Manual de firma electrónica y firma digital

1. Introducción

Este manual explica qué es la firma electrónica y digital, qué valor legal tiene en España y la Unión Europea, cómo funciona por dentro y cómo usarla en la práctica, tanto como persona como dentro de una empresa.

Está pensado para personas sin formación técnica previa. Cada capítulo empieza por la idea principal, la desarrolla con esquemas y termina con la consecuencia práctica. Quien quiera ir directo al uso puede saltar al capítulo 8.

Cómo está organizado

• Capítulos 2 y 3: vocabulario y marco legal vigente.
• Capítulo 4: tipos de firma y su valor jurídico.
• Capítulos 5 a 7: funcionamiento técnico, certificados y formatos.
• Capítulo 8: guía práctica paso a paso.
• Capítulos 9 y 10: uso en la empresa y cartera europea de identidad digital.
• Capítulos 11 a 14: seguridad, ejercicios, preguntas frecuentes y fuentes.

Alcance y límites. El manual describe la situación a fecha de octubre de 2026. La normativa europea y los servicios públicos (Cl@ve, AutoFirma, la cartera digital) evolucionan, así que conviene comprobar los datos críticos en las fuentes oficiales del último capítulo antes de aplicarlos a un caso concreto. No sustituye al asesoramiento jurídico.

2. Conceptos básicos

La firma electrónica es cualquier dato en formato electrónico que una persona usa para firmar; la firma digital es la variante técnica basada en criptografía de clave pública, y el certificado digital es el documento que vincula esas claves con una identidad.

En el lenguaje cotidiano "firma electrónica" y "firma digital" se usan como sinónimos, pero no lo son. La ley habla de firma electrónica; "firma digital" describe cómo se construye por dentro.

La firma digital está dentro de la firma electrónica y se apoya en un certificado. Identificarse, en cambio, queda fuera: sirve para entrar en un servicio, no para firmar un documento.

Los cinco términos que conviene distinguir

Qué garantiza una firma bien hecha

Una firma electrónica sólida aporta cuatro garantías, que se repetirán en todo el manual:

• Autenticidad: se sabe quién firma.
• Integridad: si el documento cambia después de firmarlo, la firma deja de ser válida.
• No repudio: el firmante no puede negar razonablemente que firmó.
• Fecha cierta: con un sello de tiempo, se demuestra cuándo se firmó.

La confidencialidad (que solo lo lea el destinatario) no la da la firma, sino el cifrado. Son cosas distintas y se confunden a menudo.

Servicios de confianza

El reglamento europeo agrupa bajo "servicios electrónicos de confianza" lo que rodea a la firma: la emisión de certificados, los sellos de tiempo, el envío certificado electrónico y la conservación de firmas. Los prestadores que cumplen los requisitos más exigentes se llaman prestadores cualificados y figuran en listas de confianza oficiales.

3. Marco legal

En España la firma electrónica se rige por el Reglamento europeo eIDAS, que se aplica directamente, y por la Ley 6/2020, que lo completa; el reglamento eIDAS 2 de 2024 lo amplía con la cartera de identidad digital.

Las tres normas que importan

A ellas se suman normas de ámbito más amplio que condicionan cómo se usa la firma: la Ley 39/2015 de procedimiento administrativo, que fija qué identificación y firma admite la Administración, y el Reglamento General de Protección de Datos, que se aplica a los datos personales que contienen los certificados y los documentos firmados.

La regla clave: no discriminación y equivalencia

El artículo 25 del eIDAS contiene dos ideas que explican casi todo el valor jurídico de la firma:

1. A una firma electrónica no se le pueden negar efectos jurídicos ni admisibilidad como prueba en un juicio por el mero hecho de ser electrónica.
2. La firma electrónica cualificada tiene un efecto jurídico equivalente al de la firma manuscrita.

