Imagina la escena: tu equipo de recuperación de cartera inicia un juicio ejecutivo mercantil sustentado en un pagaré digital. El documento fue firmado mediante una firma electrónica avanzada y cuenta con la constancia de conservación de mensajes de datos de conformidad con  la NOM-151. Por lo tanto, tienen plena confianza en el blindaje tecnológico. Sin embargo, el Juez  desecha la demanda o niega el auto de exequendo. ¿El motivo? El pagaré carece de la mención expresa del lugar y/o de la fecha de suscripción en el cuerpo de texto. La contraparte interpone con éxito la excepción de falta de requisitos esenciales.

Como directores jurídicos y abogados in-house, la adopción de esquemas digitales es indispensable para la agilidad del negocio. No obstante, en el ecosistema judicial mexicano existe una premisa dogmática rigurosa: la equivalencia funcional no purga los vicios formales ni los requisitos de eficacia de los títulos de crédito. En ese sentido,  el artículo tiene como objetivo delimitar la doctrina y criterios judiciales vigentes para prevenir contingencias procesales.

La paradoja de la “cura digital”

En la práctica corporativa suele cometerse un error de apreciación técnica y jurídica: asumir que la emisión de un sello digital de tiempo y una constancia de conservación “sanan” o convalidan las deficiencias del título. Esto conlleva a la equivocación de mezclar la integridad del mensaje de datos con los requisitos literales que debe contener el pagaré.

La doctrina mercantil mexicana y los criterios de los diversos tribunales determinan que los títulos de crédito son formales por excelencia. El artículo 170 de la Ley General de Títulos y Operaciones de Crédito (LGTOC) es taxativo. Los elementos esenciales —singularmente la fecha y el lugar de suscripción— determinan cuestiones procesales críticas como la competencia por territorio, la prescripción de la acción y la capacidad jurídica del suscriptor al momento de obligarse.

Una constancia de conservación emitida por un Prestador de Servicios de Certificación (PSC) únicamente acredita dos elementos: que el mensaje de datos no ha sido alterado desde su firma (integridad) y el momento exacto en que surgió en su forma definitiva (fecha cierta de conservación). Sin embargo, la NOM-151 no tiene el alcance normativo de reponer los requisitos formales que la ley sustantiva exige para la constitución del título. Si el pagaré nace incompleto, la tecnología no subsanará su naturaleza de documento nulo o carente de aparejada ejecución.

Doctrina judicial: El Principio de Unidad (incorporación) del Título frente a la literalidad

Para estructurar defensas robustas, el abogado in-house debe dominar los alcances del Principio de Unidad del Título.

De conformidad con la regulación mercantil, el pagaré constituye una unidad jurídica indivisible. Uno de sus requisitos es la firma del suscriptor (sea autógrafa, electrónica simple o avanzada), que únicamente presume la autoría y vinculación de la totalidad de las declaraciones contenidas en el instrumento. En relación con los demás requisitos del pagaré, la Suprema Corte de Justicia de la Nación ha sostenido históricamente que el legislador no impuso una distribución espacial o cronológica restrictiva dentro del papel o archivo para asentar los datos; por ende, si el lugar y/o fecha de suscripción constan de manera clara en el proemio, en las cláusulas o en el cierre del documento, el requisito del artículo 170, fracción V, se tiene por satisfecho.

El riesgo litigioso de confiar exclusivamente en los metadatos

Por otra parte, bajo la óptica del derecho informático y los artículos 5o. Bis y 17 de la LGTOC (en concordancia con los principios de equivalencia funcional y neutralidad tecnológica del Código de Comercio), los metadatos, logs de auditoría y archivos XML forman parte integral del mensaje de datos. Técnicamente, las coordenadas de geolocalización registran de forma aproximada dónde y cuándo se plasmó la firma, sin embargo, este elemento no deben considerarse como sustitutos perfectos o equivalente de la fracción V, del art. 170 de la LGTOC:

“Artículo 170.- El pagaré debe contener:

  V.- La fecha y el lugar en que se subscriba el documento

…”

En tales condiciones, trasladar esta lógica técnica al estricto formalismo del juicio ejecutivo mercantil implica un riesgo por las siguientes razones jurisprudenciales:

• Principio de Literalidad: El derecho incorporado en el título se mide exclusivamente por lo que de forma expresa e inequívoca se asiente en él. Exigirle al juzgador que extraiga el lugar de suscripción mediante el análisis o peritaje de los metadatos o una cadena de caracteres hexadecimales desnaturaliza la sumariedad de la vía ejecutiva.
• Criterios judiciales: Existen criterios judiciales, en específico la tesis 1a./J. 11/2011 (10a.) que permiten tener una lectura menos restrictiva :…cuando en el texto del documento material en el que se plasma el pagaré existe el señalamiento de un lugar que razonablemente puede considerarse el de suscripción, debe tenerse por satisfecho ese requisito formal, aun cuando dicha referencia se encuentre después de la firma del suscriptor…

Asimismo, la resolución D.C. 155/2025 del Decimosexto Tribunal Colegiado en materia Civil del primer circuito, consideró que: …a juicio de este tribunal es aplicable al régimen electrónico, dado que el elemento determinante, no es el medio físico, sino la existencia de una referencia clara y razonable al lugar de suscripción dentro del propio documento. En los títulos electrónicos, esa identificación puede constar en la sección de metadatos o dentro del certificado de vinculación de firma electrónica, el cual forma parte indivisible del documento conforme a los principios de integridad…

No obstante lo anterior, depender de que el metadato “salve” la omisión del texto literal abre una ventana para que el demandado oponga con éxito excepciones en contra de la ejecución, convirtiendo un juicio sumario en un procedimiento ordinario de larga duración.

Matriz de prevención: Checklist de blindaje para el diseño legal digital

Para mitigar riesgos, se sugiere evaluar los elementos tecnológicos contra el siguiente control jurídico:

1. Firma Electrónica Avanzada / Simple

• Acreditación Procesal: Atribución e identidad. Demuestra la manifestación de la voluntad del deudor  y vincula al firmante con el contenido del documento electrónico bajo la presunción de atribución.
• Riesgo de Omisión: No convalida la ausencia de requisitos del Art. 170 de la LGTOC, es decir,  la firma de un pagaré sin mención de lugar y/o fecha de suscripción sigue siendo procesalmente defectuosa.

2. Constancia de Conservación (NOM-151)

• Acreditación Procesal: Integridad y no alteración. Genera la garantía legal de que el pagaré no ha sido modificado desde el momento  de su firma (integridad) y otorga fecha cierta.
• Riesgo de Omisión: No dota de validez sustancial al contenido. Si el texto del pagaré carecía del lugar de pago y/o fecha de suscripción, la NOM-151 únicamente dará certeza de integridad en el tiempo, no subsanará la omisión.

Conclusión

En el diseño de estrategias digitales, la tecnología jamás debe operar como el sustituto de requisitos de formalidad legal. La firma electrónica avanzada o simple y la constancia de conservación NOM-151 constituyen herramientas probatorias en juicio relativas a la atribución e integridad del mensaje de datos. Sin embargo, carecen de la facultad jurídica para subsanar la nulidad relativa de un título de crédito mal estructurado desde su origen que carezca de lugar y fecha de suscripción.

Para el área jurídica in-house, el éxito de la transformación digital no radica en cuántos pagarés automatizados se emiten, sino en cuántos de ellos resisten de forma satisfactoria un examen de excepciones procesales en un tribunal. En consecuencia, deben asegurarse que la creación del pagaré digital, literalmente contenga el lugar y la fecha de suscripción dentro del cuerpo; ya que es la única vía cierta para mantener la aparejada ejecución y salvaguardar los activos financieros de la compañía.

The post El pagaré electrónico que no se pudo cobrar: Lecciones procesales sobre el artículo 170 de la LGTOC appeared first on Mifiel Blog.

