Firma electrónica y verificación

1. Qué firma se usa aquí, y qué no es

Cuando firmas un documento en la plataforma de Iberfácil, estás usando una firma electrónica avanzada basada en evidencias.

Qué significa eso: el sistema no se limita a registrar que pulsaste un botón. Congela el documento, comprueba quién eres por los medios que se indican abajo, registra toda la interacción y construye un expediente de pruebas que permite acreditar, después, qué se firmó, quién lo firmó y cuándo.

Qué NO es: no es una firma electrónica cualificada. Una firma cualificada exige un certificado cualificado y un dispositivo de creación de firma cualificado, y tiene por ley el mismo efecto que la firma manuscrita. La firma por evidencias no tiene esa presunción legal automática: su fuerza depende de la calidad de las evidencias, que es precisamente lo que aquí se cuida.

Si tú tienes tu propio certificado electrónico, puedes usarlo para firmar. En ese caso, tu firma sí es cualificada, con el valor que la ley le da.

La firma de la plataforma nunca se presenta como «cualificada». Si en algún sitio lo lees, es un error: avísanos y lo corregimos.

2. Cómo se firma

El método lo decide el tipo de documento, no tú. Un escrito judicial exige la firma cualificada del profesional que lo suscribe; una hoja de encargo se resuelve con código de un solo uso.

El proceso, paso a paso

1. Se genera el documento y se congela su huella digital. A partir de ahí, cualquier cambio es detectable.
2. Recibes un enlace por SMS, correo o mensajería, con una identificación previa.
3. Abres y lees el documento completo. Se registra que lo abriste, cuánto tiempo estuviste y hasta dónde llegaste.
4. Aceptas expresamente y recibes un código de un solo uso. Lo introduces.
5. Se sella el resultado y se construye el paquete de evidencias.

3. Qué contiene el paquete de evidencias

• La huella digital del documento firmado.
• Quién firmó y cómo se determinó su identidad.
• El número de teléfono al que se envió el código y el acuse de entrega del operador.
• El momento de envío y de validación del código.
• Dirección IP y dispositivo desde los que se firmó.
• La cronología completa de la interacción.
• El texto exacto del consentimiento que se te mostró.
• Un sello de tiempo sobre el conjunto.

Todo ello se entrega en un documento de evidencias firmado con el certificado de Iberfácil y unido al documento principal. Puedes descargarlo siempre desde tu área privada.

4. Varios firmantes

Cuando un documento necesita más de una firma —tú y el gestor, varios cotitulares, o el sello de Iberfácil junto a tu firma—, el documento no se considera firmado hasta que están todas las firmas, cada una con su propio paquete de evidencias.

5. El folio de firma: lo que ves en el papel

A todo documento que Iberfácil firma se le añade un folio de firma con los datos de la firma, y en el margen de cada página una banda lateral con la marca, la palabra «FIRMADO», el texto de firma y la dirección del verificador con el código.

Dos precisiones honestas sobre esa banda:

• La banda no es la firma. Lo que firma el documento es el criptograma; la banda es una capa visual. Que un documento lleve banda no lo convierte en firmado.
• La banda nunca se sobreimprime sobre el contenido: el contenido se reescala y la banda va al margen, para que nada tape lo que dice el documento.
• No se imitan emblemas oficiales. La banda lleva la marca de Iberfácil, nunca elementos que puedan hacer creer que el documento procede de un organismo público.

Sobre documentos de terceros no se estampa nada. El justificante de un registro, la diligencia de un juzgado o la copia de un notario se conservan tal cual, con su propia firma o sello. El código de verificación de Iberfácil identifica, en nuestro verificador, la ficha que custodiamos de ese documento; nunca se superpone al original de un organismo ajeno.

6. El código seguro de verificación (CSV) y el verificador público

Todo documento firmado en la plataforma lleva impreso un código seguro de verificación y un código QR.

Con ese código, cualquiera que tenga el documento puede entrar en el verificador público y:

• Comprobar que el documento es auténtico y no ha sido alterado.
• Descargar el original tal como se firmó.

Qué muestra el verificador: solo lo que el propio documento ya muestra —tipo de documento, fecha y hora de firma, firmantes con el nombre con el que firmaron, método de firma y huella—. Nunca añade datos que no estén en el documento, ni información del expediente.