La consecuencia práctica es que cualquier firma electrónica puede valer como prueba, pero solo la cualificada se equipara automáticamente a la manuscrita. La avanzada y la simple valen según se pueda demostrar su fiabilidad. Los tipos se explican en el capítulo siguiente.

Qué cambió con la Ley 6/2020

La ley de 2020 sustituyó a la antigua Ley 59/2003 para adaptar el derecho español al reglamento europeo y evitar vacíos normativos. En la práctica, el vocabulario cambió: se dejó de hablar de firma "reconocida" y se usa el término europeo de firma "cualificada".

4. Tipos de firma y valor jurídico

El eIDAS distingue tres niveles de firma electrónica; cada uno exige más garantías que el anterior, y solo la cualificada equivale por ley a la firma manuscrita.

La pirámide se lee de abajo arriba: cuanto más arriba, más exigente es la firma y más fuerte su valor jurídico.

Los tres niveles

Los cuatro requisitos de la firma avanzada

Para considerarse avanzada, una firma debe cumplir todos estos requisitos del artículo 26 del eIDAS:

1. Estar vinculada al firmante de manera única.
2. Permitir identificar al firmante.
3. Haberse creado con datos que el firmante puede utilizar, con un alto nivel de confianza, bajo su control exclusivo.
4. Estar vinculada a los datos firmados de modo que cualquier modificación posterior sea detectable.

Qué significa "cualificada" en la práctica

La diferencia con la avanzada no es solo técnica, es probatoria. Con una firma cualificada, la carga de la prueba se invierte: quien niegue que la firma es suya es quien debe demostrarlo. Con una simple o avanzada, quien la presenta puede tener que demostrar su fiabilidad ante un juez, aunque nunca se le puede rechazar solo por ser electrónica.

Qué nivel exige cada situación

La regla de decisión es proporcional: cuanto mayor sea el valor económico, el riesgo de conflicto o la exigencia legal del documento, más alto debe ser el nivel de firma.

5. Cómo funciona por dentro

Una firma digital resume el documento en una huella única y la cifra con la clave privada del firmante; cualquiera puede comprobarla con la clave pública, que va incluida en el certificado.

Las dos claves aparecen destacadas: la privada firma y la pública comprueba. Si el texto cambia, la huella nueva ya no coincide con la original.

Las tres piezas

• Huella (hash). Una función matemática, como SHA-256, convierte cualquier documento en una cadena corta de longitud fija. Si cambia una sola coma del documento, la huella resultante es completamente distinta.
• Par de claves. Cada firmante tiene una clave privada, que solo él controla, y una clave pública, que puede conocer cualquiera. Lo que se cifra con una solo se descifra con la otra. Los algoritmos habituales son RSA y las curvas elípticas (ECDSA).
• Certificado. Un prestador de confianza firma un fichero que declara "esta clave pública pertenece a esta persona". Así se sabe de quién es la clave.

Qué ocurre al firmar

1. Se calcula la huella del documento.
2. La clave privada del firmante "firma" esa huella, es decir, la transforma con un cálculo que solo ella puede hacer.
3. El resultado, junto con el certificado del firmante, se une al documento o se guarda a su lado.

La clave privada nunca sale del dispositivo de firma (tarjeta, móvil, almacén protegido o servidor del prestador) y por eso es el elemento más sensible de todo el sistema.

Qué ocurre al verificar

1. Quien recibe el documento calcula de nuevo su huella.
2. Con la clave pública del certificado, comprueba la firma y obtiene la huella original.
3. Si las dos huellas coinciden, el documento no ha cambiado desde que se firmó.
4. Comprueba además que el certificado era válido en el momento de firmar: no caducado, no revocado y emitido por un prestador de confianza.

La cadena de confianza

El certificado del firmante está a su vez firmado por una autoridad de certificación (CA), y esta por otra superior, hasta llegar a una raíz que el sistema operativo, el navegador o las listas de confianza europeas ya conocen. Verificar una firma es recorrer esa cadena hacia arriba: si todos los eslabones son válidos, se confía en la identidad del firmante.

