Cómo validar firmas electrónicas de forma programática

Validar firma electrónica de forma programática significa comprobar, mediante código y no a simple vista, que un documento firmado digitalmente es auténtico, íntegro y legalmente válido en Ecuador. No es lo mismo "ver el sello verde" en un PDF que confirmar, vía API o librería, que el certificado del firmante está vigente, que la cadena de confianza llega a una entidad certificadora acreditada y que el documento no fue alterado después de firmarse. Para empresas que reciben decenas o cientos de documentos firmados al día —contratos, actas, comprobantes, autorizaciones— hacerlo a mano es lento y propenso a error. Automatizarlo es, cada vez más, un requisito operativo.

En este artículo explicamos qué implica validar una firma electrónica de manera automática en el contexto ecuatoriano: el marco legal que la respalda, los formatos con los que te vas a topar, qué verifica realmente un proceso de validación serio y cómo integrarlo en tus sistemas.

Marco legal: qué dice la normativa ecuatoriana

En Ecuador, la firma electrónica tiene respaldo legal desde la Ley de Comercio Electrónico, Firmas Electrónicas y Mensajes de Datos, que le otorga a un documento firmado electrónicamente la misma validez jurídica que a uno firmado en papel, siempre que cumpla ciertos requisitos técnicos: el certificado debe haber sido emitido por una entidad de certificación de información acreditada, el firmante debe tener control exclusivo de su clave privada, y cualquier alteración posterior al documento debe ser detectable.

La acreditación de las entidades certificadoras en Ecuador está a cargo de ARCOTEL (Agencia de Regulación y Control de las Telecomunicaciones). Entre las entidades certificadoras acreditadas que operan en el país están el Banco Central del Ecuador (BCE), Security Data y ANF AC, además de entidades sectoriales como el Consejo de la Judicatura para el gremio de abogados. Cuando un sistema valida una firma programáticamente, una de las primeras verificaciones debe ser justamente esa: confirmar que el certificado fue emitido por una de estas entidades reconocidas y no por un proveedor sin acreditación.

Formatos de firma electrónica que vas a encontrar

Antes de automatizar la validación conviene entender los soportes más comunes en Ecuador, porque cada uno cambia ligeramente el flujo técnico:

• Archivo .p12 (token software): el certificado y la clave privada viven en un archivo protegido por contraseña, instalado en el computador del firmante. Es el formato más extendido entre PYMES y profesionales independientes.
• Token criptográfico USB: el certificado nunca sale del dispositivo físico; la firma se genera dentro del token. Más seguro frente a copiado, pero depende de tener el dispositivo conectado.
• Firma en la nube / HSM remoto: el certificado se almacena en un módulo criptográfico gestionado por la entidad certificadora o un proveedor autorizado, y el firmante autentica cada operación (por ejemplo, con un código o una app). Es el formato que mejor se presta a integraciones vía API porque no depende de hardware local.
• FirmaEC: la aplicación del Banco Central del Ecuador que permite firmar documentos PDF desde el celular, muy usada por ciudadanos y funcionarios públicos.

Todos, si están correctamente emitidos, producen documentos con la misma validez legal. Lo que cambia es cómo se genera la firma, no cómo se valida.

Qué verifica realmente una validación programática

Un proceso serio de validar firma electrónica de forma programática no se limita a comprobar que existe un sello o un campo de firma en el PDF. Debe recorrer, como mínimo, estas capas:

1. Integridad del documento

Se recalcula el hash criptográfico del contenido y se compara contra el que quedó embebido en la firma. Si el documento fue modificado después de firmarse —aunque sea un solo carácter— el hash no coincide y la firma se marca como inválida.

2. Validez del certificado del firmante

Se revisa que el certificado no esté caducado y, más importante, que no haya sido revocado. Esto se hace consultando listas de revocación de certificados (CRL) o el protocolo OCSP contra la entidad certificadora emisora. Un certificado revocado invalida cualquier firma posterior a la fecha de revocación.

3. Cadena de confianza

Se verifica que el certificado del firmante fue emitido por una entidad certificadora acreditada por ARCOTEL, y que esa entidad a su vez está dentro de la cadena de confianza reconocida en Ecuador. Sin esto, cualquiera podría autofirmarse un certificado y hacerlo pasar por válido.

