Token, HSM y firma en la nube se presentan a veces como tres productos que compiten. No lo son: son tres respuestas a la misma pregunta, que es dónde vive la clave privada y quién puede pedirle que firme. Elegir bien consiste en responder esa pregunta para cada proceso de la empresa, no en escoger un ganador único.
Esta comparación está escrita para quien tiene que decidir con criterios de operación, control y costo, y necesita saber qué renuncia con cada opción.
El único criterio que importa de verdad
Toda la discusión técnica se reduce a tres variables:
- Dónde reside la clave privada. En un chip que la persona lleva encima, en un equipo criptográfico dentro del centro de datos o en infraestructura de un proveedor especializado.
- Cómo se autoriza cada firma. Con presencia física y PIN, con credenciales de una aplicación o con un segundo factor del usuario.
- Quién opera y responde por esa infraestructura. El titular, el área de sistemas de la empresa o el proveedor del servicio.
Todo lo demás —velocidad, comodidad, costo, capacidad de automatizar— se deriva de esas tres respuestas.
Token: la clave con el firmante
El token es un dispositivo criptográfico personal. La clave se genera dentro del chip y no sale, así que firmar exige tener el dispositivo conectado y conocer el PIN.
Lo que gana: control máximo sobre quién firma. Nadie puede duplicar el certificado ni firmar sin el dispositivo. Para documentos societarios, poderes y actos de alto impacto, es difícil de superar.
Lo que renuncia: no se respalda, no se automatiza, no se comparte entre sedes y depende de un middleware instalado en cada equipo, cuyo comportamiento depende del fabricante. Si el dispositivo se pierde o se bloquea de forma definitiva, corresponde emitir un certificado nuevo.
El análisis por perfil está en cuándo conviene el token en una empresa.
HSM: la clave en el centro de datos de la empresa
Un HSM es un equipo criptográfico dedicado que custodia claves y ejecuta operaciones de firma bajo control de la propia organización. Las aplicaciones no reciben la clave: le piden al equipo que firme, con controles de acceso, roles y registro de cada operación.
Lo que gana: la clave queda protegida en hardware y a la vez disponible para procesos automatizados, con alto rendimiento y bitácora detallada. Es la opción de las organizaciones con requerimientos regulatorios estrictos o con volúmenes muy altos.
Lo que renuncia: inversión y complejidad. Hay que dimensionar, instalar, integrar, respaldar, definir roles de administración y sostener la operación en el tiempo. No es una compra, es una capacidad que la empresa asume. El panorama completo está en HSM para firma electrónica en corporativos.
Firma en la nube: la clave en infraestructura del proveedor
Aquí la clave reside protegida en la infraestructura del proveedor del servicio y el titular autoriza cada firma desde cualquier dispositivo, sin hardware propio ni middleware.
Lo que gana: disponibilidad. Se firma desde una laptop, un celular o una tableta, desde cualquier ciudad, sin instalar nada. Permite administración centralizada de los firmantes de la empresa y, según el servicio contratado, integración con sistemas para flujos de alto volumen.
Lo que renuncia: el control físico del soporte. La clave no está en un cajón de la oficina, y eso obliga a evaluar al proveedor con más rigor: quién lo acredita, cómo se autoriza cada firma, qué registro deja. Los criterios están en certificados en la nube: administración y control y en firma en la nube para empresas.
Comparación lado a lado
| Criterio | Token USB | HSM propio | Firma en la nube |
|---|---|---|---|
| Dónde reside la clave | Chip del dispositivo personal | Equipo criptográfico de la empresa | Infraestructura del proveedor |
| Quién opera la infraestructura | El titular | El área de sistemas | El proveedor |
| Firma desatendida o automatizada | No | Sí | Sí, según el servicio |
| Firma desde varios dispositivos y ciudades | Solo donde se conecte | A través de las aplicaciones integradas | Sí |
| Requiere instalar software en cada equipo | Sí, middleware del fabricante | No para el usuario final | No |
| Volumen alto de firmas | Deficiente | Excelente | Muy bueno |
| Inversión inicial | Baja | Alta | Baja |
| Carga operativa interna | Media: logística, soporte, custodia | Alta: operación permanente | Baja |
| Si se pierde el soporte | Certificado nuevo | No aplica al usuario | Se recupera el acceso con el proveedor |
| Control físico del dispositivo | Total | Total, en el centro de datos | Delegado en el proveedor |
Cómo se combinan en una empresa real
La arquitectura habitual en compañías medianas y grandes no elige una opción: usa dos o tres, asignadas por proceso.
