Audit trail en firma electrónica: la prueba que tu legal necesita
Un PDF firmado sin audit trail vale poco ante un juez. Lo importante no es la imagen de la firma sobre el papel, es el rastro criptográfico de quién firmó, cuándo, desde dónde y con qué dispositivo. En este artículo te contamos qué tiene que llevar un audit trail serio.
¿Qué es exactamente un audit trail y por qué importa tanto?
El audit trail (o "pista de auditoría") es el registro inmutable y cronológico de todos los eventos que ocurren entre que envías un documento a firmar y que el último firmante lo cierra. Es la prueba de que ese documento se firmó en esas condiciones concretas y no en otras: quién, cuándo, desde dónde, cómo y con qué método de autenticación.
Un audit trail completo recoge, como mínimo, estos campos por cada evento: tipo de evento (enviado, entregado, abierto, firmado, rechazado, completado), timestamp UTC con precisión de milisegundos, IP del firmante, user-agent del navegador o app, geolocalización aproximada (a partir de IP) y el método de autenticación usado (OTP por email, código de acceso compartido fuera del canal, certificado digital).
La utilidad real del audit trail aparece cuando hay disputa. Sin él, un PDF con una firma escaneada vale poco. Con él, tienes una cadena de evidencia que cualquier juzgado mercantil acepta como prueba en primera instancia.
Por qué tu departamento legal va a pedirte siempre el audit trail
Imagina un escenario real: un proveedor impugna un NDA firmado hace dos años porque dice que no fue él quien firmó, sino su antiguo socio. Sin audit trail tienes solo un PDF con su nombre escrito y una imagen de firma. Con audit trail tienes:
- Que el email de invitación se envió a su dirección verificada (la del dominio de su empresa, no a un Gmail personal).
- Que el servidor SMTP confirmó la entrega (con headers DKIM y SPF).
- Que el documento se abrió desde su rango de IPs corporativo habitual.
- Que la sesión de lectura duró 3 minutos y 47 segundos (no fue un clic de despiste).
- Que la firma se ejecutó desde un User-Agent compatible con Chrome 124 en Windows 11 (su sistema operativo declarado).
- Que recibió la copia firmada y la abrió 12 minutos después.
Eso es prueba documental suficiente para que la impugnación caiga sin necesidad de peritaje. El coste para tu empresa de defender la firma con audit trail vs sin él se mide en miles de euros y semanas de gestión.
¿Qué debe llevar un audit trail serio?
Una buena pista de auditoría incluye, como mínimo, estos elementos:
- Hash criptográfico del PDF original, calculado antes de empezar el proceso de envío. Esto fija el documento "tal como se mandó a firmar".
- Hash final del PDF firmado y sellado, que permite verificar que el documento no ha sido modificado después de la firma. Si alguien lo retoca, el hash cambia y la cadena se rompe.
- Eventos por firmante: email enviado, email entregado (con confirmación SMTP), email abierto (si activas tracking), documento abierto, documento firmado, copia enviada.
- Datos del firmante validados: nombre, email, rol asignado (firmante, validador, testigo), método de autenticación usado.
- Sellado de tiempo cualificado (TSA, Time Stamping Authority): una firma criptográfica externa que prueba que el documento existía a esa fecha exacta. Sin TSA, alguien podría argumentar que la fecha del documento es manipulable.
- Cadena de custodia documentada: dónde se almacenó el documento, quién accedió a él, cuándo se descargó.
El detalle del TSA que mucha gente ignora
El sellado de tiempo cualificado es lo que diferencia un audit trail bonito (presentable, pero discutible) de uno legalmente sólido. El TSA cualificado lo emite un prestador de servicios de confianza europeo reconocido en la lista oficial de la Comisión. Si tu proveedor de firma no incluye TSA cualificado o cobra extra por ello, eso es una bandera roja.
Cómo verificar un audit trail recibido de un tercero
Tarde o temprano recibirás documentos firmados por terceros (proveedores, clientes, partners) con su audit trail incluido. Saber leerlo te ahorra discusiones y te permite detectar firmas dudosas:
- Abre el documento PDF firmado. Si tu visor (Adobe, Foxit) muestra el panel de firmas, verás un sello verde si la firma es válida y el documento no se ha modificado.
