Que no te vendan gato por liebre: no toda “firma electrónica avanzada” es avanzada

Resumen:
Algunos proveedores venden una firma simple —o un certificado emitido por un PSC que no está facultado para emitirlo— como si fuera firma electrónica avanzada. Te explicamos la diferencia, por qué pesa el día que tengas que litigar, y 5 preguntas para confirmar tú mismo si tu "firma avanzada" de verdad lo es. 

Un proveedor te dice que su firma es “avanzada”. Suena sólido, suena a que ya quedaste blindado, y firmas con eso tus contratos (o peor, tus pagarés). Todo bien… hasta el día que necesitas hacer valer ese documento y descubres que la “avanzada” que te vendieron nunca lo fue. Las palabras eran las mismas. El respaldo legal, no.

Eso es vender gato por liebre. En firma electrónica pasa más de lo que uno esperaría, porque “avanzada” se dice fácil y se comprueba poco. Aquí te dejamos cómo saber si te están viendo la cara sin que tengas que ser abogado.

Dos firmas que suenan parecido pero no pesan igual

El Código de Comercio reconoce dos tipos de firma electrónica:

• La simple, que cumple con el artículo 89 del Código de Comercio, que identifica al firmante y vale legalmente. Sirve para muchísimas cosas y no tiene nada de malo.
• La avanzada (o fiable), que además de cumplir con el artículo 89, cumple requisitos específicos del artículo 97 y, en la práctica, se sustenta en un certificado de firma electrónica avanzada emitido por una autoridad facultada para ello (el SAT, vía e.firma, o un PSC acreditado para emitir certificados).

Las dos son válidas. La diferencia no es de validez, es de peso probatorio: cuánto te cuesta hacer valer esa firma el día que alguien la pelea. Por eso el problema no es usar firma simple. El problema es creer que tienes avanzada pero tienes simple sin enterarte.

Las frases que deberían prenderte el foco

Hay tres comodines que algunos proveedores usan para que su firma “suene” avanzada sin serlo:

• “Tenemos NOM-151.” Perfecto, pero eso es otra cosa. La NOM-151 (constancia de conservación) garantiza que el documento no se alteró y su fecha cierta (integridad), no quién firmó (atribución). Es valiosa, pero no convierte una firma en avanzada. “Usamos biometría / reconocimiento facial.” Genial para identificar, pero la biometría por sí sola tampoco vuelve avanzada a la firma.
• “Somos PSC.” ¿Pero PSC para qué? Un Prestador de Servicios de Certificación puede estar acreditado solo para sellos de tiempo o para conservación NOM-151 y, aun así, no estar facultado para emitir certificados de firma avanzada. Y aquí el detalle que casi nadie te explica: si un PSC emite certificados de firma sin esa acreditación específica, los emite fuera de su calidad de PSC. O sea, ese certificado no vale más que el que podría emitir cualquier empresa. Ninguna autoridad avaló ese servicio y nadie responde legalmente por él. El gafete de “PSC” cubre los servicios que sí tiene acreditados (sellos de tiempo, conservación), no el certificado de tu firma.

Ninguna de las tres es mentira por sí sola. El truco está en presentártelas como si equivalieran a “avanzada”. No equivalen.

El protocolo para no comprar gato por liebre

Cinco preguntas. Si tu proveedor las contesta limpio, vas bien. Si empieza a marear, ahí está tu respuesta.

1. Pregunta directo y por escrito: ¿es firma simple o avanzada? No te conformes con “firma con validez legal” ni “firma certificada”, son frases paraguas. Pide la categoría exacta y pídela por correo o en la ficha técnica. Que quede registrado.
2. Si te dicen “avanzada”, pregunta en qué certificado se sustenta. Una firma avanzada se sustenta en un certificado de firma electrónica avanzada. Que te digan quién lo emite.
3. Confirma que el emisor esté facultado para emitir certificados —no solo que sea PSC. Esta es la pregunta que separa el grano de la paja: “¿tienen acreditado el servicio de emisión de certificados digitales?” (o, si usan e.firma del SAT, eso también cuenta). Ser PSC para otros servicios no alcanza.
4. Verifícalo tú mismo en el directorio oficial. No te quedes con su palabra. La Secretaría de Economía publica el directorio de PSC acreditados con el detalle de qué servicios tiene cada uno y su fecha de publicación en el DOF (https://psc.economia.gob.mx/directorio.html). Busca al proveedor, o a su emisor,  y revisa que aparezca “emisión de certificados digitales”. Si solo ves “sellos digitales de tiempo” y “conservación de mensajes de datos”, no está facultado para emitir certificados de firma avanzada. Punto.
5. Pide ver el certificado de la firma, no solo la constancia de conservación. Que te muestren un ejemplo real y revisa quién emite el certificado del firmante. Si lo emite la CA interna del propio proveedor y ese proveedor no está acreditado para emisión, recuerda lo de arriba: ese certificado vale lo mismo que el que emitiría cualquier empresa. Sin respaldo de autoridad ni responsabilidad de PSC detrás.

Por qué te importa (y no es trámite)

Mientras nada se pelea, todo se ve igual. La diferencia aparece justo donde más duele: en tribunales.

Con una avanzada de verdad, es decir sustentada en un certificado de firma electrónica avanzada emitido por emisor acreditado, la fiabilidad prácticamente se presume: si alguien la quiere tumbar, la carga de probar que no sirve es de la contraparte. Con una “avanzada” de mentiritas, la carga se voltea hacia ti: de acuerdo al último párrafo del artículo 97 del CCom, tendrías que demostrar, con peritaje y desde la demanda, que tu firma cumplía los requisitos. Pasas de tener el viento a favor a empezar cuesta arriba.

Y pega más fuerte en títulos de crédito. Ya hay criterios judiciales recientes, todavía discutibles, pero ahí están, exigiendo que un pagaré digital se firme con avanzada para producir efectos de título de crédito. No querrás descubrir, a media ejecución, que la firma de tus pagarés era simple disfrazada.

En resumen

No se trata de que la firma simple sea mala, sirve, y mucho. Se trata de que sepas exactamente qué estás usando y de que nadie te venda liebre por gato. La defensa contra el gato por liebre no es desconfiar de todo: es hacer cinco preguntas y verificar una lista pública. Cinco minutos hoy te ahorran una sorpresa en juicio mañana.

Si un proveedor es transparente con qué firma ofrece y por qué, te lo va a contestar sin rodeos. Si no… ahí tienes tu respuesta.