| Proceso | Opción | Motivo |
|---|---|---|
| Actas de junta, nombramientos, poderes | Token | Pocos actos, control máximo, firmante identificado |
| Contratos comerciales y laborales | Nube | Firmantes en varias sedes, volumen medio |
| Emisión de comprobantes electrónicos | HSM o nube con integración | Proceso desatendido y continuo |
| Aprobaciones internas de flujo documental | Nube | Firma desde cualquier dispositivo |
| Ofertas en portales del Estado | Token o nube | Según el portal y la movilidad del firmante |
El caso de los procesos automatizados merece énfasis porque es donde más empresas se equivocan: el token no puede resolverlo, y forzarlo termina en un computador encendido con el dispositivo puesto, que anula el control que se buscaba. El desarrollo está en token y facturación electrónica masiva y en firma masiva en la nube.
Costo total, más allá del precio del certificado
Comparar solo el valor del certificado deja fuera lo que realmente pesa en el presupuesto:
- Token: dispositivo, logística de entrega, instalación del middleware en cada equipo, soporte por bloqueos y reconocimiento, reposición por pérdida o daño, tiempo del firmante en cada operación.
- HSM: equipamiento, integración, licenciamiento asociado, personal capacitado, procedimientos de respaldo y continuidad, mantenimiento.
- Nube: el servicio y el esfuerzo de integración cuando se conecta a sistemas propios. La carga de soporte al usuario final es sensiblemente menor.
Un ejercicio útil antes de decidir: dimensionar cuántos firmantes hay realmente y qué firma cada uno, con el método de cuántas firmas electrónicas necesita tu empresa. Muchas compañías descubren que necesitan menos tokens y más certificados en la nube. Consulta valores actualizados en la página de precios.
Cómo decidir sin equivocarse
Cuatro preguntas por proceso, en este orden:
- ¿Hay una persona presente en el momento de firmar? Si no la hay, el token queda descartado de entrada.
- ¿Cuántas firmas por día? Volumen alto empuja hacia nube o HSM.
- ¿Desde dónde se firma? Movilidad o varias sedes empujan hacia la nube.
- ¿Qué exige el marco de control interno? Si hay una obligación explícita de clave en hardware bajo custodia propia, la conversación es token o HSM.
La comparación complementaria entre formatos de usuario está en nube vs .p12 vs token, y el marco de implementación en cómo implementar firma electrónica en tu organización.
Omnifox: la capa de conversación sobre los procesos firmados
El grupo también desarrolla Omnifox, plataforma omnicanal que reúne WhatsApp, correo, redes sociales y llamadas en una sola bandeja compartida por el equipo. Cualquiera sea la infraestructura de firma que elija la empresa, el documento firmado se envía, se confirma y se discute con alguien; centralizar esa conversación deja historial y responsable de cada entrega. Más información en omnifox.io.
Preguntas frecuentes
¿La firma hecha con token tiene más validez que la hecha en la nube?
No. La validez proviene del certificado emitido por una Entidad de Certificación de Información acreditada y del cumplimiento de los requisitos de la firma electrónica, no del soporte donde reside la clave.
¿Puedo migrar un certificado de token a la nube?
No se migra: la clave privada no sale del token. Lo que se hace es emitir un certificado nuevo en el formato deseado y dar de baja el anterior cuando corresponda.
¿Una empresa mediana necesita un HSM?
Rara vez. El HSM se justifica cuando hay volúmenes muy altos, exigencias regulatorias explícitas o una política que obliga a custodiar las claves dentro de la propia infraestructura. En los demás casos, la nube resuelve lo mismo sin la carga operativa.
¿La firma en la nube funciona sin conexión a internet?
No. Requiere conectividad para autorizar la operación, igual que el token requiere un puerto USB disponible. Cada opción tiene su dependencia.
¿Se pueden combinar los tres esquemas en la misma empresa?
Sí, y es lo habitual en organizaciones con procesos diversos. Lo importante es que la asignación responda al proceso y quede documentada en la política interna.
¿Qué opción conviene para participar en compras públicas?
Ambos formatos de usuario funcionan si el certificado es válido y el portal lo admite. La decisión depende de la movilidad del firmante y de cuántas personas deben suscribir la oferta.
Si tu empresa está definiendo la arquitectura de firma para los próximos años, conversa con un asesor de Firmas.com.ec y evalúa qué proceso corresponde a cada formato. Cotiza tu plan corporativo.