Si la comprobación de integridad falla, el verificador no entrega el fichero: dice que la verificación ha fallado y se genera una alerta interna. Es el único caso en que no se sirve el documento.

Cada consulta al verificador se registra (código, momento, dirección IP truncada y resultado). Ese registro no es público.

6.1 El documento se entrega siempre, con un aviso de su situación

El verificador sigue el patrón de las sedes electrónicas de la Administración: siempre se sirve el original, y encima se muestra un aviso visible con la situación en que se encuentra. Nunca se responde con un error ni se deja de servir el documento porque su estado haya cambiado. Quien consulta tiene el papel delante y necesita saber si sirve, no toparse con una puerta cerrada.

6.2 Auténtico y vigente no son lo mismo

Esta distinción es la que hace útil todo lo anterior, y conviene tenerla clara:

• Auténtico quiere decir que el documento que tienes delante es exactamente el que se firmó y que nadie lo ha alterado. Eso lo acredita la huella, y no cambia nunca.
• Vigente quiere decir que el documento sigue surtiendo efecto. Eso depende del plazo de validez de cada documento y puede terminar.

Un documento caducado sigue siendo auténtico: su huella sigue cuadrando, y sigue acreditando que ese día se firmó eso. Lo que ha vencido es su eficacia, no su autenticidad.

Los avisos del verificador están redactados para no confundir ambas cosas. Si un aviso las mezclara, quien lo lea concluiría que el documento es falso — que es exactamente el daño contrario al que el verificador existe para evitar.

La caducidad es un dato de cada documento, no de su tipo: un poder con un año de vigencia y un certificado con otra no comparten regla.

6.3 Qué queda cuando el contenido ya no se conserva

Los documentos tienen plazos de conservación (condiciones de custodia documental). Los códigos impresos, no: no se pueden retirar de circulación.

La regla que resuelve esa tensión es la verificación sobrevive al contenido:

Cuando el documento se suprime por haber vencido su plazo de conservación o por ejercicio del derecho de supresión, el código sigue resolviendo. Lo que el verificador muestra entonces es la ficha de verificación —tipo de documento, fecha de la firma, firmantes, método, huella y situación— con el aviso de que el contenido ya no se conserva.

Es decir: deja de entregarse el fichero, pero no desaparece la constancia de que ese documento existió, se firmó y quién lo firmó. Quien tenga el papel puede seguir comprobando que su huella coincide con la registrada, que es lo que de verdad necesita.

Esto es lo que permite cumplir a la vez las dos cosas: borrar el contenido cuando toca y no dejar huérfano un código impreso.

6.4 Dónde se verifica: una dirección por marca

La plataforma opera varias marcas. El verificador no vive en una única dirección central: cada marca tiene la suya, en el dominio de esa marca y en la ruta /csv.

• Un documento emitido bajo la marca IBERFÁCIL se verifica en iberfacil.es/csv.
• Un documento emitido bajo cualquier otra marca operada sobre la plataforma se verifica en el dominio de esa marca, en la misma ruta /csv.

La dirección concreta va impresa en el propio documento y codificada en su QR: quien tenga el papel no necesita saber nada más.

La banda de firma lleva la marca de quien emite, y el verificador vive donde vive esa marca. Por eso la ruta /csv responde en todos los dominios de marca, no solo en el principal.

6.5 Continuidad de la verificación

Un código se imprime en papel y no se puede retirar de circulación: dentro de diez años puede seguir habiendo copias en un expediente judicial, en un archivo o en el cajón de un cliente.

Por eso, Iberfácil asume el siguiente compromiso:

Todos los códigos emitidos siguen siendo resolubles en iberfacil.es/csv, con independencia de lo que ocurra con el dominio de la marca bajo la que se emitió el documento. Si esa marca cambia de dominio, deja de operar o pasa a otras manos, el código sigue funcionando en esa dirección de respaldo, que se mantiene de forma permanente.

Dos precisiones sobre ese compromiso:

1. Si una marca deja la plataforma y se lleva sus documentos, se le entrega copia, e Iberfácil conserva la capacidad de verificarlos: quien confía en un código impreso es un tercero que no ha firmado nada con nadie y que no tiene por qué pagar las consecuencias de una ruptura comercial ajena.
2. Quien verifica un documento de una marca que ya no opera recibe el original, con el aviso de «marca extinta» del catálogo del artículo 6.1.

