Firma electrónica integrada en un proceso de empresa: qué revisar
Integrar firma electrónica no consiste solo en añadir un botón. El proceso empieza al generar la versión correcta del documento y termina cuando el expediente conserva el documento firmado, la evidencia y el resultado de validación. Entre ambos puntos hay participantes, identidad, consentimiento, caducidad, rechazo, eventos y excepciones. La organización debe diseñar ese flujo y validar con asesoría jurídica qué nivel de firma corresponde a cada documento.
Lo esencial, antes de empezar
- Clasifica con asesoría jurídica los documentos y el nivel de firma requerido antes de elegir proveedor o método de identidad.
- Congela la versión y vincula expediente, plantilla, datos, participantes, orden y huella del archivo enviado.
- Adopta estados propios y reconcilia la API y los webhooks para soportar duplicados, retrasos y cambios de proveedor.
- Conserva el paquete de evidencia y el resultado de validación necesarios, con una política de acceso, retención y exportación.
Empieza por la necesidad jurídica y el proceso, no por el botón
El Reglamento eIDAS consolidado a 18 de octubre de 2024 distingue conceptos y efectos de las firmas electrónicas. La FAQ de eSignature de la Comisión Europea explica niveles, firma de personas físicas, sellos de personas jurídicas y servicios de confianza.
Una firma electrónica no pierde efecto jurídico solo por su formato electrónico, mientras que la firma cualificada tiene en la UE efecto equivalente a la manuscrita. Esto no significa que todo documento necesite firma cualificada ni que cualquier clic sea suficiente. Tipo de documento, partes, finalidad, jurisdicción y prueba requerida deben revisarse profesionalmente.
Dibuja una máquina de estados propia
| Estado interno | Significado operativo |
|---|---|
| Borrador | Documento todavía editable |
| Preparado | Contenido, anexos y participantes completos |
| Congelado | Versión y huella fijadas para firma |
| Enviado | Invitaciones creadas en el proveedor |
| En firma | Faltan uno o más pasos o participantes |
| Completado | Todos los pasos requeridos terminaron |
| Rechazado / caducado / cancelado | Flujo terminado sin completar |
| Error / revisión | Existe discrepancia o acción manual pendiente |
| Archivado | Documento, evidencia y validación conservados |
Cada plataforma usa nombres y transiciones distintos. La aplicación debe traducirlos a un modelo estable para no acoplar toda la operación al proveedor. Así puede representar también firmante sustituido, firma parcial, recordatorio, corrección y expediente completado fuera de la app.
Si el proveedor no ofrece la interfaz necesaria, compara la API con las alternativas descritas en cómo integrar un programa sin API. La firma requiere especial cuidado: automatizar la interfaz no resuelve por sí solo evidencia, autenticación ni soporte contractual.
Congela la versión y define identidad por documento
Al iniciar la firma, asigna identificador de versión y huella al archivo. Relaciona expediente, plantilla, datos utilizados, anexos, participantes y orden. Si cambian importe, alcance o condiciones, cancela o invalida el flujo anterior conforme al proceso aprobado y crea una versión nueva con trazabilidad.
| Pregunta | Decisión que debe documentarse |
|---|---|
| ¿Quién firma? | Persona, representación de empresa y capacidad |
| ¿Cómo se identifica? | Email, código, identificación remota, certificado u otro método |
| ¿Qué nivel se requiere? | Clasificación validada para ese tipo de documento |
| ¿Qué se conserva? | Evidencia mínima, resultado de validación y referencia exportable |
| ¿Qué pasa si cambia el contacto? | Sustitución, cancelación y nueva invitación |
Identidad, autenticación y firma no son sinónimos. Minimiza los datos, controla quién accede a la evidencia y evita copiar todo el expediente del proveedor si la organización puede cumplir su finalidad con un paquete más acotado.
Combina webhooks con consulta y reconciliación
- 01
Valida
Comprueba firma del evento, proveedor, expediente, versión y formato antes de aplicarlo.
- 02
Deduplica
Guarda un identificador del evento y trata la repetición como la misma notificación.
- 03
Ordena por reglas
Un evento “visto” tardío no debe devolver un expediente completado a un estado anterior.
- 04
Reconcilia
Consulta periódicamente solicitudes abiertas, próximas a caducar o bloqueadas; un webhook puede perderse o retrasarse.
La operación debe responder quién falta, qué acción toca, cuál fue el último estado fiable, qué recordatorios se enviaron y quién canceló. Aplica idempotencia tanto a la creación como al manejo de eventos.
Diseña evidencia, validación y conservación como parte del flujo
- Documento final y anexos vinculados a la versión.
- Informe o paquete de evidencia exportable y referencias del proveedor.
- Método de identidad y autenticación aplicado, según el alcance aprobado.
- Sellos de tiempo, certificados, cadena y resultado de validación cuando correspondan.
- Eventos, participantes, orden, rechazos, caducidad y cancelaciones.
- Política de acceso, conservación, borrado, exportación y fin de contrato.
La Comisión Europea mantiene Digital Signature Service (DSS), una biblioteca abierta para creación y validación que trabaja con formatos europeos y listas de confianza. Su documentación ilustra por qué una capacidad de validación necesita mantenimiento técnico y fuentes actualizadas; instalar una biblioteca no decide qué prueba jurídica necesita la empresa.
La guía oficial eSignature: Get started recomienda identificar necesidades, seleccionar el nivel y valorar interoperabilidad antes de implantar. La fuente y la atribución son de la Comisión Europea; NAS aplica estos criterios al diseño técnico, no los presenta como certificación propia.
Guion de prueba para seleccionar e integrar proveedor
- Clasificación jurídica por tipo de documento y país.
- Sandbox, API, límites, idempotencia y seguridad de webhooks.
- Firmantes en orden, paralelos, representantes y sustitución.
- Rechazo, caducidad, cancelación, corrección y firma parcial.
- Versión y huella del archivo antes y después de firmar.
- Evidencia y validación exportables sin depender del portal.
- Accesibilidad y experiencia móvil de todos los participantes.
- Conservación, portabilidad y salida al terminar el contrato.
- Incidencias, soporte, recuperación y reconciliación.
Un portal de clientes puede dar contexto y estado al expediente, mientras la firma sigue en un proveedor especializado. Mantén identificadores y permisos coordinados, sin enviar documentos sensibles como adjuntos por defecto.
Fuentes y referencias
Documentación oficial y referencias de mercado consultadas para verificar los puntos que cambian con el tiempo.
