Firmar un PDF con certificado digital no consiste en insertar una imagen de una firma manuscrita sobre el documento. Técnicamente, el proceso utiliza criptografía asimétrica para vincular la identidad del firmante con una versión concreta del archivo y permitir que cualquier modificación posterior pueda ser detectada.
Para hacerlo es necesario disponer de un certificado digital válido. Este certificado contiene, entre otros datos, la identidad de su titular y una clave pública asociada a una clave privada que debe permanecer bajo su control. Cuando se firma el documento, la aplicación calcula una huella digital del PDF mediante una función hash y la firma utilizando esa clave privada. El resultado queda incorporado al propio archivo.
La ventaja principal de este sistema es que permite comprobar simultáneamente dos aspectos: quién realizó la firma y si el documento ha sido modificado después. Si cambia cualquier parte del PDF, incluso un elemento aparentemente menor, la validación puede indicar que el contenido ya no coincide con el que fue firmado originalmente.
Para realizar esta operación existen aplicaciones de escritorio, servicios web y plataformas específicas de firma electrónica. La elección depende principalmente del tipo de certificado utilizado, del volumen de documentos y del nivel de firma requerido.
Una de las opciones más habituales en España es AutoFirma, la aplicación desarrollada por la Administración General del Estado. Permite utilizar certificados instalados en el sistema operativo y se integra con numerosas sedes electrónicas. También puede utilizarse para firmar archivos localmente, sin necesidad de subirlos a un servidor externo.
Adobe Acrobat ofrece igualmente funciones de firma mediante certificados digitales. El programa permite seleccionar un certificado, crear el campo correspondiente dentro del PDF y aplicar la firma. Posteriormente puede comprobarse su validez, la cadena de certificación y el estado del documento desde el propio lector.
Otra alternativa son las plataformas de servicios de confianza. Estas soluciones suelen estar orientadas a empresas que necesitan gestionar grandes cantidades de documentos, varios firmantes o flujos de aprobación. Por ejemplo, es posible firmar un PDF con Namirial, una plataforma que integra servicios de firma electrónica y gestión documental y que permite centralizar procesos que, mediante aplicaciones locales, deberían realizarse de forma individual.
Antes de elegir una herramienta conviene distinguir también entre los diferentes tipos de firma electrónica. El Reglamento europeo eIDAS establece las categorías de firma electrónica simple, avanzada y cualificada. No son equivalentes desde el punto de vista técnico ni jurídico.
La firma avanzada debe estar vinculada de manera única al firmante, permitir su identificación y estar creada mediante datos de firma que este pueda mantener bajo su control. Además, cualquier modificación posterior de los datos debe ser detectable. La firma cualificada añade requisitos adicionales, entre ellos el uso de un certificado cualificado y de un dispositivo cualificado de creación de firma.
En los PDF, el estándar habitual para estas operaciones es PAdES, diseñado específicamente para incorporar firmas electrónicas en documentos PDF. Frente a otros formatos de firma, permite mantener el archivo como un PDF convencional y comprobar la información de la firma utilizando lectores compatibles.
Otro elemento técnico importante es el sellado de tiempo. Un sello de tiempo emitido por una autoridad de confianza permite acreditar que determinados datos existían en un momento concreto. Esto resulta especialmente útil cuando el documento debe conservarse durante años y puede ser necesario demostrar posteriormente cuándo se realizó la firma.
También existen perfiles de firma de larga duración que incorporan al PDF información necesaria para validar el certificado incluso después de que este haya caducado o haya sido revocado. En entornos profesionales, esta característica puede ser tan importante como la propia firma.
Antes de confirmar cualquier operación conviene comprobar el certificado seleccionado, su fecha de validez y la identidad de su titular. La clave privada nunca debe compartirse ni enviarse junto con el documento. Si está protegida mediante PIN, tarjeta criptográfica o dispositivo seguro, la autenticación debe realizarse únicamente desde aplicaciones de confianza.
Una vez firmado el PDF, el último paso consiste en validarlo. Un lector compatible debe mostrar la identidad del firmante, el estado del certificado y si el documento ha sufrido modificaciones posteriores. Esa comprobación es la que convierte una operación aparentemente sencilla —pulsar un botón y guardar un archivo— en un mecanismo capaz de garantizar criptográficamente la integridad de un documento digital.