6. Certificados digitales

El certificado digital es el carné de identidad de la firma: lo emite un prestador de servicios de confianza, vincula tu clave pública con tus datos y caduca. En España el más extendido es el de la FNMT, junto al DNI electrónico.

Qué contiene un certificado

• Nombre y número de identificación del titular (o de la entidad).
• La clave pública del titular.
• El prestador que lo emite y su firma.
• Fechas de inicio y fin de validez.
• Los usos permitidos (firma, autenticación, cifrado).

Tipos de certificado

Dónde puede estar la clave privada

Prestadores en España

La FNMT-RCM (Fábrica Nacional de Moneda y Timbre) es el prestador público más usado por personas físicas. Existen otros prestadores cualificados privados y autonómicos, como ANF AC, Izenpe, ACCV o Firmaprofesional. La lista oficial de prestadores cualificados está en la lista de confianza que publica el Ministerio de Asuntos Económicos y Transformación Digital.

Vigencia, renovación y revocación

• Todo certificado caduca. El de persona física de la FNMT tiene una vigencia de cuatro años; conviene confirmar el plazo vigente en la sede de cada prestador.
• Se puede renovar antes de que caduque, durante un periodo previo, sin repetir toda la acreditación presencial.
• Se revoca si se pierde, se roba o se compromete la clave, o si cambian los datos del titular. Un certificado revocado ya no sirve para firmar nuevos documentos.
• Las firmas hechas antes de la revocación o de la caducidad siguen siendo válidas si se sellaron con fecha cierta, un asunto que se trata en el capítulo siguiente.

Cómo se obtiene un certificado de persona física de la FNMT

1. Solicitud por internet en la sede electrónica de la FNMT, que devuelve un código de solicitud.
2. Acreditación de la identidad en una oficina de registro, o por los medios remotos que el prestador habilite.
3. Descarga e instalación del certificado en el mismo equipo y navegador desde el que se pidió, o descarga en tarjeta o en otro soporte según el caso.
4. Copia de seguridad del certificado con contraseña robusta, guardada fuera del equipo.

La guía detallada de cada paso está en el capítulo 8.

7. Formatos de firma y sellado de tiempo

El formato de firma decide cómo se guarda la firma respecto al documento y cuánta información de validación lleva; para PDF se usa PAdES, para XML XAdES y para cualquier otro fichero CAdES, y el nivel con sello de tiempo es el que permite verificar la firma años después.

Los tres formatos principales

Para documentos que van a leer personas, PAdES es la elección habitual porque el destinatario solo necesita abrir el PDF. Para intercambio automático entre sistemas, XAdES y CAdES son más flexibles.

Posición de la firma respecto al documento

• Envuelta (enveloped): la firma va dentro del documento. Es lo normal en PDF.
• Envolvente (enveloping): el documento va dentro del contenedor de la firma.
• Separada (detached): la firma es un fichero aparte. Hay que conservar los dos juntos.

Niveles de una firma avanzada

Una firma no es válida siempre por el mero hecho de existir: depende de que el certificado siguiera vigente cuando se firmó. Los niveles añaden pruebas dentro de la propia firma para poder demostrarlo en el futuro.

Sello de tiempo

Un sello de tiempo es una firma de una autoridad de sellado (TSA) sobre la huella del documento y una hora fiable. Demuestra que el documento existía en ese instante y que no ha cambiado desde entonces. Es lo que permite que una firma siga siendo verificable aunque el certificado haya caducado después.

Qué formato elegir

1. Documento que leerá una persona: PAdES, nivel B-T como mínimo.
2. Factura electrónica o datos estructurados: XAdES.
3. Fichero que no es PDF ni XML: CAdES o un contenedor ASiC.
4. Documento que debe conservarse muchos años (actas, contratos, escrituras): nivel B-LTA o un servicio de conservación de firmas.

