Durante años, firmar un documento desde el navegador significaba instalar un complemento, aceptar una advertencia de seguridad y cruzar los dedos. Esa época terminó: los navegadores modernos eliminaron la tecnología de complementos que permitía ejecutar código con acceso al hardware del equipo, y no va a volver. La decisión fue correcta desde el punto de vista de seguridad y dejó a muchas empresas ecuatorianas con procesos web que dependían de algo que ya no existe.
La pregunta práctica no es cómo recuperar aquello, sino qué arquitecturas funcionan hoy. Hay tres, con perfiles muy distintos de esfuerzo, seguridad y experiencia de uso, y elegir bien evita rehacer el trabajo en dos años.
Por qué el navegador ya no puede tocar el token
Conviene entender el límite para no buscar soluciones imposibles. Una página web se ejecuta en un entorno aislado, sin acceso a los dispositivos conectados ni al almacén de certificados del sistema. Ese aislamiento es lo que impide que cualquier sitio pueda leer tu token, y es una característica, no una limitación a superar.
Hay una excepción que induce a error: el navegador sí puede usar un certificado del usuario para autenticarse ante un servidor que lo solicita. Eso es autenticación mutua de la conexión, no firma de documentos. Que un portal te reconozca con tu certificado no significa que pueda firmar un PDF con él. Confundir ambas cosas es habitual en pliegos y en requerimientos técnicos mal redactados.
Las tres arquitecturas que funcionan hoy
| Enfoque | Qué requiere en el puesto | Cuándo conviene |
|---|---|---|
| Firma en la nube | Nada más que el navegador | Procesos web, teletrabajo, usuarios externos, alto volumen |
| Aplicación local que dialoga con la web | Un programa instalado y mantenido | Cuando la clave debe permanecer en un token del usuario |
| Descargar, firmar en el escritorio y volver a subir | El firmador de escritorio | Volúmenes bajos, sin presupuesto de desarrollo |
Firma en la nube: la vía natural del navegador
Es la arquitectura que mejor encaja con una aplicación web. La clave privada se custodia en la infraestructura del proveedor, protegida por dispositivos criptográficos, y la operación se realiza allí tras autenticar al firmante. El navegador solo envía el documento y recibe el resultado.
Ventajas para una empresa: funciona en cualquier sistema operativo y en móviles, no requiere instalar nada en el puesto, no depende de la versión de Java ni de controladores, y elimina de un golpe la mayoría de las incidencias que llenan la mesa de ayuda. Es también la única que escala razonablemente cuando hay que firmar muchos documentos, como se explica en firma masiva en la nube para grandes volúmenes.
Lo que exige a cambio: autenticación sólida del firmante, un registro completo de las operaciones y permitir la salida de red hacia el servicio, según lo descrito en proxy y firewall corporativo. El panorama general está en firma electrónica en la nube.
Aplicación local que dialoga con la página
Cuando el requisito es que la clave nunca salga del token del usuario, la solución vigente es un pequeño programa instalado en el equipo que expone un servicio local con el que la página web se comunica. El navegador nunca toca el dispositivo: le pide al programa que haga la operación y recibe el resultado.
Es una arquitectura legítima y muy usada, pero conviene dimensionar lo que implica en una empresa:
- Hay software que instalar y mantener en cada puesto, con todo lo que eso arrastra: versiones, permisos, actualizaciones.
- La comunicación local debe estar restringida a los orígenes autorizados, o cualquier página abierta en el navegador podría intentar usarla.
- El antivirus y las directivas de grupo pueden bloquearla, con los síntomas descritos en antivirus corporativo que bloquea FirmaEC y en las GPO que bloquean la firma.
- El middleware del token sigue siendo un requisito, con su instalación y sus conflictos de arquitectura.
Dicho de otro modo: se recupera la experiencia de firmar desde la web, pero no se elimina la dependencia del puesto de trabajo. Es una decisión válida cuando la política de la empresa exige que la clave permanezca en poder del titular.
