No todo lo que una empresa necesita firmar es un PDF o un XML. Hay respaldos de base de datos, archivos comprimidos con evidencia, imágenes de radiografías, planos en formatos propietarios, registros de auditoría, paquetes de software. Para todo eso existe CAdES, el perfil de firma avanzada que no depende del formato del archivo firmado.
Es el menos comentado de los tres perfiles y, sin embargo, el más versátil. Este artículo explica qué resuelve, cómo se implementa y —lo más importante para un equipo técnico— cuándo conviene y cuándo no.
Qué es CAdES en términos prácticos
CAdES se apoya en la sintaxis de mensajes criptográficos que la industria usa desde hace décadas, la misma familia de la que provienen el correo seguro y buena parte de la firma de código. Sobre esa base agrega los atributos de firma avanzada: identificación del certificado, momento de firma y, en niveles superiores, sello de tiempo e información de revocación.
La diferencia de fondo con los otros perfiles es sencilla: PAdES incrusta la firma dentro del PDF, XAdES dentro del XML, y CAdES no necesita saber qué hay adentro del archivo. Trabaja sobre el resumen criptográfico de una secuencia de bytes, sea lo que sea. Por eso es el único de los tres que sirve para cualquier tipo de contenido.
Adjunta o separada: la decisión de diseño
CAdES admite dos modalidades y elegir mal complica la operación durante años.
| Modalidad | Qué produce | Ventaja | Inconveniente |
|---|---|---|---|
| Adjunta (contenido embebido) | Un archivo único que contiene el documento y la firma | Imposible separar el documento de su firma | Duplica el tamaño y obliga a extraer para leer el original |
| Separada (firma aparte) | El archivo original intacto más un archivo de firma | El original se sigue abriendo con cualquier programa | Si alguien pierde uno de los dos, la prueba se cae |
La regla que suele funcionar: separada cuando el archivo debe seguir siendo usable —un respaldo que hay que restaurar, un video que hay que reproducir— y adjunta cuando el paquete se archiva y no se toca, porque elimina el riesgo de que los dos archivos se separen en un traslado de repositorio.
Cuándo CAdES es la mejor opción
Casos donde CAdES resuelve mejor que las alternativas:
- Archivos binarios y propietarios: diseños CAD, imágenes médicas, formatos de instrumentos de laboratorio. No hay dónde incrustar una firma sin corromperlos.
- Paquetes comprimidos: una carpeta de evidencia con decenas de archivos se firma como un solo objeto y se prueba de una vez.
- Volúmenes muy grandes: como se firma el resumen, un archivo de varios gigabytes se procesa por bloques sin cargarlo entero en memoria. Ninguna de las otras opciones da eso.
- Registros y bitácoras: sellar periódicamente los logs de un sistema crítico para demostrar que no se editaron después.
- Intercambio máquina a máquina: cuando el receptor es otro sistema y nadie va a mirar una rúbrica en pantalla.
En proyectos de digitalización documental sin papel es habitual una combinación: PAdES para lo que las personas leen y CAdES para los paquetes de respaldo que solo verifica un sistema.
Los niveles, igual que en los otros perfiles
La progresión es la misma familia de niveles que en PAdES y XAdES: básico, con sello de tiempo, con información de validación embebida y con sello de archivo. La lógica también es la misma: cuanto más tiempo deba sobrevivir la prueba, más elementos hay que incluir dentro del propio objeto de firma para no depender de servicios en línea que pueden no existir en diez años.
Para respaldos de larga conservación, el nivel con sello de tiempo es casi obligatorio en la práctica: sin él, la única fecha disponible es la del sistema de archivos, que cualquiera puede alterar. La integración del servicio está en estampado de tiempo (TSA): cómo integrarlo.
Cómo se implementa
El flujo conceptual es corto y casi idéntico en cualquier lenguaje:
- Se calcula el resumen criptográfico del contenido, leyéndolo por bloques si es grande.
- Se arma el conjunto de atributos firmados: el resumen del contenido, el tipo de contenido, la referencia al certificado del firmante y el momento de firma.
- Se firma ese conjunto de atributos con la clave privada.
- Se ensambla el objeto de firma con la cadena de certificados y, si corresponde, se solicita el sello de tiempo y se agrega como atributo no firmado.
El acceso a la clave depende de dónde esté: un archivo cargado desde el keystore de Java si el proceso corre en JVM, o el dispositivo físico a través de la interfaz estándar descrita en PKCS#11 para tokens y HSM. La parte que cambia entre implementaciones es esa; el armado de la firma es el mismo.
