El caso llega siempre igual al área de sistemas: el firmador funcionaba, se instaló la nueva consola de protección de endpoints y desde entonces la aplicación no abre, se cierra sola o firma unos documentos sí y otros no. Nadie relaciona una cosa con la otra porque el antivirus rara vez muestra un cartel diciendo lo que hizo; simplemente lo hace, y lo registra en una consola a la que el usuario no tiene acceso.
FirmaEC reúne varias características que las soluciones de seguridad modernas miran con desconfianza: es una aplicación basada en Java, escribe archivos temporales, se comunica con dispositivos criptográficos y abre conexiones de red. Ninguna de esas cosas es sospechosa por sí sola, pero juntas activan más de una heurística. Esta guía explica cómo diagnosticarlo y cómo dejarlo resuelto sin debilitar la postura de seguridad de la empresa.
Los cuatro módulos que suelen estar detrás
Una suite corporativa no es un único programa: son varios módulos con lógicas distintas, y conviene saber cuál está actuando.
- Análisis en tiempo real. Revisa cada archivo que se abre o se escribe. Puede poner en cuarentena un componente del firmador por un falso positivo, o ralentizar de forma notable la escritura de documentos grandes.
- Protección contra ransomware o acceso controlado a carpetas. Impide que aplicaciones no autorizadas escriban en carpetas protegidas, típicamente Documentos y Escritorio. Es el módulo que produce el clásico "firma bien pero no puede guardar".
- Prevención de intrusiones en el host y control de comportamiento. Bloquea acciones consideradas anómalas: que un proceso lance otro, que se cargue una biblioteca no habitual, que se acceda a un dispositivo. Aquí es donde el token empieza a "desaparecer".
- Inspección de tráfico cifrado. Algunos productos interceptan el tráfico HTTPS del equipo. Eso rompe las conexiones de aplicaciones que usan su propio almacén de confianza, como se detalla en proxy y firewall corporativo.
Síntomas y a qué módulo apuntan
| Síntoma | Sospechoso principal |
|---|---|
| La aplicación no abre y no muestra error | Análisis en tiempo real o control de aplicaciones: falta un archivo en cuarentena |
| Abre, firma, pero falla al guardar el documento | Protección de carpetas contra ransomware |
| El token deja de detectarse a mitad de la jornada | Control de dispositivos o prevención de intrusiones |
| Errores de conexión al validar el certificado | Inspección de tráfico cifrado o filtrado web del propio agente |
| Todo va lentísimo con documentos grandes | Análisis en tiempo real sobre las carpetas de trabajo |
| Falla solo después de una actualización del agente | Nuevas definiciones o nueva versión con reglas más estrictas |
Diagnóstico ordenado, sin apagar nada a ciegas
La tentación es desactivar la protección para ver qué pasa. En una empresa eso normalmente ni siquiera es posible desde el equipo, porque el agente está bloqueado por política, y cuando es posible suele ser una mala idea. El camino correcto pasa por la consola de administración:
- Revisar el registro de detecciones del equipo afectado en la ventana horaria del fallo. Si hubo bloqueo o cuarentena, aparece ahí con nombre de archivo y regla aplicada.
- Aplicar un modo de auditoría temporal al equipo, si el producto lo permite: registra lo que habría bloqueado sin bloquearlo, que es exactamente lo que se necesita para armar la excepción.
- Comparar con un equipo sin el agente o con una política más laxa. Si ahí funciona, el diagnóstico está cerrado.
- Recuperar de cuarentena lo que corresponda y volver a probar. Si el archivo vuelve a cuarentena a los minutos, el falso positivo es reproducible y se puede reportar al fabricante.
Si en paralelo el equipo está en dominio, conviene descartar lo descrito en las directivas de grupo que bloquean la firma, porque los síntomas se parecen mucho y las dos capas pueden estar actuando a la vez.
Cómo escribir la excepción correcta
No todas las exclusiones valen lo mismo. En orden de preferencia, de la más segura a la más burda:
- Por firma digital del editor. Es la mejor: autoriza el software legítimo del fabricante aunque cambie de versión o de ruta, y no abre la puerta a nada más.
- Por huella del archivo. Muy precisa, pero hay que actualizarla en cada versión nueva del firmador.
- Por ruta de instalación. Aceptable si la ruta es la de programas y no una carpeta escribible por el usuario. Una exclusión sobre una carpeta del perfil es un riesgo real.
- Por extensión o por carpeta de documentos. Es la que se pide más seguido y la que más habría que evitar; deja sin analizar todo lo que pase por ahí.