El camino sin desarrollo: descargar, firmar, subir
Sigue siendo la opción más común en trámites con entidades públicas: el usuario descarga el documento, lo firma con el firmador de escritorio y lo vuelve a cargar. No requiere desarrollo ni infraestructura, y por eso resiste.
Sus límites aparecen con el volumen y con la trazabilidad. Cada paso manual es una oportunidad de error: firmar el archivo equivocado, subir la versión sin firmar, perder el orden de firmas en un documento con varios firmantes. Para procesos con más de un firmante conviene apoyarse en un flujo controlado, como se describe en firma electrónica en flujos de documentos.
Qué elegir según el caso
- Portal para clientes o proveedores externos: firma en la nube, sin discusión. No se puede pedir a un tercero que instale software para firmar un documento.
- Sistema interno con usuarios administrados: nube si se busca simplicidad operativa; aplicación local si la política exige token en poder del usuario.
- Trámite ante entidad pública con requisitos propios: lo que exija esa entidad, que suele estar definido en su documentación técnica.
- Proceso automatizado sin persona presente: ni una cosa ni la otra, sino integración directa por servicios, como se explica en cómo integrar una API de firma en tu sistema.
Lo que hay que exigir en cualquiera de los tres casos
Independientemente de la arquitectura, el resultado tiene que cumplir lo mismo: firma con validez legal en Ecuador, formato de firma adecuado al tipo de documento, sello de tiempo cuando corresponda, y un registro que permita reconstruir quién firmó qué y cuándo. Una firma que se ve bien en pantalla pero no se puede verificar después no sirve para nada. Los criterios de verificación están en cómo validar firmas electrónicas de forma programática.
Certificados para procesos web
Firmas.com.ec emite certificados de firma electrónica con trámite 100% en línea y entrega en aproximadamente 30 minutos, en formato archivo .p12, token USB o firma en la nube, con validez legal y ante el SRI. Si tu proceso vive en el navegador, la firma en la nube es la que menos fricción genera para tus usuarios. Consulta el precio actualizado en la página de precios.
Cerrar el ciclo con el cliente
El grupo desarrolla también Omnifox, plataforma omnicanal que reúne WhatsApp, correo, redes sociales y llamadas en una sola bandeja compartida. Es útil cuando el proceso de firma termina con un aviso al cliente: el enlace sale por el canal que esa persona ya usa y la respuesta queda en el mismo historial que el resto de la relación. Más información en omnifox.io.
Preguntas frecuentes
¿Se puede firmar con el token directamente desde el navegador?
No de forma directa. El navegador no accede a dispositivos criptográficos por diseño. Se necesita un programa local que haga de puente o, alternativamente, firma en la nube.
¿Sirve el certificado que el navegador usa para entrar a un portal?
Ese uso es de autenticación, no de firma de documentos. Que un portal reconozca tu certificado no implica que pueda firmar un archivo con él.
¿La firma en la nube tiene la misma validez?
Sí, cuando el certificado es emitido por una entidad de certificación de información acreditada en Ecuador. El formato del certificado no cambia su valor legal; cambia dónde se custodia la clave y cómo se autoriza cada operación.
¿Los complementos de navegador van a volver?
No en la forma que tenían. La tecnología que permitía ese acceso al hardware fue retirada por motivos de seguridad y las arquitecturas actuales están construidas sobre esa premisa.
¿Qué pasa con los usuarios que entran desde el celular?
Solo la firma en la nube resuelve ese escenario sin fricción, porque no exige instalar middleware ni conectar hardware. Es un argumento decisivo cuando parte de la operación ocurre fuera de la oficina, con personal en campo o en visita a clientes.
Si tu proceso de firma vive en el navegador y quieres dejar de depender de lo que cada usuario tenga instalado, habla con un asesor corporativo de Firmas.com.ec. Solicita tu cotización corporativa.