Este artículo es parte de la serie “Firma electrónica en juicio: lo que está pasando del lado del demandado.” Si llegaste directamente aquí, el artículo introductorio te da el marco completo.

La firma electrónica simple es la categoría más amplia y la más heterogénea del panorama de la firma electrónica en México. Bajo el paraguas del artículo 89 del Código de Comercio caben desde un clic en un checkbox hasta una verificación biométrica facial con prueba de vida. Lo que las unifica es que identifican al firmante y tienen validez legal. Lo que las diferencia es algo que no siempre se ve en el documento: dónde vive la evidencia de que esa persona específica firmó ese documento específico.

Esa diferencia es la que determina si la atribución puede someterse a verificación independiente o si depende del acceso a los sistemas internos de quien demanda.

La cadena de atribución

Para que una firma electrónica simple pueda acreditar que una persona determinada firmó un documento determinado, tiene que existir una cadena que conecte tres elementos: la identidad de la persona, el mecanismo de autenticación utilizado, y el documento firmado.

Cómo se construye esa cadena y dónde se almacena es lo que determina si puede verificarse de forma independiente.

Los mecanismos y su problema estructural

Cuando la firma se sustenta en un OTP enviado por SMS, la cadena funciona así: se envía un código a un número de teléfono, alguien lo ingresa, y el sistema registra que ese código fue ingresado en el contexto de ese documento. Cada eslabón de esa cadena vive en los sistemas internos de la plataforma: qué número recibió el código, si ese número estaba verificado como perteneciente al firmante, qué logs existen del evento.

Cuando la firma se sustenta en un enlace enviado por correo electrónico o en un NIP, la cadena es similar y el problema estructural es el mismo: la evidencia de que ese correo o ese número pertenecía a esa persona, de que el mecanismo fue utilizado para ese documento específico, y de los registros del evento vive en sistemas internos.

En todos estos casos, si la parte actora no puede producir esa evidencia en formato auditable para un perito externo, la estructura del problema es idéntica a la de los bancos: la evidencia de autenticación vive en sistemas que solo una de las partes controla, y cuando no puede producirse de forma independiente, el principio de facilidad probatoria opera.

El OTP tiene además una vulnerabilidad sustantiva que va más allá de la estructura probatoria: prueba que alguien con acceso al número de teléfono recibió e ingresó un código en ese momento. No prueba que ese alguien sea la persona cuya identidad se invoca. La diferencia entre acceso a un número e identidad del titular es un argumento independiente que puede plantearse con o sin el problema de verificabilidad.

El contraste: cuando la evidencia viaja con el documento

Hay mecanismos de firma simple donde la evidencia de atribución no vive en sistemas internos sino en el documento mismo.

Cuando la firma se sustenta en verificación biométrica facial con prueba de vida, y esa verificación queda encodeada dentro del propio documento (la selfie, la prueba de vida, la fotografía de la identificación oficial), la evidencia no requiere acceso a ningún sistema externo para ser examinada. Cualquier parte puede ver quién se verificó, con qué identificación, y confirmar que esa evidencia corresponde al documento que se presenta en juicio.

Esta arquitectura resuelve el problema estructural que tienen los mecanismos basados en OTP o correo: la atribución no depende de logs internos sino de evidencia que viaja con el documento y puede ser verificada de forma independiente.

La distinción no es entre firma simple válida e inválida. Es entre firma simple cuya atribución puede verificarse de forma independiente y firma simple cuya atribución depende del acceso a sistemas que solo la plataforma controla.

La conexión con el caso bancario

La jurisprudencia 1a./J. 17/2021 (10a.) de la Suprema Corte no habló de OTP específicamente. Habló de sistemas donde la evidencia de autenticación no puede producirse en formato auditable para verificación independiente. Los bancos perdieron porque sus logs de autenticación vivían en sistemas internos que no podían peritiarse externamente.

La misma lógica aplica cuando una firma simple sustentada en OTP o correo electrónico llega a juicio y la parte actora no puede producir la cadena de atribución en formato que un perito externo pueda verificar. El principio es el mismo. El contexto cambia. El resultado puede ser el mismo.

