Un contrato firmado, su certificado y cómo comprobarlo
Cuando todos han firmado, usted y cada firmante reciben tres cosas: la copia firmada, el certificado de firmas, que es la constancia propia de QuoteBill del proceso de firma, y un archivo de evidencias que cualquiera con una copia puede comprobar en su navegador, incluso después de que el contrato se haya eliminado.
Firma electrónica simple con registro de auditoría
- Texto fijado con huella digital SHA-256
- Registro de auditoría encadenado con hashes
- Verificable por quien tenga una copia
Lo que recibe cuando todos han firmado
La copia firmada. Imprima el contrato o guárdelo en PDF desde la página del contrato; cada firmante puede hacer lo mismo desde su enlace durante 30 días después de completarse. La copia lleva la referencia, la huella digital y las firmas, seguidas del certificado.
El certificado de firmas: la constancia propia de QuoteBill del proceso de firma, impresa después del contrato. No es un certificado emitido por un prestador de servicios de confianza. Indica quién firmó por cada parte, cómo y cuándo, cómo accedió cada firmante y cada evento registrado hasta la finalización.
El archivo de evidencias (.evidence.json). Un PDF impreso cambia de un dispositivo a otro, así que sus bytes no prueban nada; este archivo no cambia. Contiene el texto exacto fijado, su huella digital y el certificado, y se genera en su propio navegador: QuoteBill no lo guarda. Puede descargarlo desde la página del contrato una vez completado; un firmante puede hacerlo desde su enlace mientras siga abriéndose.
El certificado y la comprobación, tal como se ven
Un certificado de un contrato inventado y la página de verificación tras una coincidencia.
El certificado: el resumen, los datos de verificación (referencia, huella digital, hash del certificado y dirección de la página de verificación), cada firmante, el consentimiento otorgado, los enlaces generados y el registro de auditoría. 
Una coincidencia en la página de verificación: completado en esta fecha con este número de firmas, y el hash del certificado que debe figurar en su copia.
Cómo comprobar un contrato que ha recibido
No necesita nada más que la copia. La comprobación está publicada línea por línea en la guía, para que cualquiera pueda repetirla con sus propias herramientas.
Busque los dos valores en el certificado
En «Datos de verificación», el certificado imprime la referencia (QBC-XXXX-XXXX-XXXX) y la huella digital, un valor SHA-256 de 64 caracteres. La dirección impresa a su lado abre la página de verificación con ambos ya rellenados.
Introdúzcalos en la página de verificación
Una coincidencia indica en qué fecha se completó un contrato con exactamente este texto, con cuántas firmas, y muestra el hash del certificado: debe ser el mismo que el impreso en su copia. No se muestra nada más, ni nombres ni contenido, y la respuesta sigue disponible aunque el contrato se elimine.
O suelte el archivo de evidencias
En la misma página, elija «Verificar un archivo de evidencias». Su navegador recalcula la huella digital, recorre el registro de auditoría desde su primer hash hasta el de finalización y vuelve a calcular el hash de cada firma; solo entonces pregunta a QuoteBill si la referencia y la huella coinciden, y no envía nada más. Si todas las comprobaciones son correctas, la página muestra el contrato y el certificado del archivo.
Sepa lo que significa una coincidencia
Una coincidencia muestra que un contrato con exactamente este contenido se completó a través de QuoteBill y que el registro está intacto. No muestra quiénes eran los firmantes ni es una opinión jurídica.
Lo que recoge el certificado
El certificado es el mismo para todas las partes. Las horas están en UTC, según el reloj de la base de datos de QuoteBill.