8. Guía práctica paso a paso

Para firmar con valor legal pleno hay tres caminos gratuitos en España: certificado digital con AutoFirma, DNI electrónico con AutoFirma o móvil con NFC, y Cl@ve Firma desde el navegador.

El árbol parte de lo que exige el trámite y termina en uno de los cuatro resultados destacados.

Qué camino elegir

Paso 1. Obtener el certificado

Sigue los cuatro pasos del capítulo 6: solicitud, acreditación de identidad, descarga y copia de seguridad. Haz la descarga en el mismo equipo y navegador de la solicitud, y no formatees el equipo entre medias.

Paso 2. Instalar AutoFirma

1. Entra en el portal oficial de firma electrónica de la Administración (firmaelectronica.gob.es) y ve a la sección de aplicaciones de firma.
2. Descarga la versión de tu sistema operativo desde ese portal, no desde buscadores ni anuncios.
3. Ejecuta el instalador y reinicia el navegador.
4. Abre la aplicación una vez para comprobar que arranca y detecta tu certificado.

Paso 3. Firmar un documento con AutoFirma

1. Abre AutoFirma y elige el fichero que quieres firmar.
2. Pulsa Firmar y selecciona el certificado cuando te lo pida.
3. Revisa el formato (PAdES para PDF) y, si la aplicación lo ofrece, el aspecto de la firma visible.
4. Guarda el resultado con otro nombre, para conservar el original sin firmar.

Paso 4. Firmar con Cl@ve Firma

1. Regístrate en Cl@ve en nivel avanzado, a través de la sede de la Administración, si todavía no lo estás.
2. En el servicio donde debas firmar, elige la opción de firma con Cl@ve.
3. Identifícate con el método que uses (clave permanente, PIN o aplicación) y confirma la firma.

La Administración reconoce la firma realizada así como cualificada.

Paso 5. Verificar una firma

1. Para un PDF, ábrelo en un lector que muestre el panel de firmas y comprueba que indica "firma válida" y que el documento no ha cambiado desde que se firmó.
2. También puedes usar el servicio de validación de firmas que ofrece el portal oficial de firma electrónica.
3. Comprueba quién firmó, con qué certificado y cuándo, y si lleva sello de tiempo.

Problemas frecuentes

9. Firma electrónica en la empresa

Una empresa debe elegir el nivel de firma según el riesgo de cada documento, usar una plataforma que conserve las pruebas de la firma y tener claro quién puede firmar en su nombre.

Qué nivel usar con cada documento

Algunos actos exigen forma especial por ley, como ciertas operaciones ante notario, y no se resuelven con una firma electrónica privada. Ante la duda, se consulta a la asesoría jurídica.

Qué debe ofrecer una plataforma de firma

• Verificación de la identidad del firmante, proporcional al riesgo.
• Registro de evidencias: quién, cuándo, desde dónde, qué versión del documento.
• Sellado de tiempo y formato estándar (PAdES) para verificar fuera de la plataforma.
• Conservación de los documentos y de las pruebas durante el plazo legal que corresponda.
• Cumplimiento del RGPD y alojamiento de datos en la Unión Europea, con contrato de encargado del tratamiento.
• Cumplimiento de eIDAS: indicar si ofrece firma avanzada o cualificada, ya que muchas plataformas ofrecen solo avanzada y no sustituyen al certificado cualificado en trámites públicos.

Quién puede firmar en nombre de la empresa

La firma de una persona vincula a la empresa solo si tiene poder para ello. Conviene mantener un registro interno de quién está apoderado, para qué importes y con qué límites, y usar certificados de representante o de empleado con representación para los trámites oficiales.

Un flujo de firma de contrato recomendado

El esquema siguiente resume el recorrido: preparación y revisión del documento, envío a las partes, verificación de identidad, firma, sellado y archivo con las evidencias.