Lo que estamos viendo

El uso de OTP como mecanismo de firma está extendido en servicios financieros, telecomunicaciones y comercio electrónico. En muchos casos funciona operativamente y los documentos se firman sin controversia. El problema aparece cuando hay una disputa y la parte demandada, sin negar la presunción de atribución, solicita los elementos técnicos necesarios para realizar una pericial que permita verificarla de forma independiente. Si la plataforma no puede producirlos en formato auditable, el principio de facilidad probatoria opera.

La pregunta que todavía no tiene respuesta jurisprudencial consolidada fuera del contexto bancario es la misma que resolvió la Suprema Corte para los bancos: si la plataforma no puede producir la cadena de atribución en formato auditable, ¿quién carga con la prueba?

Los fundamentos para responder esa pregunta de la misma manera que se respondió para los bancos ya están establecidos. El recorrido judicial específico para firma simple con OTP está comenzando.

Los vectores que documenta esta serie no son un catálogo cerrado. Son los patrones que hemos visto operar en tribunales o que tienen bases jurídicas suficientes para operar pronto. El artículo introductorio de la serie ofrece el marco que los conecta y la lógica que los unifica. 

The post OTP, correo, NIP: dónde vive la evidencia de que esa persona firmó appeared first on Mifiel Blog.

Este artículo es parte de la serie “Firma electrónica en juicio: lo que está pasando del lado del demandado.” Si llegaste directamente aquí, el artículo introductorio te da el marco completo.

Es común encontrar contratos firmados mediante una firma autógrafa digitalizada: la persona dibuja su firma con el dedo sobre la pantalla del teléfono o con el mouse. La firma aparece en el documento. Todo luce como si hubiera sido firmado.

Lo que hemos documentado en disputas relacionadas con este tipo de firma es un patrón que compromete la atribución de una forma específica y que no requiere entrar al terreno técnico de la criptografía para ser argumentado.

Qué son y qué no son legalmente

La firma autógrafa digitalizada no es una firma electrónica en el sentido del artículo 89 del Código de Comercio. No cumple los requisitos técnicos que el Código establece para que un método de identificación sea reconocido como tal. Sí es una forma de manifestar voluntad por medios electrónicos, y como tal tiene relevancia jurídica.

Pero esa relevancia no viene acompañada de la presunción de atribución que sí existe para la firma electrónica. Quien demanda con una firma autógrafa digitalizada tiene que probar que esa firma corresponde a la persona que dice haberla puesto. No hay presunción que trabaje a su favor.

El problema de la captura única

El proceso que hemos visto operar en varias plataformas es el siguiente: al inicio de la relación, se le pide al usuario que dibuje su firma una sola vez. Esa imagen se guarda. A partir de ese momento, cada vez que se genera un documento que requiere la firma del usuario, el sistema estampa automáticamente esa misma imagen guardada.

El resultado es que múltiples documentos distintos, o múltiples campos dentro del mismo documento, muestran firmas que son copias exactas del mismo archivo de imagen.

El argumento forense: la variación natural que no existe

Aquí está el núcleo del vector.

Una firma autógrafa producida por una persona en distintos momentos nunca es idéntica a sí misma. Varía la presión, el ángulo, la velocidad del trazo, el punto de inicio, las proporciones. Son variaciones pequeñas, a veces imperceptibles a simple vista, pero están siempre presentes porque el acto de firmar es un proceso motor que el cuerpo no replica de forma exacta.

Cuando dos firmas son pixel-perfect idénticas, esa identidad exacta es evidencia de que no fueron producidas de forma independiente. Son copias de un mismo archivo.

Un perito grafoscópico puede establecer esto con los métodos propios de su disciplina. No se requiere entrar al terreno criptográfico ni a la arquitectura de la plataforma. El argumento vive en el documento mismo.