| Sección | Lo que muestra |
|---|---|
| Resumen | El estado (completado: todas las partes han firmado), la hora de finalización en UTC y en su hora local, cuándo se envió, el correo de la cuenta del remitente y una línea por parte: quién firmó, con qué método y cuándo. |
| Datos de verificación | La referencia, la huella digital SHA-256 del texto fijado, el hash del certificado y la dirección de la página de verificación, seguidos de las dos formas de comprobarlo. |
| Cada firmante | El nombre con el que fue invitado y el nombre con el que firmó, su cargo, el método (firma dibujada, escrita o imagen subida de un sello o de una firma), cómo accedió (el remitente con sesión iniciada en su cuenta; un enlace con el código de acceso enviado por separado; o solo un enlace), el número de códigos incorrectos y de enlaces generados, la hora, la dirección IP y el navegador de la firma, el hash de la firma y la propia firma. Se señala al firmante que usó la misma dirección IP que el remitente. |
| Consentimiento | El texto de consentimiento que aceptó cada firmante, palabra por palabra, con su versión e idioma, y quién lo aceptó. |
| Enlaces generados | Cada enlace de firma generado para cada parte, con su número y la hora. Los enlaces en sí nunca se guardan, solo sus hashes. |
| Registro de auditoría | Cada evento, desde la creación hasta la finalización, con su hora: envío, enlace generado, apertura, código incorrecto, bloqueo, enlace desactivado, consentimiento, firma, rechazo, impresión, denuncia, cambio de fecha límite, recordatorio preparado, finalización. En una acción del remitente o de un firmante, también su dirección IP y su navegador; un recordatorio, un cambio de fecha límite y los eventos del sistema no los llevan. Una denuncia aparece en la lista, nunca su texto. |
| Resultado de la cadena | Si la cadena de auditoría está intacta, con el número de eventos, y el hash del certificado: el hash del evento de finalización, que cierra la cadena. |
| Notas | Que esto registra una firma electrónica simple y QuoteBill no verifica identidades; de dónde proceden las direcciones IP; que el remitente entregó los enlaces; que no se detectan caracteres de aspecto similar en los nombres; y, si se usó la imagen de un sello, que es una imagen, no un sello registrado. |
La dirección IP es la que el proveedor de alojamiento de QuoteBill comunica a su base de datos. Identifica una conexión de red, no a una persona.
Preguntas sobre las pruebas
¿Puedo comprobar un contrato después de eliminarlo?
Sí. Cuando se elimina un contrato completado, queda un pequeño registro sin nombres ni contenido para que las copias sigan siendo verificables: la referencia, la huella digital, la hora de finalización, el número de firmas y el hash del certificado.
¿Qué diferencia hay entre la huella digital, el hash de una firma y el hash del certificado?
La huella digital es el SHA-256 del texto fijado: indica qué texto se firmó. El hash de una firma cubre una sola firma: quién firmó, con qué método, el consentimiento, la hora y la dirección IP. El hash del certificado es el hash del último evento del registro de auditoría, en el que influyen todos los eventos anteriores, de modo que representa el registro completo.
¿Y si alguien modifica su PDF?
Una coincidencia en la página de verificación confirma la referencia y la huella digital, no las palabras impresas en un PDF. Para comprobar las palabras, compruebe el archivo de evidencias: su texto debe reproducir la huella. Su propio archivo de evidencias, guardado al completarse el contrato, deja claro qué se firmó.
¿Por qué mi contrato no tiene archivo de evidencias?
Los contratos completados antes de que existieran los archivos de evidencias, y el raro registro demasiado grande para un archivo (más de 3 MB), solo pueden comprobarse por su referencia y su huella digital. La página lo indica en lugar de ofrecer un archivo.
¿Quién puede descargar el archivo de evidencias y hasta cuándo?
El remitente, desde la página del contrato, mientras se conserve el contrato. Cada firmante, desde su propio enlace, que deja de funcionar 30 días después de completarse; el aviso de finalización que usted puede copiar les pide guardar su copia a tiempo.
¿Qué guarda de mí la página de verificación?
Nada sobre usted. Responde a partir del registro de finalización; lo único que guarda es un contador temporal, guardado como hash, que limita la frecuencia de consultas contra el abuso. El archivo de evidencias nunca sale de su navegador; solo se envían la referencia y la huella digital.
¿Dónde están las reglas exactas de la comprobación?
En la guía sobre firmas electrónicas (en inglés), línea por línea: cómo se calculan la huella digital, el hash de cada evento, cada declaración de firma y el hash de finalización. Cualquiera puede repetir la comprobación con sus propias herramientas.
Siguiente
Pruebas que puede entregar a cualquiera
Guarde el PDF firmado y el archivo de evidencias en cuanto se complete el contrato. Cualquier persona a quien entregue una copia podrá comprobarla, sin cuenta y sin preguntarle a usted.