Criptografía, integridad y conservación
La seguridad del documento depende de evidencias distintas. Una firma correcta no prueba por sí sola que su certificado sea confiable, siga vigente o no esté revocado. El servicio presenta esas comprobaciones por separado.
| Mecanismo | Qué protege | Límite |
|---|
| SHA-256 | Identifica exactamente los bytes de una revisión. | Quien puede cambiar el PDF y su huella almacenada podría sustituir ambos. Por eso se añaden firmas, sellos y un manifiesto autenticado. |
| Firma PAdES | Vincula los bytes cubiertos con la clave privada del certificado. | La cadena de confianza, revocación, consentimiento y facultades requieren comprobaciones adicionales. |
| Sello RFC 3161 | Vincula una huella con la fecha y hora firmadas por la TSA. | Acredita existencia de esos datos al sellarse. No prueba el momento exacto de acciones anteriores ni la veracidad del texto. |
| Manifiesto HMAC-SHA256 | Detecta cambios no autorizados en documentos, informes, estados, eventos, inventario y credenciales de la base de datos. | Exige mantener secreta y separada la clave del servicio. No resiste el control conjunto del servidor, código y secretos. |
Cómo se evita sustituir el documento al firmar
El cliente comprueba el SHA-256 de la descarga. AutoFirma recibe la revisión actual con creación incremental forzada. El servidor exige que el archivo completo anterior sea un prefijo binario del nuevo, incluso en la primera firma. Además, analiza las diferencias entre revisiones con reglas para firmas y evidencias, rechaza modificaciones del contenido y conserva las identidades de las firmas anteriores. No existe una casilla de aprobación manual que permita saltarse estas comprobaciones. Una revisión obsoleta o un expediente cerrado tampoco se incorpora.
Las comprobaciones se repiten dentro de una transacción antes de guardar. Cada entrada exacta y cada resultado sellado se conservan con sus huellas. Añadir un sello documental no reescribe ni destruye los bytes firmados: añade una revisión al PDF.
Hora acreditada y reloj informativo
Tras recibir una firma válida, el servicio solicita a la TSA una evidencia que cubre el PDF firmado. La fecha asociada al firmante es la del token de esa incorporación, nunca la fecha declarada por su ordenador. Un sello documental posterior no cambia esa fecha histórica. El reloj ROA visible cada segundo facilita la consulta, pero no es un sello ni una prueba certificada de cada acción. Las aperturas, cierres y reaperturas utilizan hora del servidor y se identifican así en el historial.
Protección del almacenamiento
El manifiesto autenticado cubre cada expediente y el inventario, incluidos los informes y el historial. Si una comprobación falla, se bloquea el acceso afectado y no se vuelve a dar por bueno el dato alterado automáticamente. La clave no se almacena en SQLite. La primera migración establece una referencia de los datos existentes: no puede demostrar qué ocurrió antes de esa referencia. Restaurar conjuntamente una base antigua válida y sus credenciales puede producir un retroceso no detectable localmente. Para detectar ese caso hacen falta copias y anclas externas con control de versiones.
Conservación y límites
Esta versión no ofrece conservación cualificada ni PAdES-LTA completo. No recoge automáticamente todas las respuestas OCSP/CRL ni renueva evidencias antes de que pierdan eficacia los algoritmos o certificados. Es necesario conservar los originales, las evidencias de validación disponibles, la configuración y copias verificadas fuera del servidor. El operador debe proteger la cuenta de servicio y su clave, mantener actualizaciones y comprobar restauraciones.
La marca europea mostrada por referencia al servicio TSA no certifica esta aplicación. La cualificación jurídica no nace de la apariencia del PDF. El cierre, la repudiación y la eliminación son estados internos; no sustituyen revocación de certificados, resoluciones judiciales ni requisitos de un procedimiento específico.
Referencias
RFC 3161 · HMAC · Reglamento eIDAS, especialmente artículos 25, 41 y 42 · Ley 6/2020 · Sellado temporal ACCV y condiciones de uso personal