Comprobar firmas PDF

Cómo funciona

Cuando abres un PDF con firmas, arriba aparece una línea que dice cuántas tiene; con un clic se abre esta herramienta (también puedes buscarla como «Comprobar firmas»). Por cada firma se muestran seis bloques: si el documento cambió desde entonces, quién dice el certificado que firmó, si el certificado es de confianza, si fue revocado, cuándo se firmó y el nivel de validación a largo plazo. Cada comprobación aparece con su estado escrito (correcta, fallida o no comprobada) y un icono, nunca solo con un color.

La herramienta no da un veredicto global ni dice que una firma sea «de confianza», «cualificada» o «certificada». Para juzgar la confianza hace falta una lista de certificados de confianza, y esta web no incluye ninguna: mientras no se aporte una, el panel dice que no se aportó lista de confianza y muestra solo lo que el archivo afirma. El firmante aparece siempre como «declarado»: es lo que dice el certificado, no una identificación de la persona.

Dos acciones opcionales crean una copia nueva del archivo: añadir datos de validación a largo plazo y añadir un sello de tiempo de documento. Ninguna se hace sola. Si algo tiene que salir de tu navegador (la consulta de revocación a la entidad emisora, donde exista ese servicio, o el hash para el sello de tiempo), antes se te pregunta y puedes cambiar tu respuesta en Ajustes; el archivo nunca se envía. Además puedes descargar un informe de la comprobación en JSON.

Qué no se conserva y límites

• Esta herramienta comprueba la integridad y la estructura de las firmas y muestra lo que el archivo afirma. No dice si una firma tiene validez legal ni si el firmante es quien dice ser: eso depende de la ley aplicable y de quién emitió el certificado.
• Sin una lista de certificados de confianza no se juzga la confianza. Esta web no incluye ninguna lista ni decide quién es fiable. Puedes importar certificados (.cer, .crt, .pem) para esa sesión: se quedan en la memoria del dispositivo y se pierden al cerrar, y que un certificado esté en tu lista solo significa eso.
• Las reglas completas de validación de cadenas de certificados (RFC 5280) están implementadas solo en parte: se comprueban la firma de cada eslabón, las restricciones de CA y la longitud de la ruta, pero no las restricciones de nombres ni las políticas, y el panel lo marca como no comprobado. Para una validación formal o para la firma cualificada de la UE hace falta además un validador dedicado.
• No se dibuja la página. Un cambio añadido después de la firma que el análisis clasifica como permitido (rellenar un campo, añadir otra firma o datos de validación) aun así podría alterar lo que ves; el panel lo avisa, y enumera los cambios que no puede clasificar.
• La revocación se comprueba con los datos que ya lleva el archivo. La consulta en línea es opcional, solo existe en las versiones del sitio con ese servicio activado, se pregunta antes de cada envío y la entidad emisora llega a saber el número de serie del certificado (ver Privacidad).
• La hora que declara el firmante se muestra como declarada. Solo un sello de tiempo comprobado da una hora respaldada por un tercero, y sin lista de confianza tampoco se sabe de quién es.
• Añadir datos de validación o un sello de tiempo de documento crea una copia nueva: el archivo abierto y tu original no se tocan. No se hace nada sin que pulses el botón, y la copia no tiene más valor legal del que tenga la firma original.
• Todo se calcula en la memoria de tu dispositivo y el archivo no se envía a ningún sitio. Los archivos muy grandes pueden tardar o fallar, sobre todo en móviles. Para que un archivo hostil no bloquee tu navegador, la herramienta examina como máximo 50 firmas por archivo, no abre datos comprimidos que se expandan a más de 64 MB y te dice lo que no examinó. Puedes cancelar la comprobación y también las dos acciones que crean una copia (datos de validación y sello de tiempo).
• Los resultados se han contrastado con herramientas independientes (openssl, pdfsig de poppler y pikepdf) sobre archivos de prueba. No se han comparado con Adobe Acrobat ni con validadores oficiales de la UE, y solo se ha probado en Chromium (no en Firefox ni Safari, ni con pantalla táctil o lector de pantalla). La línea «Este archivo tiene N firmas» cuenta los diccionarios de firma que encuentra, y eso incluye los sellos de tiempo de documento.