Janium Collect puede firmar el PDF que entra al flujo de catalogación. La
firma es PKCS#7 y se entrega como un archivo .p7s junto al documento, de
modo que el PDF no se modifica y la firma se comprueba con herramientas
estándar, sin el software de Janium.
El cálculo es este: se obtiene una huella SHA-256 del archivo y se cifra con el certificado de la institución. Si hay autoridad de sellado de tiempo (TSA), se añade un sello RFC 3161. Firma y sello se activan por institución.
Qué prueba la firma
Si el PDF cambia después de firmado, la verificación falla, y el certificado identifica a la institución que firmó. La fecha cierta, en cambio, depende del sello de tiempo: sin sello quedan la integridad y el origen, pero no la fecha.
Lo que la firma acredita es que el archivo no cambió después de firmarse; sobre la veracidad del contenido no dice nada.
Cuándo se usa
Se usa cuando el escaneo tiene que sostenerse frente a un tercero: digitalización con valor probatorio, contratos y actas, archivos de dependencias públicas. Una fototeca de consulta suele no necesitarla.
México: NOM-151 y LFEA
La NOM-151-SCFI-2016 pide hash, sello de tiempo de un prestador de servicios de certificación (PSC) acreditado y firma del responsable, para que el digitalizado tenga validez equivalente al papel. Collect genera hash SHA-256, firma y sello RFC 3161. El sello tiene que emitirlo un PSC acreditado por la Secretaría de Economía. Con una TSA de pruebas no se cumple la NOM-151.
La Ley de Firma Electrónica Avanzada (LFEA, 2012) cubre la firma en la Administración Pública Federal, con certificado del SAT (e.firma) u otra autoridad reconocida. Collect acepta esos certificados en PKCS#12.
Unión Europea: eIDAS
El reglamento eIDAS (UE 910/2014) distingue firma simple, avanzada y cualificada. Collect produce una firma electrónica avanzada (artículo 26): vinculada al firmante, lo identifica, se crea con datos bajo su control y detecta cambios posteriores. La firma cualificada (QES) pide un dispositivo cualificado, por ejemplo un HSM, y un certificado de un prestador cualificado. Eso no lo da el módulo por sí solo.
Límites
Collect firma el PDF cuando el archivo se va a conservar o publicar, y no
cuando es un PDF temporal que luego se borra. La firma queda en el .p7s
en lugar de incrustarse en el documento, y el contenido no se valida. Cada
operación queda en un registro de auditoría.
Collect entrega los elementos técnicos, y el valor jurídico lo evalúa quien aplica la norma.
Para continuar la conversación
Si digitalizas documentos que tienen que sostenerse frente a un tercero, y quieres ver cómo encaja esto con el certificado y el marco que te aplican, escríbenos a info@janium.com.