Cuando alguien recibe un documento firmado, lo primero que hace es abrirlo en Adobe y verificar que la firma aparezca válida ✓. Esta guía explica qué hay detrás de esa marca verde, los tres niveles de firma que existen y cuándo usar cada uno — con el respaldo legal de 16 países de América Latina y el estándar de Estados Unidos (ESIGN Act) como referencia.
Un clic, un trazo en pantalla o un código por SMS. Rápida y suficiente para trámites de bajo riesgo.
Usa criptografía que identifica al firmante y detecta cualquier alteración del documento.
Certificada por un prestador acreditado ante el Estado. Equivale legalmente a la firma manuscrita.
No existe en EE.UU.En la práctica, sus clientes y contrapartes no consultan la ley de firma electrónica de su país: abren el PDF en Adobe Acrobat o Reader y miran una sola cosa — que la firma aparezca como válida. Esa es la verificación universal, y es la base sobre la que operan las plataformas de firma en todo el mundo.
El certificado fue emitido por una autoridad de confianza del programa AATL (Sectigo, DigiCert, GlobalSign…), que verificó la identidad del firmante antes de emitirlo. Estas autoridades exigen que la clave privada viva en un token criptográfico o HSM certificado — no en un archivo copiable.
La criptografía de la firma detecta cualquier alteración del documento después de firmado: si se modifica una sola letra, la firma deja de ser válida.
El sello de tiempo de una autoridad confiable acredita el momento exacto de la firma, verificable durante años (PAdES-LTV).
La clasificación en tres niveles proviene del Reglamento eIDAS, el estándar europeo y la referencia internacional más influyente. América Latina no tiene un estándar colectivo para toda la región: cada país tiene su propia ley, y algunos han optado por seguir el camino del modelo europeo — aunque no de forma exacta — mientras otros definen sus propios niveles y nombres. Algunos reconocen los tres niveles y otros solo dos (simple y certificada/cualificada), pero la lógica se repite: a mayor nivel, mayor seguridad técnica y mayor respaldo legal. (En Estados Unidos el enfoque es distinto — lo explicamos más adelante en la sección del ESIGN Act.)
Cualquier dato electrónico que la persona usa para identificarse y aceptar: un trazo con el dedo en la pantalla, marcar la casilla "acepto", o un código de un solo uso recibido por SMS o correo. No usa criptografía personal. Es válida y admisible como prueba, pero si alguien la desconoce, quien presenta el documento debe demostrar quién firmó.
Se crea con claves criptográficas bajo el control exclusivo del firmante. Está vinculada de manera única a su identidad y permite detectar cualquier alteración posterior del documento. Suele emitirse mediante plataformas comerciales o PKI privadas, sin necesidad de acreditación estatal. Ofrece evidencia técnica sólida, aunque en juicio puede requerir peritaje si se impugna. Importante: las autoridades certificadoras comerciales reconocidas (Sectigo, DigiCert, GlobalSign — programa Adobe AATL) ya no entregan estos certificados como archivo (.p12/.pfx): la clave privada debe generarse y residir en un token criptográfico o HSM certificado FIPS 140-2, o en un servicio de firma en la nube. Con un certificado AATL, la firma aparece válida (marca verde) en Adobe en cualquier país. Las firmas avanzadas de FirmaHoy incluyen además sello de tiempo con validez de largo plazo (PAdES-LTV): verificables durante años.
Es una firma avanzada reforzada con dos requisitos legales: un certificado emitido por un prestador acreditado ante el Estado y su creación en un dispositivo seguro (token criptográfico o HSM). Es el nivel máximo: la ley la equipara a la firma manuscrita y goza de presunción de autoría e integridad — quien la desconoce es quien debe probar el fraude. Por sus requisitos, es también la más exigente de obtener: en la siguiente sección explicamos cómo funciona en la práctica.
A diferencia de la simple y la avanzada, la firma cualificada no se crea en el momento de firmar: es un certificado que se asigna personalmente a cada firmante, antes de poder usarlo. Es muy utilizada en América Latina en trámites con el Estado, y entenderla ayuda a saber cuándo de verdad se necesita.