Un detalle que ahorra soporte: define desde el inicio la convención de nombres y la ubicación del archivo de firma cuando uses la modalidad separada. Si el archivo de firma queda huérfano en otra carpeta, en seis meses nadie sabrá a qué documento correspondía.
Verificación: el eslabón que se olvida
Emitir firmas es la mitad del trabajo. Si nadie puede verificarlas, la prueba no existe. Antes de adoptar CAdES en un proceso, resuelve tres cosas:
- Quién verifica. Un archivo de firma suelto no lo abre un usuario común. Necesitas una herramienta interna o un endpoint de validación en tu propio sistema, según cómo validar firmas de forma programática.
- Qué se reporta. Una verificación útil informa firmante, momento, estado del certificado en esa fecha e integridad del contenido; no solo "válido" o "inválido".
- Dónde queda el resultado. Guarda el informe de verificación junto al expediente. Repetir la validación años después puede ser imposible si los servicios en línea del emisor ya no responden.
Cuál de los tres perfiles usar
| Situación | Perfil | Motivo |
|---|---|---|
| Contrato, acta, certificado que una persona lee | PAdES | Firma dentro del PDF, verificable en cualquier visor |
| Comprobante electrónico para el SRI | XAdES | Lo exige el esquema del organismo |
| Respaldo, binario, comprimido, log | CAdES | Independiente del formato del contenido |
| Archivo de varios gigabytes | CAdES | Permite procesar por bloques sin cargar todo |
| Lote de documentos heterogéneos | CAdES sobre el paquete | Una sola firma prueba el conjunto |
Si tu caso es el primero, el detalle está en firmar PDF con PAdES; si es el segundo, en XAdES para comprobantes del SRI. Una aclaración necesaria: ningún trámite ante el SRI se resuelve con CAdES. Para ese flujo el perfil está definido y no es opcional.
Antes de decidir
CAdES es la herramienta correcta para lo que no encaja en PDF ni en XML, y la incorrecta para documentos que las personas van a abrir y leer. Elegirlo por elegancia técnica, cuando el receptor solo quiere ver una rúbrica en la hoja, genera fricción que después hay que revertir. El panorama de librerías y componentes disponibles está en qué es un SDK de firma y cómo usarlo.
Los certificados se emiten 100% en línea, en aproximadamente 30 minutos, en archivo .p12, token USB o firma en la nube, según cómo vaya a operar tu proceso. Consulta valores actualizados en la página de precios.
Omnifox: la conversación alrededor del expediente
El grupo también desarrolla Omnifox, plataforma omnicanal que reúne WhatsApp, correo, redes y llamadas en una bandeja compartida por el equipo. Cuando un expediente firmado se entrega a un cliente, un auditor o una contraparte, la coordinación ocurre por mensajería; tenerla en un solo lugar, con historial y responsable asignado, evita que la trazabilidad del documento termine en un chat personal. Más en omnifox.io.
Preguntas frecuentes
¿Un archivo firmado con CAdES tiene la misma validez que un PDF firmado?
La validez depende del certificado y de que la firma cumpla los requisitos de firma electrónica avanzada, no del perfil elegido. Lo que cambia es la comodidad de verificación y de lectura.
¿Puedo firmar una carpeta completa?
Directamente no; se firma un archivo. La práctica habitual es comprimir la carpeta y firmar el comprimido, lo que además congela el contenido exacto de ese paquete.
¿Cuántas firmas admite un objeto CAdES?
Admite varias sobre el mismo contenido, sean paralelas o encadenadas. Es útil cuando un respaldo requiere la firma del responsable técnico y la del auditor.
¿Sirve para firmar correo electrónico?
La firma de correo usa la misma familia criptográfica, aunque con su propio empaquetado. Son mundos parientes, pero no se debe asumir que un cliente de correo abrirá cualquier archivo de firma.
¿Qué pasa si pierdo el archivo de firma separado?
Se pierde la prueba, no el documento. El original sigue siendo legible pero sin respaldo de autoría ni integridad. Por eso conviene la modalidad adjunta cuando el paquete va al archivo de largo plazo.
Si tu operación necesita firmar respaldos, paquetes o archivos técnicos con certificados corporativos, conversa con un asesor de Firmas.com.ec. Cotiza tu plan corporativo.