Un token instalado a mano es una visita de soporte. Ciento veinte tokens instalados a mano son un trimestre perdido. Cuando una empresa reparte certificados en hardware a varias áreas y sedes, el cuello de botella deja de ser la emisión y pasa a ser la preparación del parque de equipos.
Esta guía describe cómo planificar el despliegue centralizado del software que permite usar tokens de firma, con las herramientas que ya existen en la mayoría de las empresas: directivas de grupo en dominios Windows y plataformas de administración de dispositivos. Y, sobre todo, aclara qué se puede desplegar y qué no.
Qué se instala realmente
Para que un token funcione hacen falta varias piezas, y confundirlas es la causa más común de despliegues fallidos:
- El middleware del fabricante, que es lo que permite al sistema operativo hablar con el chip del dispositivo. Su nombre, su instalador y sus opciones dependen del fabricante del token: no existe un paquete universal.
- El aplicativo de firma que usará el personal. En el sector público ecuatoriano lo habitual es FirmaEC, el firmador oficial y gratuito del Estado; en el privado pueden ser aplicativos propios o de terceros.
- El entorno de ejecución que ese aplicativo requiera, cuando corresponda.
- Configuraciones del equipo: permisos, excepciones de seguridad, acceso a puertos USB y, en redes corporativas, salida hacia los servicios de validación.
La instalación individual está descrita en cómo instalar los drivers del token. El resto de este artículo asume que ese procedimiento manual ya funciona en un equipo de prueba; sin eso, automatizar solo multiplica el error.
Inventario técnico previo
Antes de empaquetar nada hay que responder cinco preguntas. Cada una puede cambiar el paquete:
| Pregunta | Por qué importa |
|---|---|
| ¿Qué modelos de token hay en el parque? | Cada fabricante trae su propio middleware |
| ¿Qué sistemas operativos y arquitecturas? | Versiones distintas del instalador |
| ¿Los usuarios tienen permisos de administrador? | Define si el despliegue corre en contexto de equipo o de usuario |
| ¿Los equipos están en dominio o solo administrados por MDM? | Determina la herramienta de distribución |
| ¿Qué aplicativo de firma usa cada área? | Puede requerir paquetes distintos por grupo |
El resultado ideal de este inventario es descubrir que todos los tokens son del mismo modelo. Si no lo son, es un buen momento para estandarizar las próximas compras, con los criterios de cómo elegir el modelo de token correcto.
Empaquetado silencioso
La distribución masiva necesita que el instalador corra sin preguntar nada al usuario. La forma exacta de lograrlo —parámetros de instalación desatendida, formato del paquete, opciones de configuración— depende del fabricante del middleware, y es información que debe pedirse al proveedor del dispositivo en lugar de deducirse. Lo que sí es común a todos los casos:
- Verificar el instalador en un equipo limpio, con el mismo sistema operativo del parque, antes de empaquetar.
- Dejar registro de la instalación, para poder auditar qué equipos quedaron listos y cuáles fallaron.
- Definir el criterio de detección que usará la herramienta para saber si el software ya está presente y no reinstalar en cada arranque.
- Prever la desinstalación y la actualización de versión, que serán necesarias tarde o temprano.
Distribución por GPO en dominios Windows
En empresas con directorio corporativo, la ruta tradicional es una directiva de grupo aplicada a una unidad organizativa que contenga los equipos de los firmantes. Recomendaciones prácticas:
- Apunta la directiva a equipos, no a usuarios. El middleware es una capacidad de la máquina; el firmante puede cambiar de puesto.
- Usa un grupo específico en lugar de aplicarla a todo el dominio. No todos los equipos necesitan hablar con tokens.
- Publica el instalador en un recurso compartido accesible durante el arranque, con permisos de lectura para las cuentas de equipo.
- Combina la instalación con las configuraciones asociadas: excepciones del antivirus si el proveedor las indica y políticas de puertos USB coherentes con el uso de tokens. Este último punto es el que más despliegues rompe: una política de bloqueo de almacenamiento USB mal segmentada puede impedir el uso del dispositivo.
Si además hay que dejar operativo el firmador en la red interna, el detalle está en cómo configurar FirmaEC en una red corporativa.
Distribución por MDM en equipos modernos
En parques administrados por plataformas de gestión de dispositivos, la lógica es equivalente aunque el vocabulario cambie: se crea una aplicación con su instalador, se define el comando de instalación desatendida, se establece la regla de detección y se asigna a un grupo de dispositivos.
