidades públicas (texto)
• Ejecutivo aprueba directiva que regula el uso de la firma digital en entidades públicas — Andina
• Aprobación de la nueva versión de la Guía de Acreditación de Software de Firma Digital (Resolución N.° 010-2016/CFE-INDECOPI) — SNI