7. Límite real del nivel de firma, dicho sin adornos

Hoy la plataforma no dispone de firma electrónica con conservación garantizada a largo plazo (el nivel que permite verificar un documento diez años después aunque caduquen los certificados intermedios). Es una limitación técnica real, que está previsto resolver.

Qué significa para ti:

• Para documentos de la relación con Iberfácil —hojas de encargo, consentimientos, poderes internos, autorizaciones— el nivel disponible es adecuado y es el que usa el sector.
• Para documentos con efectos que puedan tener que sostenerse años después —una denuncia, un escrito con valor probatorio— es una limitación que conviene conocer.

8. Apoderamiento: la vía normal para que Iberfácil actúe por ti

Para actuar en tu nombre ante la Administración o los juzgados, la vía preferente no es que nos des tu certificado, sino que nos apoderes:

El apoderamiento puede nombrar a la entidad Iberfácil y, además, a profesionales concretos. Puedes revocar a uno sin revocar a los demás.

Si un organismo pide en mitad del expediente un poder de mayor rango, no es un fallo: se te avisa, se abre el trámite correspondiente con su plazo, y el expediente sigue adelante mientras se resuelve.

Limitación que hay que conocer: si revocas un poder directamente ante el organismo, el notario o el juzgado, Iberfácil no tiene forma automática de enterarse. Avísanos también a nosotros.

9. Custodia de certificados de terceros

9.1 Qué es y cuándo se usa

En casos acotados, un profesional colaborador puede depositar su certificado electrónico en la bóveda de Iberfácil para que se firme con él en trámites concretos.

No es la vía por defecto, y no debe serlo. La vía por defecto es el apoderamiento del artículo 8.

9.2 El riesgo, dicho con claridad al titular

Un certificado cualificado de firma de persona física se emite bajo el compromiso de que tú mantienes el control exclusivo de tus claves de firma. Custodiar tu certificado y firmar con él en tu nombre —aunque medie una autorización expresa que tú firmas— es una práctica extendida en el sector y jurídicamente frágil: la autorización no traslada la titularidad, y ante un incidente sigues siendo tú el responsable de una firma que no hiciste. Si además el trámite tiene efectos procesales, la exposición es mayor.

Antes de autorizar una custodia, considera las dos alternativas: el apoderamiento (artículo 8) y la firma remota en tu propio prestador, en la que conservas el control exclusivo.

9.3 Qué firmas exactamente al autorizar

La autorización de custodia es un documento separado del contrato de colaboración, que firmas con código de un solo uso, y que fija:

• Qué trámites concretos cubre la autorización. Nunca una autorización general.
• Para qué expedientes o clientes.
• Desde cuándo y hasta cuándo, con caducidad corta.
• Que puedes revocarla en cualquier momento y con efecto inmediato.

9.4 Cómo se protege tu certificado

• Vive en una bóveda aislada a la que el servidor web no tiene acceso de lectura.
• Cada certificado se cifra con una clave propia; esa clave se protege a su vez con una clave maestra que está fuera de la base de datos y fuera del alcance de la aplicación web.
• Cada operación de firma queda registrada en un histórico encadenado: qué se firmó, cuándo, quién lo pidió, en nombre de quién y bajo qué autorización. Manipular ese histórico después es detectable.
• Puedes consultar en cualquier momento todas las firmas realizadas con tu certificado.

9.5 Ciclo de vida

• Avisos de caducidad a 60, 30 y 7 días.
• Bloqueo automático al caducar: no se firma con un certificado caducado.
• Revocación inmediata a tu petición, con corte de todos los usos y notificación a ti.

10. Tu certificado cuando accedes a la plataforma

Si entras con tu certificado electrónico, no lo guardamos: solo se usa para establecer la conexión segura. Se registran el emisor, el número de serie, la huella del certificado y el resultado de la comprobación de revocación.

Consecuencia honesta: no podemos vigilar si tu certificado se revoca entre una sesión y otra. Lo comprobamos cada vez que lo usas. No prometemos una vigilancia continua que no podemos cumplir.

11. Custodia de tus documentos

La conservación de los documentos de tu expediente se regula en las condiciones de custodia documental.

12. Versiones de este documento

Cada versión publicada de este documento se archiva y queda accesible.

En caso de discrepancia entre la versión española y cualquier traducción, prevalece la versión española.