Verificar firma de PDF
Alguien te ha enviado un PDF firmado. Esto te dice si el archivo sigue coincidiendo con lo que se firmó, y quién dice el certificado que lo firmó. El documento se lee aquí, en tu dispositivo: un contrato firmado es lo último que deberías tener que subir a un desconocido.
Suelta un PDF aquí, o haz clic para elegirlo
Tu archivo se queda en este dispositivo. No se sube nada.
Cómo verificar la firma digital de un PDF
- Suelta el PDF firmado en el recuadro de arriba, o pulsa «Elegir un archivo PDF». La comprobación empieza enseguida.
- Lee el veredicto de arriba. Te dice si el archivo se modificó después de firmarse, o si la firma no se ha podido comprobar.
- Lee la ficha de cada firma: cuándo se firmó, qué parte del archivo cubre y si el certificado era válido. A quién pertenece el certificado no se puede confirmar en un navegador, y la página lo dice.
Qué hace Verificar firma de PDF
Alguien te manda un contrato, una factura o un certificado como PDF firmado. Esto responde a las dos preguntas que merece la pena hacerse: ¿ha cambiado algo desde que se firmó, y a quién dice el certificado que firmó?
Lo que hace
- Vuelve a calcular la huella del documento y la compara con la que va sellada dentro de la firma
- Comprueba la firma en sí contra el certificado del firmante, así que una firma falsificada se detecta aunque el texto esté intacto
- Separa las dos formas en que un archivo firmado se estropea: contenido editado, o contenido añadido después de la parte firmada
- Muestra a quién nombra el certificado, quién lo emitió, cuándo caduca y si el firmante se lo expidió a sí mismo
- Dice claramente qué comprobaciones no ha podido hacer, en vez de enseñar una marca de verificación que significa menos de lo que parece
Lo que no hace
- Confirmar que el certificado pertenece de verdad a quien dice: eso necesita la lista de autoridades de confianza que guarda tu sistema operativo, y una página web no puede leerla
- Comprobar si un certificado ha sido revocado, lo que exige una petición al servidor del emisor que un navegador no tiene permitido hacer
- Informar sobre una firma dibujada o escaneada, que no lleva certificado y por tanto no tiene nada que verificar
- Decirte si una firma es suficiente legalmente donde estás; eso depende del documento y de la jurisdicción
- Modificar el archivo de ninguna manera: solo lo lee
Última actualización
¿Necesitas enviárselo a alguien?
Nuestro sitio hermano QRSansar aloja un documento y te da un enlace corto y un código QR para él: práctico para WhatsApp, una diapositiva, un cartel o algo impreso, y evita del todo los límites de tamaño de los adjuntos. Puedes cambiar el archivo después y el enlace y el código QR siguen funcionando.
Conviene dejar clara la diferencia: eso es un servicio de alojamiento, así que tu archivo sí se sube a él. Todo lo de PDFsansar se queda en tu dispositivo; compartir es lo único que no puede.
Compartir un documento en QRSansar →Otras herramientas
Todas gratis, y todas funcionan en esta pestaña sin subir nada.
Verificar firma de PDF: preguntas frecuentes
¿Qué demuestra realmente «el documento no ha cambiado»?
Que los bytes cubiertos por la firma son los mismos bytes que se firmaron. Una firma lleva una huella del archivo tomada en el momento de firmar; esto vuelve a calcular esa huella y la compara. Si coinciden, nadie ha alterado una palabra, una cifra ni una página desde entonces. Si no, algo cambió después de firmar, y la herramienta dice de cuál de las dos maneras cambió: se editó el contenido, o se añadió contenido extra al final.
Dice que la firma es válida pero el firmante no está verificado. ¿En qué quedamos?
En las dos cosas, y responden a preguntas distintas. «Válida» significa que las matemáticas cuadran: la firma se hizo de verdad con la clave privada del certificado que hay en el archivo, y el documento coincide. «No verificado» significa que no podemos decirte que el certificado pertenezca a quien dice. Comprobar eso necesita la lista de autoridades de certificación en las que confía tu sistema operativo, y a una página de navegador no se le permite leerla. Acrobat sí puede hacer esa comprobación; esto no, así que lo dice en vez de adivinar.
El certificado es autofirmado. ¿El documento es falso?
No necesariamente, y la distinción merece entenderse. Autofirmado significa que quien firmó se expidió su propio certificado en lugar de comprárselo a una autoridad. La detección de manipulaciones sigue funcionando perfectamente: puedes estar seguro de que el archivo no ha cambiado. De lo que no puedes estar seguro es de quién lo hizo, porque cualquiera puede generar un certificado con cualquier nombre. Trata una firma autofirmada como un sello en un sobre: te dice que el sobre no se ha abierto, no quién lo selló.
¿Por qué dice que la firma no cubre el archivo entero?
Porque hay bytes después del final del rango firmado. En un PDF así es como se amplía un documento después de firmarlo: alguien añadió páginas, una entrada de formulario u otro cambio, y queda fuera de lo que la firma garantiza. A veces es inocente: una segunda persona que contrafirma añade su propia sección, y la herramienta reconoce ese caso y no lo marca. Cuando nada más explica los bytes de más, desconfía de ellos.
¿Puede comprobar cuándo se firmó el documento?
Muestra la hora de la firma, y también te dice si esa hora está respaldada por un sello de tiempo de una autoridad independiente. Sin él, la fecha es simplemente lo que el ordenador del firmante afirmaba en ese momento, y una afirmación no es una prueba: un reloj se puede poner a cualquier hora. Los sellos de tiempo hay que pedirlos a un servidor durante la firma, así que muchas firmas por lo demás correctas no lo tienen.
Mi PDF tiene una firma encima pero esto dice que no está firmado.
Entonces es una imagen de una firma y no una firma criptográfica, que es lo que contienen la mayoría de los PDF firmados, incluidos los que hace nuestra propia herramienta Firmar PDF. Una firma dibujada o escaneada es tinta sobre la página; está ampliamente aceptada y no lleva certificado, así que aquí no hay nada que comprobar. Esta herramienta solo informa sobre la clase criptográfica.