Las dos direcciones del argumento

La primera aplica cuando hay múltiples documentos. Si los documentos que se presentan en juicio muestran firmas idénticas entre sí, la persona puede reconocer haber firmado uno de ellos y negar los demás. La identidad exacta de las firmas es consistente con esa versión: firmó una vez, y esa imagen fue copiada al resto.

La segunda aplica incluso dentro de un solo documento. Muchos contratos tienen campos de firma en varias páginas o secciones. Si todas esas firmas son idénticas, la firma múltiple que debería mostrar que la persona revisó y autorizó cada sección resulta ser la misma imagen repetida. El propósito de firmar en múltiples lugares queda vaciado.

En ambos casos, lo que la evidencia muestra no es que la persona firmó múltiples veces. Es que la plataforma estampó una imagen múltiples veces. Y eso es lo opuesto de atribución.

Por qué este argumento es accesible para el juzgador

La mayoría de los vectores de esta serie requieren que el juzgador entienda conceptos técnicos: hashes, cadenas de certificación, logs de servidor. Este no.

La lógica de que una firma humana no puede ser idéntica a otra firma humana es intuitiva y no requiere conocimientos especializados. El juez puede ver las firmas, puede ver que son idénticas, y puede seguir el argumento sin necesidad de un traductor técnico. Eso hace que este vector sea especialmente efectivo en contextos donde la pericial grafoscópica es más accesible que la informática, o donde el expediente no va a tener pericial técnica en absoluto.

Lo que estamos viendo

Este patrón aparece en cualquier plataforma que captura la firma del usuario una sola vez y la reutiliza en documentos posteriores. No es exclusivo de ningún sector ni de ningún tipo de contrato. La práctica responde a una lógica de eficiencia operativa que probablemente nunca anticipó ser cuestionada en juicio. Pero el argumento que crea es directo: si todas las firmas son la misma imagen, nadie firmó esos documentos. La plataforma los estampó.

La práctica de capturar la firma una vez y reutilizarla responde a una lógica de eficiencia operativa que probablemente nunca anticipó ser cuestionada en juicio. Pero el argumento que crea es directo: si todas las firmas son la misma imagen, nadie firmó esos documentos. La plataforma los estampó.

La firma autógrafa estampada es un problema de atribución que se argumenta visualmente. El último artículo de la serie aborda otro problema de atribución, esta vez en la firma electrónica simple sustentada en OTP, correo o NIP, donde la evidencia no vive en el documento sino en los sistemas de quien demanda. 

The post Cuando la misma imagen aparece en todos los documentos appeared first on Mifiel Blog.

Este artículo es parte de la serie “Firma electrónica en juicio: lo que está pasando del lado del demandado.” Si llegaste directamente aquí, el artículo introductorio te da el marco completo.

Cuando la parte actora presenta un documento con firma electrónica avanzada, la posición procesal de entrada es favorable para quien demanda: el Código de Comercio establece que una firma avanzada que cumple los requisitos del artículo 97 goza de una presunción de fiabilidad. Quien la quiera tumbar tiene que probar que no sirve.

Pero esa presunción tiene una condición: que la firma sea realmente avanzada. Y en el mercado mexicano de firma electrónica, esa condición se cumple con menos frecuencia de lo que los documentos sugieren.

Lo que distingue a la firma avanzada

El Código de Comercio reconoce dos tipos de firma electrónica. La firma simple, regulada por el artículo 89, identifica al firmante y tiene plena validez legal. Sirve para la gran mayoría de actos jurídicos y no tiene nada de malo en sí misma.

La firma avanzada o fiable, regulada por el artículo 97, cumple requisitos adicionales que le otorgan un respaldo técnico y jurídico mayor. En la práctica, ese respaldo proviene de un certificado de firma electrónica avanzada emitido por una entidad facultada para ello: el SAT a través de la e.firma, o un PSC con acreditación específica para la emisión de certificados digitales.