Buenas prácticas internas

1. Definir una política de firma: qué documentos, qué nivel y quién firma.
2. Mantener un único repositorio con los documentos firmados y sus evidencias.
3. Formar a las personas que firman: qué significa firmar y cómo detectar suplantaciones.
4. Revocar el certificado de quien deja la empresa o cambia de puesto.
5. Revisar anualmente las caducidades de certificados, mediante un calendario o un recordatorio automático.

10. Cartera Europea de Identidad Digital

Antes de que acabe 2026, cada Estado de la Unión debe ofrecer al menos una cartera de identidad digital europea, una aplicación móvil gratuita y voluntaria para identificarse, guardar documentos digitales y firmar.

Qué es

La Cartera Europea de Identidad Digital (EUDI Wallet) nace del Reglamento (UE) 2024/1183. Funciona como una aplicación en el móvil donde la persona guarda su identidad y credenciales verificables, como el DNI, el permiso de conducir o titulaciones, y decide qué datos comparte con cada servicio. Su uso es voluntario y gratuito para los ciudadanos.

Qué cambia para la firma

• Se podrá firmar con valor de firma cualificada desde el propio móvil, sin instalar programas ni usar lectores de tarjetas.
• Quien necesite probar solo un dato, como ser mayor de edad, podrá hacerlo sin entregar el documento completo.
• La identificación y la firma funcionarán igual en los 27 Estados miembros.
• En España, la FNMT lidera el desarrollo de la cartera, que incluirá los datos básicos de identidad de la persona.

Calendario

El calendario de aceptación para el sector privado depende de los actos de ejecución y del país, por lo que conviene revisarlo con regularidad.

Qué debe hacer una empresa

1. Identificar en qué procesos acepta hoy una identificación del cliente: altas, contratos, banca, telecomunicaciones, transporte.
2. Comprobar con su proveedor de firma e identificación si habrá compatibilidad con la cartera.
3. No esperar a la obligación: la cartera añade un método, pero los certificados y Cl@ve seguirán funcionando mientras tanto.
4. Seguir las comunicaciones de la FNMT y del Ministerio sobre la cartera española.

Este capítulo se actualiza con rapidez; las fechas deben verificarse en las fuentes oficiales antes de tomar decisiones.

11. Seguridad, riesgos y buenas prácticas

La firma es tan segura como la custodia de la clave privada: casi todos los problemas reales vienen de claves compartidas, equipos infectados y engaños para que la víctima firme o entregue sus datos.

Riesgos más habituales

Diez normas de uso

1. La clave privada y su contraseña son personales e intransferibles.
2. Protege el certificado con una contraseña larga y única, guardada en un gestor de contraseñas.
3. Guarda una copia de seguridad cifrada fuera del equipo habitual.
4. Descarga el software de firma solo de portales oficiales.
5. Desconfía de cualquier mensaje que pida datos de certificado o códigos con urgencia.
6. Lee el documento entero antes de firmar y conserva el original sin firmar.
7. Usa sello de tiempo en documentos que deban conservarse años.
8. Cierra sesión y retira la tarjeta tras firmar en equipos compartidos.
9. Revoca el certificado de inmediato si sospechas que se ha comprometido.
10. Anota las fechas de caducidad y renueva con antelación.

Qué hacer ante un incidente

1. Revocar el certificado en la sede del prestador, por vía telefónica o electrónica según el caso.
2. Cambiar contraseñas de las cuentas relacionadas, empezando por el correo.
3. Revisar qué documentos se han firmado en el periodo sospechoso.
4. Comunicar el incidente a las partes afectadas y, si hay datos personales en riesgo, valorar la notificación a la autoridad de protección de datos en el plazo legal.
5. Solicitar un certificado nuevo.

12. Prácticas y ejercicios para formación

Las seis prácticas siguientes llevan al alumnado de entender los conceptos a firmar y verificar un documento real, y sirven como evaluación del manual.

