Un consultor autónomo envía por correo un informe final a un cliente un viernes. Tres meses después, el equipo financiero del cliente pregunta qué versión se aprobó, y el hilo se convierte en una búsqueda entre adjuntos. El consultor podría haber terminado esa búsqueda antes de que empezara, dando al cliente una forma de verificar un documento firmado en línea sin pedir ayuda a nadie. Este artículo recorre lo que el certificado de un documento sellado ofrece realmente a quien lo recibe, según el funcionamiento actual del producto, y dónde termina esa oferta.
La respuesta corta para quien envía el archivo
Cuando descarga el certificado de un documento sellado, este lleva un código QR azul. Al escanearlo se abre una página de verificación pública en cualquier navegador. Quien escanea no necesita cuenta ni inicio de sesión, y la página le muestra enseguida los datos de la firma. Esa es la parte en la que puede confiar y que puede entregar a un cliente. La parte con la que hay que tener cuidado es lo que comprueba la página, y lo explico a continuación.
Qué ocurre cuando su cliente escanea el código
El código QR codifica una dirección web que apunta a un registro sellado concreto: un identificador de carpeta más un identificador de versión. La dirección abre una página llamada verify-certificate. Esa página es una ruta pública, así que la aplicación no envía al visitante a una pantalla de inicio de sesión, y la solicitud que hace para obtener el certificado tampoco está detrás de una comprobación de acceso. Un cliente que reciba su correo en el móvil puede escanear el código desde una pantalla o desde una copia impresa y llegar al resultado en segundos.
Lo que ve el cliente en la página
La página se abre con "Verification Successful" o con "Verification Failed". El éxito viene con la línea de que el documento ha sido verificado y contiene firmas digitales válidas. El fallo dice que la verificación falló o que no se encontraron firmas.
Debajo, cada firma aparece listada con su tipo y una insignia "Valid". Para una firma estándar, el cliente ve el emisor (nombre común y organización), el firmante, la fecha de firma y la fecha de caducidad del certificado de firma. El propio PDF del certificado se muestra en la página, con un botón para descargarlo. Nada en la página pide al cliente iniciar sesión, registrarse ni introducir un correo.
Lo que la página no les dice
Sea exacto con su cliente en este punto, porque repetirán lo que usted les diga. El código QR abre el certificado que la plataforma guarda para ese registro. Confirma que las firmas del certificado son válidas. No compara ese certificado con el informe que está en la bandeja de entrada de su cliente. Tampoco muestra quién escribió el informe ni si su contenido es correcto, y un sello no muestra que el archivo no cambiara antes de sellarse. Lo que respalda es más acotado y aun así útil: que el registro sellado existe, quién firmó y cuándo.
Comprobar el archivo que el cliente realmente tiene
Para comprobar el propio PDF, el cliente usa el validador público. Sube el PDF firmado, sin registro ni inicio de sesión. Comprueba la cadena de firmas, la autoridad de certificación emisora, la caducidad del certificado y la integridad del sello de tiempo, y muestra quién firmó, cuándo y con qué certificado. Si el contenido se modificó después de la firma, lo indica. Solo se procesan los metadatos de la firma, y el contenido del documento no se almacena. Así, las dos comprobaciones responden a dos preguntas. La página del QR responde a "¿existe un registro sellado válido para esto?" y el validador responde a "¿es este archivo exacto el firmado?"
Dónde va el enlace en su correo
Un enlace de certificado pertenece a un único documento sellado, construido a partir de los identificadores de ese registro. Una línea fija en la firma de su correo apuntaría a un solo entregable, por lo que no encaja en una firma. Tampoco encontré nada en el código del producto que prometa cuánto tiempo sigue siendo válido un enlace determinado, así que no le diría a un cliente que funciona para siempre. Ponga el QR o el enlace del certificado en el correo que entrega cada archivo, junto a una frase de contexto. La dirección del validador, en cambio, es una página pública estable que no depende de ningún registro. Esa sí puede ir en su firma como una sola línea, por ejemplo "Compruebe cualquier documento firmado en swisstrustlayer.com/validate".
Un breve texto que puede pegar
En el correo de entrega, escriba algo así: "El informe adjunto está sellado. El certificado también va adjunto. Escanee el código QR azul que contiene, o abra el enlace de abajo, para ver el firmante y la fecha de firma en una página pública. Para comprobar el propio PDF, súbalo al validador. No hace falta cuenta para ninguna de las dos cosas." Añada el enlace, envíe, y conserve usted mismo el original sellado y su certificado en más de un lugar, ya que el sello cubre una huella y no puede reconstruir un archivo perdido. Si el abogado de su cliente pregunta alguna vez, la respuesta a "¿puedo verificar esto por mi cuenta?" ya está en el correo que usted envió ese día.
De vuelta al correo del viernes
Volvamos al consultor y al equipo financiero tres meses después. En lugar de rebuscar entre adjuntos, el contacto de finanzas abre el correo de entrega original, escanea el código del certificado y ve el firmante y la fecha de firma en una página pública, y luego sube el PDF al validador para confirmar que es el archivo firmado. Nadie tuvo que llamar al consultor. La prueba se entregó junto con el archivo.
Selle su próximo entregable en Swiss Trust Layer y lea cómo funciona el paso de sellado en cómo funciona.