Las dos son válidas. La diferencia no es de validez sino de peso probatorio y posición procesal. Con una firma avanzada real, la fiabilidad se presume. Además, las fracciones III y IV del artículo 99 del Código de Comercio establecen obligaciones específicas para el titular del certificado: responsabilizarse de las consecuencias jurídicas del uso de su firma y responsabilizarse por las obligaciones derivadas del uso de su firma (aún si se trató de uso no autorizado). Esto crea la posición de no repudio de la que goza la firma electrónica avanzada y que la firma simple no tiene.

Con una firma que no está respaldada por un certificado emitido por un PSC autorizado para ello, la fiabilidad no se presume. Eso no significa que la firma sea automáticamente inválida: el último párrafo del artículo 97 reconoce que puede ser fiable, pero establece que quien la invoca tiene que demostrarlo. En lugar de llegar a juicio con una presunción a favor, llegas con la carga de primero probar que la firma cumplía los requisitos de fiabilidad.

El problema: la avanzada que en realidad es simple

En el mercado de firma electrónica en México es frecuente encontrar plataformas que ofrecen lo que describen como “firma electrónica avanzada” sin que esa descripción corresponda a lo que el Código de Comercio exige.

Hay tres argumentos que hemos visto usarse para sostener que una firma es avanzada cuando no lo es.

El primero: “tenemos NOM-151.” La constancia de conservación acredita integridad y fecha cierta. No convierte una firma en avanzada ni sustituye los requisitos del artículo 97.

El segundo: “usamos biometría.” La verificación biométrica es un mecanismo de atribución que puede fortalecer una firma simple. No es, por sí sola, lo que hace a una firma avanzada bajo el Código de Comercio.

El tercero: “somos PSC.” Aquí hay dos capas que conviene distinguir.

La primera: ser PSC no es una acreditación uniforme. La Secretaría de Economía acredita a los PSC servicio por servicio. Un PSC puede estar acreditado para emitir sellos de tiempo y para conservación de mensajes de datos sin estar acreditado para la emisión de certificados digitales. Si emite certificados de firma sin esa acreditación específica, los emite fuera de su calidad de PSC. Ninguna autoridad ha avalado ese servicio.

La segunda, más sutil: incluso un PSC que sí tiene acreditación para emitir certificados puede emitir dos tipos distintos. Los certificados de firma electrónica avanzada requieren que el titular se haya identificado de forma presencial ante el PSC. Si el certificado no se tramitó presencialmente, no es un certificado de firma avanzada, aunque el PSC esté autorizado para emitir ese tipo de certificados. La distinción entre ambos tipos no siempre es visible en el documento y requiere verificación específica.

Cómo verificarlo

La Secretaría de Economía publica el directorio de PSC acreditados en psc.economia.gob.mx, con el detalle de los servicios que tiene acreditados cada uno. Lo que hay que buscar es la acreditación específica de emisión de certificados digitales. Si el directorio solo muestra sellos de tiempo o conservación de mensajes de datos para ese PSC, no está facultado para emitir certificados de firma avanzada.

Adicionalmente, el certificado del firmante en el documento indica quién lo emitió. Si lo emitió la autoridad certificadora interna de la propia plataforma y esa plataforma no tiene acreditación para emisión de certificados, ese certificado no tiene el respaldo que una firma avanzada requiere.

El caso de los pagarés

Las consecuencias de esta confusión son especialmente significativas en títulos de crédito.

Han surgido criterios judiciales recientes, todavía en formación, que exigen firma electrónica avanzada para que un pagaré digital produzca los efectos propios de un título de crédito. La discusión no está resuelta, pero los criterios existen y están siendo invocados.

En ese contexto, descubrir a media ejecución que la firma que sustenta el pagaré era simple disfrazada de avanzada puede transformar un juicio ejecutivo mercantil en un proceso que primero tiene que demostrar que el título produce efectos de crédito.

Lo que estamos viendo

La confusión entre firma simple y avanzada no es nueva, pero su relevancia procesal está creciendo a medida que más documentos firmados electrónicamente llegan a los juzgados.

Lo que hemos documentado es que la distinción entre simple y avanzada, y las consecuencias que el artículo 97 establece para cada caso, rara vez se plantea de entrada. Se presenta el documento, se invoca la firma electrónica, y el debate se va a otros elementos.

