Cómo evaluar un servicio de firma.

Elegir un servicio de firma suele empezar por una demostración: una pantalla prolija, un documento que se firma en segundos, un tilde verde. Todo eso importa, pero dice poco sobre lo que pasará el día que un documento se discuta, que un proveedor falle o que haya que cambiar de servicio. Estas son las preguntas que separan una herramienta cómoda de una infraestructura confiable, sea cual sea el proveedor.

1. Sobre la prueba

• ¿En qué formato quedan los documentos firmados? Deben ser formatos estándar, como los perfiles de firma avanzada del ETSI, verificables con herramientas independientes.
• ¿Cada firma lleva un sello de tiempo de un tercero? La hora del servidor del proveedor no alcanza.
• ¿Los documentos admiten validación a largo plazo? Con datos de validación incorporados y sellos de tiempo de archivo.
• ¿La evidencia está vinculada al documento? No como un PDF aparte, sino de forma que alterar uno se note en el otro.

2. Sobre la identidad

• ¿Qué métodos de identificación ofrece, y de qué nivel? Lo ideal es poder elegir el nivel según el tipo de documento.
• ¿La evidencia registra el método usado y su resultado? No sólo "identidad verificada".
• ¿Cómo se protege la recuperación de cuentas? Suele ser el punto más débil.

3. Sobre la confianza en el proveedor

• ¿Qué auditorías y certificaciones tiene? Por ejemplo, su inclusión en una lista de confianza oficial si ofrece servicios cualificados, o certificaciones de seguridad de la información como la ISO/IEC 27001.
• ¿Qué terceros intervienen? Autoridades de certificación, de sellado de tiempo y de identificación, con sus propias garantías.
• ¿Qué pasa si un tercero falla? Un buen servicio lo dice y lo registra; uno malo baja el nivel sin avisar.

4. Sobre la independencia

• ¿Puedo verificar mis documentos sin el proveedor? Con validadores independientes y anclas de confianza públicas.
• ¿Puedo exportar todo? Documentos, evidencia y metadatos, en formatos abiertos, en cualquier momento.
• ¿Qué pasa con mis datos al terminar el contrato? Plazos de entrega y de borrado, por escrito.

5. Sobre la operación

• ¿Se integra con mis sistemas? Una interfaz de programación documentada, notificaciones de eventos y conectores para las herramientas que ya se usan.
• ¿Permite modelar mis flujos? Orden de firmantes, aprobadores, plazos, delegaciones y rechazos.
• ¿Dónde se guardan los datos y quién accede? Ubicación, subencargados y registros de acceso.

← Todas las notas