El prestador acreditado verifica a la persona con su documento de identidad oficial y una prueba biométrica — típicamente una videoconfirmación o reconocimiento facial, en forma presencial o remota según lo permita cada país. Sin esta verificación, el certificado no se emite.
El certificado se emite a nombre de esa persona específica y el firmante lo recibe personalmente. No puede compartirse ni delegarse: firmar con el certificado de otra persona equivale a falsificar su firma.
El firmante debe instalar la firma en su computadora o en un dispositivo seguro (token criptográfico o smartcard), donde la clave privada queda bajo su control exclusivo. Cada firma se autoriza desde ese equipo o dispositivo, normalmente con un PIN o contraseña.
El certificado vence (habitualmente entre 1 y 4 años). Para renovarlo, el firmante debe repetir el proceso de verificación de identidad ante el prestador acreditado.
Nueve criterios prácticos para elegir el nivel adecuado según el riesgo del documento.
| Criterio | 1 · Simple | 2 · Avanzada | 3 · Cualificada |
|---|---|---|---|
| Tecnología | Trazo en pantalla, OTP/SMS, casillas, registro de auditoría. | Criptografía asimétrica; con certificado AATL, la clave reside en token o HSM. | Dispositivo seguro certificado: token criptográfico o HSM. |
| Quién emite el certificado | No requiere certificado personal. | PKI privada o proveedor comercial, sin acreditación estatal. | Prestador de servicios de certificación acreditado ante el Estado. |
| Verificación de identidad | Mínima: correo o teléfono verificado. | Identidad vinculada mediante datos y factores de autenticación (OTP, correo). | Estricta: documento de identidad oficial + biometría (videoconfirmación), presencial o remota. |
| Entrega e instalación | Nada que instalar: se firma directo en la plataforma. | Nada que instalar: la firma se aplica en la nube (HSM del proveedor). | Se asigna personalmente: el firmante la recibe y la instala en su computadora o token. |
| Valor en juicio | Admisible; sin presunción de autoría. | Prueba técnica sólida; puede requerir peritaje si se impugna. | Equivalencia legal a la firma manuscrita; máxima fuerza probatoria. |
| Carga de la prueba | La asume quien presenta el documento. | En general, la asume quien aporta el documento. | Se invierte: quien desconoce la firma debe probar el fraude. |
| Sellado de tiempo | Hora del servidor de la aplicación. | Con FirmaHoy: sello de tiempo y formato de larga duración PAdES-LTV. | Autoridad de Sellado de Tiempo (RFC 3161) y formato de larga duración PAdES-LTV. |
| Facilidad para el firmante | Inmediata: un clic o un código. | Baja a media: creación ágil de claves. | Alta exigencia: trámite previo de emisión, instalación y renovación periódica. |
| ¿Existe en EE.UU.? | Sí — válida bajo el ESIGN Act. | Sí — válida bajo el ESIGN Act. | No. La ley de EE.UU. no define este nivel ni una figura equivalente. |
Ejemplos orientativos por ámbito, según el riesgo y la formalidad del acto.
| Ámbito | Simple | Avanzada | Cualificada |
|---|---|---|---|
| Recursos Humanos | Recibos de nómina, asistencia, vacaciones. | Contratos laborales, adendas, acuerdos de confidencialidad. | Poderes, actas de asamblea y de junta directiva. |
| Banca y finanzas | Registro en apps, términos de billeteras. | Apertura de cuentas, microcréditos, pagarés simples. | Hipotecas, garantías reales, fideicomisos. |
| Comercial | Términos de servicio, cotizaciones, acuses. | Órdenes de compra B2B, contratos estándar. | Inmuebles, cesión de acciones, fusiones (M&A). |
| Gobierno | Peticiones y formularios informativos. | Comunicaciones internas no resolutivas. | Licitaciones, resoluciones, obra pública. |
| Tributario | Conformidad de recepción de compras. | Trazabilidad interna de sistemas. | Facturación electrónica masiva con sello seguro. |
| Salud | Citas y encuestas de atención. | Historiales ordinarios, recetas de venta libre. | Recetas de medicamentos controlados, ensayos clínicos. |
| Negocios con EE.UU. | Registros, aceptación de términos. | Contratos comerciales, NDA, órdenes de compra con contrapartes de EE.UU. | No aplica: en EE.UU. no existe este nivel (ver sección ESIGN Act). |
Muchas empresas de América Latina firman contratos con clientes y proveedores de Estados Unidos. Allá el marco es distinto al de eIDAS y al de las leyes latinoamericanas: no existen niveles de firma — ni la figura de la firma cualificada — y en su lugar rige un principio de neutralidad tecnológica.
