Cómo comprobar si una firma de un PDF es válida

Que un PDF enseñe una rúbrica, un sello o la palabra «firmado» no dice nada. Una firma digital se comprueba, y lo que se comprueba son cuatro cosas:

1. Integridad: que el documento no ha cambiado desde que se firmó, o que lo que cambió está permitido.
2. Identidad: que el certificado del firmante lo emitió un prestador en el que se puede confiar.
3. Vigencia: que el certificado no estaba caducado ni revocado en el momento de firmar.
4. Fecha: si la firma lleva sello de tiempo, que el sello es correcto y de quién es.

Este artículo sirve uses o no PDFsigna. Las tres herramientas se pueden usar gratis; de Adobe basta con Acrobat Reader.

VALIDe

VALIDe es un servicio público español para validar firmas y certificados electrónicos. En su portada, elige Validar Firma, sube el PDF y te devuelve el resultado de cada firma con los datos del certificado. Según su aviso, los datos personales de las firmas que envías se usan solo para validar y se eliminan de sus registros temporales al terminar.

Es la referencia natural para certificados españoles: FNMT, ACCV, DNIe y el resto de prestadores de la lista de confianza española.

El validador DSS de la Comisión Europea

DSS es la biblioteca de firma de la Comisión Europea, y tiene una aplicación de demostración que valida firmas de cualquier país de la UE apoyándose en las listas de confianza europeas. Sube el PDF en el campo del fichero firmado, deja la política por defecto y envíalo.

Su resultado sigue la norma europea de validación, ETSI EN 319 102-1, y lo da con una de tres indicaciones: TOTAL_PASSED, INDETERMINATE o TOTAL_FAILED. El informe detallado explica por qué.

Dos avisos que da la propia página: es una demostración de la biblioteca, no un servicio de validación de la Comisión, y los ficheros que subes se envían a la infraestructura de la Comisión (dice que no se conservan). No subas a ninguna herramienta web un documento que no deba salir de tu equipo.

Adobe Acrobat o Acrobat Reader

En Acrobat abre el PDF, despliega el panel Firmas y, en sus opciones, pide validar las firmas. El estado de cada una aparece en una ventana de validación, y desde las propiedades de la firma puedes ver el certificado del firmante. Adobe lo explica en su ayuda sobre validar firmas (en inglés).

Lo que hay que saber de Acrobat es que su veredicto depende de en qué certificados confía. Una firma intacta hecha con un certificado de un emisor que Acrobat no tiene entre los de confianza no sale como válida, aunque nadie la haya tocado.

Qué significa cada resultado

Resultado	Qué quiere decir
Válida (TOTAL_PASSED en DSS)	Las comprobaciones criptográficas han ido bien y se cumplen todas las que exige la política de validación
Indeterminada (INDETERMINATE)	Lo que se ha podido comprobar no permite decir ni que es válida ni que es inválida. Suele faltar algo: información de revocación, un emisor que el validador no conoce, una fecha fiable
Inválida (TOTAL_FAILED)	Falla la criptografía, se demuestra que el certificado no era válido al firmar o la firma no se puede ni procesar
Modificada	El documento cambió después de firmarse. Si el cambio está permitido —otra firma, un formulario rellenado donde se dejaba— la firma original sigue en pie; si no, la firma ya no cubre lo que ves

Las definiciones de las tres primeras son las de la norma. «Modificada» no es una cuarta indicación sino un motivo: según el caso, el validador la acaba poniendo en una de las otras tres.

Indeterminada no es una acusación. Casi siempre significa que el validador no ha podido terminar de comprobar, no que la firma sea falsa. Antes de alarmarte, prueba con otro de los tres validadores y lee el motivo del informe: suele decir exactamente qué faltaba.

Y con PDFsigna

Al abrir un PDF firmado, PDFsigna enseña el nivel de cada firma con el semáforo jurídico, y su tarjeta de validación detalla integridad, revocación, sello de tiempo, perfil PAdES y cambios posteriores. Cuando la app no puede dar una firma ni por válida ni por inválida, lo dice con «No se puede confirmar la validez», que no usa ninguno de los cinco colores del semáforo. El validador sin instalar nada todavía no está en esta web ni tiene fecha: no se publicará mientras no dé el mismo veredicto que la app.

Este artículo es informativo y no sustituye al asesoramiento profesional. Las normas, los precios y el funcionamiento de los programas cambian: antes de decidir, consulta la documentación oficial y actualizada de cada organismo o fabricante.