Cuando la distinción se plantea, la verificación en el directorio de la Secretaría de Economía es rápida y el resultado es concluyente. El directorio dice qué tiene acreditado cada PSC. Si no está ahí, no está.

Los tres vectores anteriores operan en el terreno de la criptografía y la certificación. El siguiente es distinto: no requiere pericial en informática ni análisis de certificados para argumentarse. Vive en algo que cualquiera puede ver directamente en el documento.

The post Por qué el tipo de firma determina quién carga con la prueba appeared first on Mifiel Blog.

Este artículo es parte de la serie “Firma electrónica en juicio: lo que está pasando del lado del demandado.” Si llegaste directamente aquí, el artículo introductorio te da el marco completo.

Cuando un documento firmado electrónicamente llega a juicio con una constancia de conservación NOM-151, la reacción natural es asumir que ese elemento está cubierto. Hay un sello, hay un PSC, hay una fecha. Eso cierra la discusión sobre integridad.

Pero la constancia de conservación es un instrumento más específico de lo que parece, y su valor probatorio depende de dos preguntas que rara vez se hacen: ¿sobre qué exactamente se emitió esta constancia, y quién la emitió?

Qué hace y qué no hace la NOM-151

La constancia de conservación emitida bajo la NOM-151-SCFI-2016 responde a una pregunta concreta: ¿existía este mensaje de datos, con este contenido exacto, en este momento?

Para responderla, el PSC recibe el mensaje de datos, calcula su valor hash y emite una constancia firmada digitalmente que incluye ese hash y un sello de tiempo certificado. Cuando esa constancia existe y es válida, acredita dos cosas: que el mensaje de datos existía en ese momento, y que no ha sido modificado desde entonces.

Lo que la NOM-151 no acredita es quién firmó ni si las firmas son técnicamente válidas. La constancia responde por integridad y fecha cierta. La atribución corresponde a otros elementos del documento. Son preguntas distintas y no deben confundirse.

La primera confusión: NOM-151 como sustituto de la firma válida

Hemos visto plataformas que presentan la NOM-151 como evidencia de validez integral del documento. La cadena implícita es: tenemos constancia NOM-151, por lo tanto nuestra firma es válida. Esa cadena es incorrecta.

Una constancia NOM-151 válida acredita que un conjunto de datos existió en cierto momento y no ha sido alterado. No dice nada sobre si las firmas incluidas en ese conjunto de datos son auténticas, si los certificados que las respaldan son válidos, ni si la plataforma que las generó puede someterse a verificación técnica independiente.

Un documento puede tener una constancia NOM-151 impecable y firmas completamente inverificables. El primer vector de esta serie aplica con independencia de si el documento tiene o no constancia de conservación.

La segunda confusión: NOM-151 sobre el objeto equivocado

Este problema es más técnico y, en nuestra experiencia, más común de lo que parece.

Una constancia de conservación certifica la integridad de lo que se le entregó para certificar. Si se le entregó el documento original (el archivo que se mandó a firmar, antes de que alguien lo firmara), certifica la integridad de ese documento original. Si las firmas se añadieron después, la constancia no las cubre.

Hemos visto plataformas que operan exactamente así: generan la constancia sobre el mensaje de datos inicial y después añaden las firmas al documento. El resultado es un documento que tiene constancia NOM-151 y tiene firmas, pero la constancia no cubre las firmas.

Las consecuencias son significativas. Una constancia que no cubre las firmas no puede acreditar que esas firmas existían cuando se emitió la constancia, ni que no fueron modificadas o añadidas posteriormente. El elemento que debería dar certeza sobre la integridad del documento firmado deja de cumplir esa función.

Lo que debe verificarse es que la constancia cubra el documento y sus firmas, no solo el documento en su estado original previo a la firma.

El PSC: no basta con que exista

El segundo elemento que debe verificarse es quién emitió la constancia.