Además, las exclusiones tienen que cubrir lo que realmente ejecuta el firmador: el programa principal, sus componentes auxiliares, el entorno de ejecución de Java y el middleware del token. Excluir solo el ejecutable principal deja el problema a medias, con fallos intermitentes que se atribuyen erróneamente al certificado.
La protección de carpetas y el documento firmado
Vale la pena detenerse en este módulo porque genera un error especialmente confuso. Cuando el acceso controlado a carpetas está activo, una aplicación no incluida en la lista de aplicaciones permitidas no puede escribir en Documentos, Escritorio ni otras carpetas protegidas. El firmador realiza la operación criptográfica sin problema y falla justo al final, al escribir el archivo. El usuario reporta que "la firma no se guarda" y todo el mundo empieza a revisar el certificado.
La solución es agregar el firmador a la lista de aplicaciones permitidas del módulo, no desactivar la protección. Si el resultado fue un PDF sin firma visible, antes de tocar la política conviene descartar las causas descritas en la firma electrónica no aparece en el PDF.
Tokens, middleware y control de dispositivos
Algunas suites incluyen control de dispositivos con reglas por clase. Un token criptográfico suele presentarse como lector de tarjeta inteligente, y una regla que bloquee "dispositivos extraíbles" puede o no alcanzarlo según cómo esté escrita. Cuando el token aparece y desaparece sin patrón claro, el registro del agente en ese momento es la única fuente fiable. La instalación limpia del middleware está descrita en cómo instalar los drivers del token, y los síntomas de detección en token no reconocido por la computadora.
Gobernar esto a escala
En una empresa con decenas de puestos que firman, las excepciones sueltas se vuelven ingobernables. Lo que funciona:
- Un grupo de política específico para los equipos que firman, con las exclusiones aplicadas ahí y no en toda la organización.
- Una línea base documentada: versión del firmador, versión de Java, middleware y exclusiones vigentes.
- Una prueba de humo tras cada actualización del agente de seguridad, antes de que la actualización llegue a toda la flota.
- Reducir la superficie: cuantas menos piezas locales, menos excepciones. Es el argumento principal a favor de la firma electrónica en la nube.
Si el firmador falla en varios equipos a la vez tras un cambio, el recorrido general de diagnóstico está en FirmaEC no abre en Windows y en cómo actualizar el firmador a la última versión.
Menos piezas locales, menos incidencias
Firmas.com.ec emite certificados de firma electrónica con trámite 100% en línea y entrega en aproximadamente 30 minutos, en formato archivo .p12, token USB o firma en la nube, con validez legal y ante el SRI. Para organizaciones con seguridad de endpoint estricta, la firma en la nube reduce el problema a una excepción de red bien acotada. Consulta el precio actualizado en la página de precios.
Que el reporte llegue por donde la gente escribe
El grupo desarrolla además Omnifox, una plataforma omnicanal que reúne WhatsApp, correo, redes sociales y llamadas en una bandeja compartida. Las incidencias de firma llegan casi siempre por mensajería, y tenerlas registradas en el mismo lugar que el resto del soporte evita que un caso urgente se quede en un chat personal. Más información en omnifox.io.
Preguntas frecuentes
¿El antivirus puede bloquear el firmador sin avisar al usuario?
Sí. En entornos administrados las notificaciones locales suelen estar desactivadas y el evento queda registrado únicamente en la consola central. Por eso el diagnóstico empieza ahí y no en el equipo.
¿Es seguro excluir la carpeta del firmador?
Es aceptable si es la carpeta de instalación en el directorio de programas, no si es una carpeta del perfil del usuario donde cualquiera puede escribir. Cuando el producto lo permite, la exclusión por firma digital del editor es preferible.
¿Por qué falla solo con documentos grandes?
Normalmente por el análisis en tiempo real sobre archivos temporales voluminosos, que agota el tiempo de espera de la operación. Excluir la carpeta de trabajo temporal del firmador suele resolverlo.
¿Debo reportar el falso positivo al fabricante del antivirus?
Sí, y conviene hacerlo. Es lo que hace que la detección se corrija en las siguientes definiciones y que el problema no reaparezca en toda la flota tras una actualización.
¿La firma en la nube evita estos bloqueos?
Evita los que dependen de componentes locales, controladores y dispositivos, que son la mayoría. Sigue siendo necesario permitir el tráfico de red hacia el servicio del proveedor.
Si la protección de endpoints de tu empresa convierte cada firma en un ticket, revisa con un asesor corporativo de Firmas.com.ec un esquema con menos piezas en el puesto de trabajo. Solicita tu cotización corporativa.