La Electronic Signatures in Global and National Commerce Act establece que a un contrato o firma no se le puede negar validez legal solo por estar en formato electrónico. Aplica al comercio interestatal e internacional en todo EE.UU.
La Uniform Electronic Transactions Act es el modelo adoptado por 49 estados y el Distrito de Columbia (Nueva York tiene su propia ley, ESRA, con el mismo efecto). Complementa al ESIGN Act a nivel estatal.
El firmante debe realizar un acto deliberado para firmar (clic, trazo, código).
Las partes aceptan operar electrónicamente (expreso o implícito por su conducta).
La firma debe poder vincularse a la persona: autenticación, IP, correo, registro de auditoría.
El documento firmado debe conservarse íntegro y quedar accesible para todas las partes.
Anexo de referencia: para actos de alto valor, la ley local define el nivel de firma exigido. Cada país nombra los niveles a su manera; la columna final indica qué puede firmarse con la firma avanzada de FirmaHoy.
| País | Ley principal | Niveles reconocidos | Regulador | Efecto del nivel máximo | ✓ Puede firmar con FirmaHoy (Avanzada) |
|---|---|---|---|---|---|
| México | Código de Comercio y Ley de Firma Electrónica Avanzada (2012) | Simple y Avanzada (la e.firma del SAT es la FEA de uso oficial) | SE · SAT · SFP | e.firma: plena validez oficial ante autoridades y tribunales. | Contratos mercantiles y laborales, NDA, órdenes de compra y documentos entre privados. |
| Chile | Ley 19.799 (2002) | Simple y Avanzada acreditada | Entidad Acreditadora (Min. Economía) | FEA: plena prueba; exigida en instrumentos públicos. | Contratos privados, laborales y comerciales (no instrumentos públicos, que exigen FEA acreditada). |
| Colombia | Ley 527 (1999) y Decreto 2364 (2012) | Electrónica (simple/avanzada) y Firma Digital | ONAC (acredita) · SIC (vigila) | Firma Digital acreditada: presunciones de autoría e integridad. | Contratos y documentos privados; validez por acuerdo entre las partes. |
| El Salvador | Ley de Firma Electrónica, D.L. 133 (2015, ref. 2021) | Simple, Certificada y Sello Electrónico | Unidad de Firma Electrónica (MINEC) | Certificada: equiparada a la firma autógrafa. | Contratos privados, RRHH y comerciales; actos con fe pública requieren firma certificada. |
| Costa Rica | Ley 8454 (2005) | Documento electrónico y Firma Digital Certificada | MICITT (DCFD); el BCCR opera la CA raíz | Firma Digital Certificada: equivalencia a la manuscrita y presunción de autoría. | Documentos privados por acuerdo entre partes; trámites oficiales requieren firma BCCR. |
| Argentina | Ley 25.506 (2001) y Decreto 182/2019 | Firma Electrónica y Firma Digital licenciada | Secretaría de Innovación (JGM) | Firma Digital: presunciones legales de autoría e integridad. | Contratos privados y comerciales como firma electrónica pactada entre partes. |
| Uruguay | Ley 18.600 (2009) | Simple y Avanzada acreditada | UCE (AGESIC) | FEA: idéntica validez y eficacia que la firma autógrafa. | Documentos privados admitidos por acuerdo entre partes (Art. 5). |
| Perú | Ley 27269 (2000) y D.S. 052-2008-PCM | Electrónica y Firma Digital (dentro de la IOFE) | INDECOPI (IOFE) | Firma Digital IOFE: misma validez que la manuscrita. | Contratos privados fuera de la IOFE, válidos entre las partes. |
| Guatemala | Decreto 47-2008 | Electrónica y Avanzada (prestador registrado) | RPSC (MINECO) | FEA: equiparada a la firma manuscrita. | Contratos y comunicaciones comerciales entre privados. |
