Hay tres herramientas en la lista corta, las demostraciones salieron bien, y las tablas de funciones se parecen lo suficiente como para que la decision se incline hacia quien presento mejor. Todas prometen prueba: prueba de que un documento existio, prueba de que no fue alterado, prueba de que alguien lo firmo. Una sola pregunta separa las herramientas que aguantan de las que no, y no aparece en ninguna hoja comparativa.
Es esta. Puede una persona que no tiene cuenta con el proveedor verificar la prueba por su cuenta, y sigue funcionando si el proveedor desaparece?
Que entiende una pagina de producto por prueba, y que entiende una disputa
En una pagina de producto, prueba suele significar que la herramienta te muestra algo: un distintivo verde, un registro de auditoria dentro del panel del proveedor. Eso es el proveedor haciendo una afirmacion sobre sus propios registros. En una disputa el termino es mas estrecho. Un tercero sin relacion contigo ni con el proveedor, un arbitro o el abogado de la otra parte, tiene que mirar un artefacto y llegar a una conclusion sin creer a nadie bajo palabra.
La brecha aparece cuando alguien pide la prueba, tu envias un enlace, y esa persona llega a una pagina de inicio de sesion.
Primera mitad: puede verificarlo un desconocido
Plantea el mismo escenario a cada proveedor, con las mismas palabras. Le entrego su artefacto a alguien con un portatil y sin cuenta. Que puede establecer, y con que software? Las respuestas caen en tres grupos.
- La verificacion solo funciona dentro del producto, para usuarios con sesion iniciada. La prueba y el proveedor son lo mismo, asi que la prueba esta disponible solo mientras lo este la cuenta.
- La verificacion pasa por una pagina publica alojada por el proveedor. Mejor, y util en el dia a dia, pero sigue dependiendo de que ese proveedor este accesible el dia en que alguien comprueba.
- La verificacion funciona sin conexion con software estandar. El archivo lleva su propio material criptografico, y un lector PDF comun o una utilidad de verificacion abierta lo contrasta con certificados publicados por una autoridad de certificacion.
Solo la tercera es independiente en el sentido en que lo entiende un abogado. Pide un artefacto de muestra y abrelo en una maquina que nunca ha visto el software del proveedor.
Segunda mitad: sobrevive la prueba al proveedor
Una prueba se usa anos despues. Tiene que sobrevivir a tres desapariciones distintas.
- La suscripcion. Si tu organizacion deja de usar el servicio, los artefactos ya creados siguen verificandose, o la verificacion termina con la cuenta?
- El proveedor. Las empresas se adquieren, cambian de rumbo y cierran. Si esos servidores se apagaran manana, cuales de tus artefactos seguirian significando algo?
- El formato. Los algoritmos se debilitan a medida que crece la potencia de calculo. Pregunta si la prueba puede renovarse, y si el artefacto sigue un estandar publico documentado en vez de un contenedor que solo ese proveedor sabe leer.
Que se esta certificando en realidad
La palabra prueba junta tres afirmaciones distintas, y las herramientas difieren en cuales sostienen de verdad.
| Afirmacion | Que establece | Que no establece |
|---|---|---|
| Identidad de un firmante | Una persona verificada aplico una firma | Cuando se creo el contenido |
| Integridad de un archivo | El contenido no ha cambiado desde el sellado | Quien lo hizo, ni si tenia derecho a hacerlo |
| Existencia en un momento dado | Ese contenido exacto existia a mas tardar en ese momento | Quien es su autor, salvo que la identidad tambien se vincule |
| Las tres, unidas | Una parte nombrada tenia ese contenido en ese momento | Una disputa sobre los derechos de fondo |
La combinacion que necesitas depende del problema. Un contrato exige identidad del firmante. Un archivo de diseno o un manuscrito suele necesitar existencia en un momento dado mas integridad, porque bajo el Convenio de Berna el derecho de autor nace automaticamente con la creacion de la obra y no requiere registro para existir. Lo que le falta a un creador rara vez es un registro. Es un rastro fechado y comprobable de que existia y cuando.
Quien emite la certificacion
Hay una diferencia real entre un proveedor que afirma algo en sus propios registros y una certificacion emitida bajo un marco legal supervisado. Segun el Reglamento (UE) n. 910/2014, conocido como eIDAS, el articulo 41 otorga al sello de tiempo electronico cualificado la presuncion de exactitud de la fecha y hora que indica y de integridad de los datos a los que se vincula. En Suiza, ZertES regula los servicios de certificacion cualificados, y la equivalencia con la firma manuscrita esta en el Codigo de Obligaciones, art. 14 parrafo 2bis CO.
Para quien compra, eso cambia quien tiene que argumentar. Asi que haz dos preguntas simples: quien es el prestador de servicios de confianza detras de esto, y bajo que regimen de supervision esta inscrito? Un proveedor construido sobre un prestador acreditado lo nombra sin dudar.
Las preguntas que conviene enviar por escrito
Nada de lo dicho en una demostracion se puede recuperar seis meses despues. Envia estas preguntas por correo y guarda la respuesta.
- Envien un artefacto de muestra que podamos verificar sin conexion, en una maquina sin nada de su software.
- Nombren al prestador de servicios de confianza detras de la certificacion y el regimen que lo supervisa.
- Indiquen que certifica cada artefacto: identidad, integridad, existencia en un momento, o una combinacion.
- Describan que pasa con los artefactos ya creados si nuestra cuenta se cierra.
- Describan que puede verificar un tercero si su servicio no esta disponible.
- Confirmen que podemos exportar todos los artefactos en bloque en un formato documentado, e indiquen si la exportacion incluye el material de verificacion o solo un resumen.
- Expliquen como puede renovarse la prueba a medida que envejecen los algoritmos criptograficos.
Aplica esa lista a cada candidato, incluido el que ya te gusta. Swiss Trust Layer responde a los siete puntos: sus artefactos llevan sellos de tiempo y firmas cualificadas suizas que se verifican en software PDF corriente sin cuenta en ninguna parte, y la pagina de como funciona muestra esa ruta de verificacion. La lista importa mas que cualquier respuesta concreta. Un proveedor que solo responde a esto por telefono te ha dicho algo util sobre como se comportara la prueba el dia que la necesites.