Cuestionario de autoevaluación

1. ¿Qué diferencia hay entre firma electrónica y firma digital?
2. ¿Qué requisitos convierten una firma simple en avanzada?
3. ¿Por qué la firma cualificada invierte la carga de la prueba?
4. ¿Qué garantiza la huella de un documento y qué ocurre si se cambia una letra?
5. ¿Qué diferencia hay entre identificarse con Cl@ve y firmar con Cl@ve?
6. ¿Para qué sirve un sello de tiempo y qué pasa con una firma cuyo certificado caduca después?
7. Un cliente quiere firmar un presupuesto desde el móvil. ¿Qué nivel recomendarías y por qué?
8. ¿Qué pasos das si pierdes el portátil donde tenías el certificado?

Criterios de evaluación

• Distingue los conceptos y los niveles de firma con ejemplos propios.
• Elige el nivel adecuado ante un caso nuevo y lo justifica.
• Firma y verifica un documento siguiendo las normas de seguridad.
• Reconoce un intento de fraude y sabe cómo reaccionar.

Las prácticas 3 a 5 deben hacerse con documentos de prueba y con certificados reales solo bajo la supervisión del docente; ningún alumno debe compartir su certificado ni su contraseña.

13. Preguntas frecuentes y glosario

Preguntas frecuentes

¿Una firma escaneada o dibujada en pantalla tiene validez? Es una firma simple: no se puede rechazar solo por ser electrónica, pero no equivale automáticamente a la manuscrita. Su fuerza depende de las pruebas que la acompañen.

¿La firma avanzada sirve para Hacienda? No. Los trámites con la Administración exigen certificado, DNIe o Cl@ve, es decir, firma cualificada.

¿Cuánto cuesta firmar? Obtener el certificado de persona física de la FNMT, AutoFirma y Cl@ve es gratuito. Las plataformas privadas de firma cobran por suscripción o por documento.

¿Qué pasa si mi certificado caduca después de firmar? La firma sigue siendo válida si se firmó mientras estaba vigente y existe prueba de la fecha, de ahí la importancia del sello de tiempo.

¿Puedo firmar en nombre de mi empresa con mi certificado personal? El certificado personal te identifica a ti, no a la empresa. Para actuar por ella hacen falta poderes y, en trámites oficiales, un certificado de representante.

¿Puede firmar un gestor por mí? Debe hacerlo con su propio certificado y una representación válida, no con el tuyo.

¿Un PDF firmado se puede imprimir? Sí, pero la copia impresa solo tiene el valor que decida quien la recibe. Normalmente debe llevar un código seguro de verificación que permita comprobarla contra el original electrónico.

¿Hay que firmar siempre con certificado? No. Depende del nivel que exija el documento; muchas relaciones privadas funcionan con firma avanzada.

Glosario

14. Fuentes consultadas

Las fuentes siguientes se consultaron en octubre de 2026. Antes de aplicar una fecha o un requisito legal a un caso concreto, conviene contrastarlo en el texto oficial.

Oficiales

• Firma electrónica, portal de firma electrónica de la Administración
• Reglamento sobre la identidad digital europea (EUDI), Comisión Europea
• Reglamento (UE) 2024/1183, texto en EUR-Lex

Divulgativas y de prestadores

• Cartera Europea de Identidad Digital, Protección Data
• EUDI Wallet: plazo de diciembre de 2026, EADTrust
• eIDAS 2.0: cambios que introduce el nuevo reglamento, e-signature.eu
• Firma electrónica gratis: rutas legales en España, meetergo
• Ley de firma electrónica: en qué consiste y qué validez tiene, Docuten
• Autofirma y la firma electrónica en 2026, Portal Prestaciones
• Firma electrónica para asociaciones y ONG, Yousign
• Certificado digital en España: guía 2026, Legal Fournier