| Panamá | Ley 51 (2008), reformada por Ley 82 (2012) | Electrónica y Calificada | Dir. Nac. de Firma Electrónica (Registro Público) | Firma Calificada: presunción de autoría e integridad. | Contratos privados y comerciales; actos ante el Estado pueden exigir firma calificada. |
| Paraguay | Ley 6822/2021 (servicios de confianza) | Electrónica y Cualificada (modelo inspirado en eIDAS) | MIC | Cualificada: equivalencia a la manuscrita e inversión de la carga de la prueba. | Contratos privados y comerciales; la cualificada se reserva para la equivalencia plena. |
| Ecuador | Ley de Comercio Electrónico (2002) y Ley de Transformación Digital (2023) | Electrónica y con certificado acreditado | ARCOTEL | Firma electrónica: misma validez que la manuscrita; el certificado acreditado aporta presunciones. | Contratos y documentos privados; la firma electrónica tiene la validez de la manuscrita (Art. 14). |
| Brasil | MP 2.200-2/2001 y Ley 14.063/2020 | Simples, Avançada y Qualificada (ICP-Brasil) | ITI (ICP-Brasil) | Qualificada: presunción de veracidad frente a todos. | Documentos entre privados por acuerdo expreso (MP 2.200-2, Art. 10 §2). |
| R. Dominicana | Ley 126-02 (2002) | Digital y Digital Segura | INDOTEL | Firma Digital Segura: misma fuerza que la manuscrita, con presunción de integridad. | Contratos y documentos privados entre las partes. |
| Honduras | Decreto 149-2013 | Electrónica y Avanzada | DIGEPIH (Instituto de la Propiedad) | FEA: equivalencia funcional; exigida en documentos públicos. | Contratos privados y comerciales; los documentos públicos exigen FEA acreditada. |
| Bolivia | Ley 164 (2011) y D.S. 1793 | Documento digital y Firma Digital certificada | ATT · ADSIB | Firma Digital certificada: plena validez jurídica del documento firmado. | Documentos privados por acuerdo; actos oficiales requieren certificado autorizado. |
| Estados Unidos | ESIGN Act (2000) y UETA (1999) | Sin niveles: neutralidad tecnológica. No existe la cualificada. | Sin autoridad central; los tribunales valoran la evidencia | Misma validez que la manuscrita con intención, consentimiento y registro. | Contratos privados y comerciales con contrapartes de EE.UU. (cumplimiento ESIGN Act). |
Cuando una empresa firma o sella documentos de forma automática y en volumen — facturación electrónica, extractos, certificados — la protección de la clave privada es crítica.
La mejor práctica internacional — y un requisito ya obligatorio en varios frentes — es que la clave privada resida en un Módulo de Seguridad de Hardware (HSM) certificado (FIPS 140-2/140-3 Nivel 3 o Common Criteria EAL4+ / EN 419 221-5), en lugar de archivos de certificado (.p12/.pfx) en servidores. Lo exigen la ley en los esquemas de firma y sello cualificados, y las autoridades certificadoras comerciales del programa Adobe AATL (Sectigo, DigiCert, GlobalSign), que ya no emiten certificados de firma de documentos en archivo: solo en token, HSM o firma en la nube. Un HSM impide que la clave pueda copiarse o robarse.
Un sello de tiempo emitido por una autoridad confiable prueba que el documento existía — y estaba firmado — en un momento exacto. Con el formato PAdES-LTV, la firma sigue siendo verificable durante años, incluso después de que el certificado expire.
Cada firma debe quedar respaldada por un registro técnico: huella digital del documento (hash SHA-256), fecha y hora, dirección IP, factores de autenticación usados y verificación de vigencia del certificado (OCSP/CRL). Esta evidencia es la que sostiene la firma si alguna vez se cuestiona — y la que exigen tanto las leyes latinoamericanas como el estándar probatorio del ESIGN Act en EE.UU.