Cambiar de proveedor de firma electrónica genera un miedo razonable: que el día del cambio la empresa no pueda facturar, no pueda presentar una oferta o no pueda registrar un contrato. Ese miedo hace que muchas compañías toleren durante años un servicio que ya no les sirve.
La buena noticia es que una migración de firma electrónica es un proceso controlable, porque los certificados no se "trasladan": se emiten nuevos y conviven con los anteriores hasta que cada proceso está validado. Este artículo explica cómo diseñar esa convivencia para que la operación no se detenga en ningún momento.
Lo primero: los certificados no se migran
Conviene despejar el malentendido más común. Un certificado de firma electrónica contiene una clave privada vinculada a la identidad de su titular y emitida por una entidad de certificación acreditada. No existe un mecanismo para "pasar" ese certificado a otro proveedor.
Migrar significa, entonces, emitir certificados nuevos con el proveedor entrante y reapuntar los procesos hacia ellos. Los certificados anteriores siguen siendo válidos hasta su fecha de caducidad, y esa es precisamente la propiedad que permite migrar sin cortes: durante un período los dos conjuntos funcionan.
Lo que sí permanece intacto es todo lo firmado antes. Un documento firmado con el certificado anterior conserva su validez legal aunque la empresa cambie de proveedor; la verificación se apoya en la cadena de confianza vigente al momento de la firma. El detalle de por qué un documento firmado sigue siendo oponible está en validez legal de los contratos digitales.
Paso 1: inventario de dependencias
Antes de emitir nada hay que saber dónde se usa cada certificado. Esta es la parte que más sorpresas produce, porque siempre aparece un proceso que nadie tenía en la lista.
| Dependencia | Qué hay que verificar |
|---|---|
| Sistemas propios | ERP, facturación, recursos humanos, gestión documental y scripts internos |
| Portales del Estado | Portales tributarios, de contratación pública, laborales y societarios donde el certificado está registrado |
| Estaciones de trabajo | Equipos donde está instalado el certificado o los drivers del token |
| Servicios de terceros | Plataformas de clientes o proveedores que exigen firma para operar |
| Procesos automatizados | Tareas programadas, colas de firma y servicios que firman sin intervención humana |
Una técnica práctica para completar el inventario: revisar los últimos meses de tickets de soporte relacionados con firma. Ahí aparecen los procesos que la documentación oficial no menciona.
Paso 2: elegir el momento
La ventana de migración se elige contra el calendario de obligaciones de la empresa, no contra la disponibilidad del equipo de TI. Hay tres criterios:
- Evitar los períodos de cierre contable, de declaraciones y de presentación de ofertas.
- Aprovechar la proximidad del vencimiento de los certificados actuales, para no pagar dos veces por el mismo período más tiempo del necesario.
- Dejar un solapamiento suficiente entre ambos conjuntos: la migración se hace con red, no al filo del vencimiento.
El error clásico es migrar la misma semana en que caducan los certificados actuales. Si algo falla, no hay a dónde volver.
Paso 3: emisión en paralelo
Con el proveedor entrante se emite el primer conjunto de certificados sin tocar nada de la operación. El trámite es 100% en línea y la emisión toma aproximadamente 30 minutos una vez validados los datos de cada titular, de modo que esta fase depende sobre todo de la coordinación interna.
El orden recomendado replica el de cualquier despliegue: un grupo piloto pequeño, después los firmantes críticos y al final el resto. La mecánica completa está en onboarding de un nuevo proveedor de firma.
La migración es también una oportunidad para corregir decisiones heredadas. Si la empresa arrastra tokens USB en perfiles que hoy trabajan de forma distribuida, este es el momento de revisar la asignación con los criterios de archivo, token o nube.
Paso 4: convivencia y corte por proceso
Aquí está la clave de una migración sin interrupciones: no se corta por fecha, se corta por proceso. Cada proceso se cambia al certificado nuevo solo cuando se validó de punta a punta con un documento real, y hasta ese momento sigue operando con el anterior.
La secuencia por proceso es siempre la misma:
- Registrar el certificado nuevo donde corresponda: sistema interno, portal o plataforma de terceros.
- Firmar un documento real de ese proceso.
- Validar el resultado en el destino real, no solo en el visor local.
- Declarar el proceso migrado y anotarlo en el tablero de avance.