4. Sello de tiempo (timestamp)

Determina en qué momento exacto se firmó el documento, de forma independiente al reloj del computador del firmante. Es clave para disputas legales: prueba que la firma se hizo mientras el certificado aún estaba vigente.

5. Estándar técnico del formato

Según el tipo de archivo, la firma sigue estándares como PAdES (para PDF), XAdES (para XML, muy relevante para comprobantes electrónicos del SRI) o CAdES (formato binario genérico). Validar programáticamente implica parsear correctamente estos estándares, no solo "leer el PDF".

En el caso de comprobantes electrónicos (facturas, notas de crédito, retenciones), la validación se cruza además con el SRI: un comprobante puede tener una firma técnicamente correcta pero estar autorizado, no autorizado o anulado en el sistema tributario, algo que solo se confirma consultando el servicio del SRI directamente.

Por qué automatizar en lugar de validar a simple vista

Abrir un PDF y ver el ícono de "firma válida" de Adobe Reader depende de que tu computador confíe en la cadena de certificación correcta, algo que no siempre está configurado por defecto. Además, ese método no escala: si tu empresa recibe contratos firmados, comprobantes o autorizaciones de forma masiva, necesitas que el sistema decida automáticamente si acepta, rechaza o marca para revisión manual cada documento.

Automatizar la validación permite:

• Integrar el control de firmas directamente en flujos de onboarding, aprobación de contratos o conciliación de comprobantes.
• Dejar un registro de auditoría con quién firmó, cuándo, con qué certificado y el resultado de cada verificación.
• Detectar de inmediato certificados revocados o documentos alterados, antes de que generen un problema legal o financiero.
• Reducir la carga operativa de revisar firmas manualmente documento por documento.

Cómo implementarlo

Hay tres caminos habituales para validar firma electrónica de forma programática:

1. Librerías criptográficas propias (por ejemplo para manejar PAdES/XAdES en tu backend), que exigen mantener actualizadas las listas de entidades confiables y los certificados raíz de ARCOTEL.
2. Servicios de verificación de cada entidad certificadora, útiles si trabajas con un solo emisor, pero poco prácticos si recibes documentos firmados con distintos certificados.
3. Una API centralizada que ya integra la lógica de validación, cadena de confianza y consulta de revocación, para que tu equipo solo tenga que enviar el documento y recibir un resultado estructurado.

En Firmas.com.ec trabajamos justamente con esta última opción: firma electrónica con validez legal en Ecuador y verificación integrable por API, pensada para negocios que necesitan firmar y validar documentos como parte de un flujo automatizado, sin depender de revisiones manuales.

Preguntas frecuentes

¿Una firma electrónica validada programáticamente tiene la misma validez legal que una firmada en papel?

Sí, siempre que el certificado provenga de una entidad certificadora acreditada por ARCOTEL y se cumplan los requisitos de la Ley de Comercio Electrónico, Firmas Electrónicas y Mensajes de Datos. La validación programática no le resta validez, al contrario: deja evidencia técnica verificable de esa validez.

¿Qué diferencia hay entre firma electrónica simple y firma electrónica certificada?

La firma simple (un clic, una imagen escaneada de una firma) no ofrece garantías criptográficas de identidad ni de integridad. La firma electrónica certificada, con certificado emitido por una entidad acreditada, sí permite verificar identidad del firmante e integridad del documento, y es la que tiene plena validez legal en Ecuador.

¿Se puede validar un documento firmado con .p12, token o firma en la nube con el mismo proceso?

Sí. La validación se hace sobre el certificado y la firma resultante, no sobre el medio físico usado para generarla. Un proceso de validación bien construido debe soportar los tres formatos sin distinción.

¿Qué pasa si el certificado del firmante fue revocado después de firmar?

Si la revocación ocurrió después de la fecha de firma (confirmada por el sello de tiempo), el documento sigue siendo válido. Si el certificado ya estaba revocado al momento de firmar, la firma se considera inválida.

¿Cómo empiezo a validar firmas por API en mi empresa?

Puedes cotizar o solicitar tu firma electrónica con validación integrable por API y revisar los planes disponibles según el volumen de documentos que manejes. Si quieres conocer más sobre el servicio, puedes volver al inicio de Firmas.com.ec.