Dos ventajas frente a la GPO clásica: el reporte de estado por equipo es mucho mejor y funciona con máquinas que casi nunca se conectan a la red interna, un escenario cada vez más común. La contra es que la validación previa debe ser más rigurosa, porque corregir un paquete ya distribuido a equipos remotos es lento.
Lo que NO se puede desplegar
Esta sección evita expectativas equivocadas de la gerencia. Con GPO, MDM o cualquier otra herramienta:
- No se puede distribuir el certificado. La clave privada se genera dentro del chip del token y no sale de ahí. No hay paquete que la instale ni la copie.
- No se puede establecer ni recuperar el PIN de forma remota. Lo define el titular y es personal.
- No se puede desbloquear un token centralmente. El procedimiento y el código de desbloqueo dependen del fabricante, y se ejecutan sobre el dispositivo.
- No se puede habilitar firma desatendida. El token siempre requiere presencia física y PIN. Si el objetivo era automatizar, el camino es otro: ver token y facturación electrónica masiva.
El despliegue prepara el terreno para que la persona firme. Nada más, y ya es bastante.
Pruebas por anillos
Nunca se distribuye a todo el parque de una vez. El esquema que evita incidentes masivos:
| Anillo | Alcance | Qué se valida |
|---|---|---|
| Laboratorio | Equipos de prueba | Que el paquete instale y se detecte correctamente |
| Piloto | Un grupo pequeño de firmantes reales | Que puedan firmar en los sistemas que usan a diario |
| Producción por olas | Áreas o sedes en secuencia | Comportamiento a escala y carga de la mesa de ayuda |
La prueba del piloto no es "el token aparece en el sistema". Es firmar un documento real en el portal o aplicativo que el área usa. Muchos despliegues técnicamente correctos fallan ahí, y las causas más frecuentes están en FirmaEC: causas y soluciones y en Java no abre FirmaEC.
Mac, Linux y equipos fuera del dominio
Los parques mixtos suelen quedar sin plan. La disponibilidad de middleware para macOS y distribuciones de Linux depende del fabricante del token y de la versión del sistema, así que hay que confirmarla antes de comprometer una fecha. La operación del firmador en esos sistemas está descrita en cómo firmar en Mac y Linux con FirmaEC.
Cuando el soporte no existe o es inestable, la salida razonable no es forzar el token: es asignar a esos usuarios un certificado en la nube, que no depende del sistema operativo. La comparación está en token vs HSM vs firma en la nube. Consulta valores actualizados en la página de precios.
Omnifox: la coordinación que rodea al control
El grupo también desarrolla Omnifox, plataforma omnicanal que reúne WhatsApp, correo, redes sociales y llamadas en una sola bandeja compartida por el equipo. Durante un despliegue, el soporte llega por todos lados a la vez: mensajes de sucursales, correos de jefaturas y llamadas de usuarios bloqueados. Tener esas conversaciones centralizadas, con historial y responsable asignado, evita que la evidencia de una gestión quede en el teléfono personal de alguien. Más información en omnifox.io.
Preguntas frecuentes
¿Puedo instalar el middleware sin permisos de administrador en cada equipo?
La instalación desatendida corre normalmente en contexto de sistema a través de la herramienta de despliegue, sin que el usuario necesite privilegios. Ese es justamente uno de los motivos para centralizar.
¿Necesito un paquete distinto por cada modelo de token?
Sí, porque el middleware es específico del fabricante. Es la razón principal para estandarizar el modelo en las compras corporativas.
¿El bloqueo de puertos USB impide usar tokens?
Puede hacerlo si la política se aplica de forma amplia. Hay que revisarla junto con el despliegue para que el bloqueo de almacenamiento no arrastre a los dispositivos criptográficos.
¿Se puede desplegar también el firmador oficial?
Sí, se distribuye con la misma lógica que cualquier aplicación, cuidando su entorno de ejecución y la configuración de red interna.
¿Cómo verifico que el despliegue funcionó?
Con dos evidencias: el reporte de instalación de la herramienta y una prueba de firma real en el sistema que usa cada área. La primera sin la segunda no prueba nada.
¿Conviene desplegar a toda la empresa por si acaso?
No. Instala solo en los equipos de quienes efectivamente firman con token; el resto agrega software que mantener sin beneficio alguno.
Si tu área de sistemas está preparando el parque para un despliegue de certificados, Firmas.com.ec puede ayudarte a estandarizar modelos y a definir qué perfiles conviene resolver sin hardware. Habla con un asesor corporativo.