- Recién entonces retirar el certificado anterior de ese proceso.
El tablero de avance no es burocracia: es lo que permite saber, en cualquier momento, qué procesos ya están en el esquema nuevo y cuáles siguen en el anterior. Sin él, la convivencia se vuelve confusión.
Paso 5: procesos automatizados, con cuidado extra
Los procesos que firman sin intervención humana requieren tratamiento aparte porque fallan en silencio. Tres recomendaciones:
- Cambiar el certificado primero en el ambiente de pruebas y verificar el resultado antes de tocar producción.
- Confirmar que las alertas de error del proceso llegan efectivamente a una persona; muchos avisos automáticos terminan en buzones que nadie revisa.
- Dejar preparada la vuelta atrás: mantener la configuración anterior disponible hasta que se acumulen varios días de operación limpia.
Si la firma automática está integrada por API, la lista de verificación técnica está en cómo integrarla en tu sistema, y la validación programática de los resultados en cómo validar firmas de forma programática.
Paso 6: cierre de la migración
La migración termina cuando se cumplen cuatro condiciones: todos los procesos del inventario están declarados migrados, los certificados anteriores fueron retirados de los sistemas, el inventario nuevo está actualizado con las fechas de caducidad y el equipo sabe a quién escribir ante una incidencia.
Un punto que se olvida: los certificados anteriores instalados en estaciones de trabajo. Dejarlos ahí "por si acaso" es una puerta abierta a que alguien firme con el esquema viejo meses después y genere un documento que el inventario no registra.
Para el precio vigente de los certificados y de los planes corporativos, revisa la página de precios.
Riesgos y cómo se mitigan
| Riesgo | Mitigación |
|---|---|
| Un proceso no inventariado se rompe | Revisión de tickets históricos y corte por proceso, no por fecha |
| Corte durante un período crítico | Ventana elegida contra el calendario de obligaciones |
| Certificados nuevos sin activar a tiempo | Piloto previo y acompañamiento a firmantes críticos |
| Falla silenciosa en firma automática | Pruebas en ambiente separado y alertas verificadas |
| Doble pago prolongado | Solapamiento acotado y planificado, no indefinido |
Una bandeja compartida para la relación con el proveedor
El grupo también desarrolla Omnifox, una plataforma omnicanal que reúne WhatsApp, correo, redes sociales y llamadas en una sola bandeja compartida, con asignación de responsable y estado por conversación. En una migración es especialmente útil: los avisos a cada firmante, las confirmaciones de validación por proceso y la coordinación con el proveedor entrante quedan en un solo hilo, sin depender de que alguien recuerde reenviar un correo. Más información en omnifox.io.
Preguntas frecuentes
¿Pierdo validez de los documentos firmados con el proveedor anterior?
No. Un documento firmado conserva su validez legal con independencia de que la empresa cambie de proveedor después. Lo que cambia es con qué certificado se firmará de ahí en adelante.
¿Se puede transferir un certificado de un proveedor a otro?
No. El certificado está vinculado a la entidad que lo emitió y a la identidad de su titular. Migrar implica emitir certificados nuevos, no trasladar los existentes.
¿Cuánto tiempo deben convivir los dos conjuntos de certificados?
El necesario para validar todos los procesos del inventario, con un margen adicional de operación estable. Fijar el período contra el inventario propio es más seguro que copiar una duración estándar.
¿Hay que avisar a las entidades donde está registrado el certificado?
No se trata de avisar, sino de registrar el certificado nuevo en cada portal o sistema donde el anterior estaba configurado. Ese registro forma parte del inventario de dependencias y es el paso que más se olvida.
¿Conviene migrar todos los firmantes a la vez?
No. El despliegue por olas con corte por proceso reduce el riesgo a un costo mínimo en tiempo. Migrar a todos el mismo día concentra cualquier problema en el peor momento posible.
¿Qué pasa con los certificados anteriores que aún tienen vigencia?
Siguen siendo válidos hasta su caducidad, pero deben retirarse de los sistemas y estaciones una vez completada la migración, para evitar firmas fuera del esquema controlado.
Si tu empresa está evaluando cambiar de proveedor de firma electrónica y necesita un plan de convivencia y corte por proceso, conversa con un asesor de Firmas.com.ec. Solicita tu cotización corporativa.