- Comprueba la cadena de certificados: el certificado del firmante debe estar emitido por una entidad europea reconocida. Si aparece "untrusted" o "unknown CA", desconfía.
- Lee el certificate of completion o PDF probatorio asociado: revisa los eventos, los timestamps y que las IPs sean coherentes con la ubicación esperada del firmante.
- Compara los hashes. El hash final del documento tiene que coincidir con lo declarado en el audit. Si tu visor lo verifica automáticamente, mejor.
Si quieres una verificación más profunda, herramientas como el Validador de la Sede Electrónica del Gobierno de España (VALIDe) o los visores oficiales europeos verifican firmas eIDAS gratuitamente.
Cómo lo entrega REPLAI Sign en cada envío
REPLAI Sign genera, por cada envío finalizado, un PDF probatorio independiente del PDF firmado. Ese PDF probatorio incluye toda la pista de auditoría con sus 30+ eventos por firmante, los hashes criptográficos del documento original y firmado, la huella del TSA cualificado y los datos validados de cada firmante. Esto se hace por defecto, sin tener que activarlo ni pagar extra.
El flujo en el día a día:
- Mandas el documento desde la plataforma.
- El sistema registra cada evento en tiempo real.
- Cuando el último firmante cierra, se genera el PDF probatorio.
- Descargas el PDF firmado + el PDF probatorio y los archivas juntos en tu gestor documental.
- Si tu carpeta de cliente está en Google Drive o OneDrive, REPLAI puede archivarlos automáticamente vía integración.
Si algún día hay litigio, ese par de archivos es tu prueba. Sin trabajo extra y sin sustos.
Errores comunes que vacían el valor de un audit trail
- Borrar el certificado pensando que solo importa el PDF firmado. Sin audit trail asociado, el PDF firmado pierde la mayor parte de su fuerza probatoria.
- Recortar el audit trail al guardar. Algunas plataformas ofrecen "versión resumida" del certificado. Resiste la tentación: lo importante para legal es el detallado completo.
- No archivar en el plazo legal mínimo. Los contratos mercantiles habituales obligan a conservar 6 años. Si borras antes "porque ocupaba mucho", te quedas sin defensa si surge una reclamación.
- Conservarlo en almacenamiento sin acceso de respaldo. Si todo está solo en el cloud del proveedor de firma y un día el servicio cae o desaparece, perdiste la cadena. Doble archivo siempre.
- Tratar la fecha del documento sin TSA. La fecha sin sellado cualificado es discutible. Para fechas críticas (entrega, prescripción), exige TSA.
Preguntas frecuentes
¿El audit trail se puede manipular después de la firma?
No fácilmente. Cada evento está firmado criptográficamente con la cadena de certificados del proveedor. Modificar un solo evento invalida la cadena entera y la manipulación se detecta al verificar los hashes con cualquier herramienta de validación eIDAS. La integridad criptográfica es lo que diferencia el audit trail de un simple log de texto.
¿Cuánto tiempo debo conservar el audit trail?
Lo mismo que el contrato firmado. Para contratos mercantiles habituales, mínimo 6 años desde la finalización del contrato (Código de Comercio art. 30). Para contratos laborales, entre 4 y 10 años según el régimen aplicable. Para temas tributarios, 4-10 años. Como regla práctica: 10 años cubre la mayoría de casos.
¿La IP del firmante se puede tratar legalmente bajo RGPD?
Sí. La IP es dato personal pero su tratamiento está amparado por el interés legítimo (acreditar la firma) y la ejecución contractual. Documenta este tratamiento en tu registro de actividades del art. 30 RGPD para evitar problemas en una inspección.
¿Funciona el audit trail con la firma manuscrita digital (con el dedo)?
Sí, plenamente. El audit trail captura los mismos eventos independientemente del método. La firma manuscrita digital añade la imagen del trazado al PDF, pero NO es lo que da fuerza probatoria por sí sola. Lo importante es la cadena de eventos + hashes que el audit trail certifica. Sin audit, la firma con el dedo es prácticamente cualquier cosa.
¿Quieres firmar con plena validez legal?
REPLAI Sign integra firma electrónica avanzada con audit trail, validador, OTP y QR para móvil. Prueba la suite 30 días y firma tu primer documento hoy.
Prueba REPLAI 30 días gratis Conocer REPLAI Sign →