Firma con código de acceso vs OTP por email: cuándo usar cada una

Cuando configuras un envío de firma puedes añadir una capa extra de seguridad: que el firmante demuestre que es quien dice ser antes de poder firmar. Las dos opciones más habituales son el código de acceso (que tú le das) y el OTP por email (que la plataforma genera). En este artículo te decimos cuándo conviene cada una.

Por qué la firma sola no siempre basta

Una firma electrónica avanzada con audit trail ya tiene fuerza probatoria suficiente para la mayoría de contratos. Pero hay situaciones donde quieres elevar todavía más la barrera: contratos con valor económico alto, documentos legales delicados, firmas con clientes que no conoces bien o entornos donde la suplantación es un riesgo real (sector financiero, B2C online, gestoría con muchos firmantes externos).

En esas situaciones, el problema no es la validez legal, sino el riesgo operativo. Si alguien intercepta el enlace de firma (porque el email del firmante está comprometido, porque comparte ordenador, porque hace clic desde una red wifi pública), la firma se ejecuta con su nombre pero no fue él. Aunque la validez se mantenga, tienes una conversación incómoda con el firmante real.

Para evitar esa situación, las plataformas de firma seria ofrecen capas extra de autenticación. Las dos más habituales son el código de acceso y el OTP por email. Funcionan de forma distinta y sirven para casos distintos.

Código de acceso: el método cuando ya conoces al firmante

El código de acceso es una clave que tú defines al crear el envío y compartes con el firmante por un canal alternativo al email del envío. La clave puede ser cualquier cosa: una palabra, un número, una frase ("REPLAI-2026", "Madrid-Junio-08", "Acuerdo-NDA-Acme").

El flujo es:

1. Creas el envío en la plataforma y activas el toggle "Código de acceso".
2. Escribes una clave que solo tú y el firmante conocéis.
3. Mandas el documento por email como siempre.
4. Compartes la clave con el firmante por otro canal: una llamada telefónica, un WhatsApp, presencialmente en la oficina.
5. Cuando el firmante abre el enlace, antes de ver el documento se le pide la clave. Si la tiene, sigue; si no, no puede firmar.

Es una capa de seguridad simple pero eficaz. La gracia está en el canal alternativo: si alguien intercepta el email, no tiene la clave (que se ha compartido por teléfono o WhatsApp).

Cuándo conviene

Código de acceso encaja cuando ya tienes una vía segura con el firmante: contratos laborales con empleados a los que tienes acceso presencial o por teléfono, NDAs con proveedores con los que hablas regularmente, contratos con clientes recurrentes. En todos esos casos, la llamada de "te paso ahora la clave para firmar" es natural y no añade fricción.

OTP por email: el método cuando solo conoces al firmante por email

El OTP (One-Time Password) por email es una clave numérica de un solo uso que la plataforma genera y envía al correo del firmante en el momento de firmar. No la decides tú; la genera el sistema y caduca a los pocos minutos.

El flujo es:

1. Creas el envío y activas "OTP por email" como autenticación.
2. Mandas el documento al firmante.
3. El firmante abre el enlace y ve el documento.
4. Cuando hace clic en "Firmar", la plataforma le manda un email con un código de 6 dígitos.
5. El firmante introduce el código en la pantalla y entonces se desbloquea la firma.

La gracia es que demuestra que el firmante controla esa cuenta de correo. Si alguien interceptara el enlace original (ataque de phishing, email comprometido), tendría también que acceder al email del destinatario para conseguir el OTP. El coste del ataque sube mucho.

Cuándo conviene

OTP por email encaja cuando tu único canal de confianza con el firmante es el correo: clientes nuevos captados online, usuarios que se dan de alta en tu producto, firmantes a los que no conoces personalmente, cualquier flujo automatizado donde el contrato sale solo y no hay contacto humano previo.

Cuándo combinar las dos (y cuándo no)

Para la inmensa mayoría de contratos, una sola capa basta. Aplicar las dos a todo es una mala práctica porque añade fricción innecesaria y baja la tasa de cierre. Reglas prácticas que aplicamos en las implantaciones de clientes:

• Solo OTP por email: alta de cliente online, NDA con prospect, primer contrato con cliente nuevo, formularios automatizados.
• Solo código de acceso: contrato laboral con empleado conocido, NDA con proveedor habitual, renovación de contrato con cliente recurrente.
• Las dos a la vez: contratos críticos (acuerdo de socios, compraventa de empresa, acuerdo con valor económico alto), situaciones donde el firmante puede ser objeto de intentos de suplantación (alta dirección de empresas grandes, sector público).
• Ninguna de las dos (solo audit trail): contratos rutinarios con bajo riesgo (presupuestos pequeños, acuses de recibo, formularios internos).

El sistema bueno es el que sabe modular según el contexto. REPLAI Sign permite definir el nivel de autenticación por plantilla, así que no tienes que decidir cada vez.

Qué dice eIDAS sobre estos métodos

Aquí es donde mucha gente se hace lío. eIDAS NO exige un método de autenticación concreto. Lo que exige para la firma electrónica avanzada es que el sistema cumpla cuatro requisitos:

• Vincular unívocamente al firmante con la firma.
• Permitir identificar al firmante.
• Estar bajo el control exclusivo del firmante.
• Permitir detectar cualquier modificación posterior del documento.

Tanto el código de acceso como el OTP por email cumplen el control exclusivo y refuerzan la identificación. Por tanto, los dos son métodos de autenticación válidos para firma electrónica avanzada eIDAS.

Para la firma electrónica cualificada (el nivel máximo), eIDAS sí exige certificado cualificado emitido por un prestador de servicios de confianza europeo reconocido + dispositivo cualificado de creación de firma. Esa es otra liga: notaría, administraciones públicas y sectores muy regulados. Para tu PYME, casi nunca necesitarás llegar ahí.

Buenas prácticas operativas

• No reutilices códigos de acceso. La clave de un envío debe ser única para ese envío. Si la reutilizas en varios contratos, pierde eficacia.
• Comparte el código de acceso por canal distinto al email del envío. Si lo mandas también por email, eliminas la utilidad de la capa extra.
• No alargues los códigos de acceso más de 12-15 caracteres. Si son largos, el firmante los copia mal, se equivoca y se frustra. Una palabra simple + un número sobra.
• Documenta tu política internamente. Define qué tipo de contrato requiere qué nivel de autenticación. Sin política, cada comercial improvisa.
• Forma al equipo en el primer mes. La parte más débil de la cadena es el comercial que comparte el código por el mismo email que el envío.

Preguntas frecuentes