La NOM-151 requiere que la constancia sea emitida por un Prestador de Servicios de Certificación con la acreditación correspondiente. La Secretaría de Economía publica el directorio de PSC acreditados con el detalle de los servicios que cada uno tiene reconocidos. Lo que hay que confirmar es que el emisor tenga acreditado específicamente el servicio de conservación de mensajes de datos. Si no aparece con esa acreditación, la constancia carece del respaldo normativo que la NOM-151 requiere.

Adicionalmente, la constancia está firmada digitalmente por el PSC. Esa firma debe ser verificable a través de una cadena de certificación válida. Si el certificado del PSC estaba vencido o revocado al momento de emitir la constancia, la validez del sello de tiempo queda comprometida.

Lo que estamos viendo

El problema de la constancia ausente es el más simple y el más frecuente: muchas plataformas no generan constancias NOM-151 sobre sus documentos, o las generan de forma opcional. Cuando el documento llega a juicio sin constancia, no hay fecha cierta certificada ni acreditación de integridad más allá de lo que la parte actora afirme.

El problema de la confusión entre NOM-151 y firma válida aparece en escritos donde la constancia se invoca como prueba de que el proceso de firma fue correcto en su totalidad. Es un argumento que no resiste el análisis una vez que se precisa qué acredita y qué no acredita la constancia.

El problema de la constancia sobre el objeto equivocado es el más difícil de detectar a simple vista: el documento tiene su constancia, el sello está ahí. La diferencia aparece cuando se verifica si la constancia cubre el documento y sus firmas, o solo el documento en su estado previo a la firma.

El problema del PSC inválido es el más fácil de verificar de forma independiente: el directorio de la Secretaría de Economía es público y la verificación toma minutos.

En los cuatro casos, la consecuencia procesal sigue la misma lógica: si la constancia no puede acreditar lo que se afirma que acredita, el elemento que debería cerrar la discusión sobre integridad y fecha cierta deja de cerrarlo.

Verificabilidad y constancia de conservación son condiciones distintas e independientes. Una tercera es el tipo de firma. Que el documento diga “firma electrónica avanzada” no significa que lo sea, y la diferencia tiene consecuencias procesales directas sobre quién carga con la prueba. El siguiente artículo lo desarrolla. 

The post No es lo mismo tener una constancia que tener la constancia correcta appeared first on Mifiel Blog.

Este artículo es parte de la serie “Firma electrónica en juicio: lo que está pasando del lado del demandado.” Si llegaste directamente aquí, el artículo introductorio te da el marco completo.

Cuando un documento firmado electrónicamente llega a juicio, la discusión suele comenzar en el lugar equivocado. Las partes debaten si la firma tiene validez legal, si la plataforma es confiable, si el proceso fue correcto. Hay una pregunta más anterior y más determinante: ¿puede ese documento someterse a verificación técnica independiente?

Si la respuesta es sí, el debate tiene sustancia. Si la respuesta es no, el debate termina antes de empezar, pero no como la parte actora espera.

Operación y prueba no son lo mismo

Un sistema puede registrar perfectamente cada evento de una firma electrónica y aun así ser incapaz de producir esa información en un formato que un perito externo pueda verificar. Esto no es una falla de seguridad. Es una falla de diseño: los sistemas se construyeron para operar, no para probar.

La distinción importa porque en juicio no se evalúa cómo funciona el sistema. Se evalúa si los hechos que ese sistema registró pueden acreditarse de manera objetiva, reproducible e independiente ante el juzgador.

Cuando la acreditación depende de que alguien explique cómo funciona su propio sistema, de reportes generados internamente, o de acceso a plataformas que solo la parte actora controla, estamos ante evidencia que no puede verificarse de forma independiente. Y eso, como ya documentó la Suprema Corte, tiene consecuencias procesales específicas.

Qué requiere una pericial en informática sobre una firma electrónica

Para que un perito pueda dictaminar sobre la validez de una firma electrónica necesita, como mínimo, los elementos técnicos que permitan responder tres preguntas.

Integridad. ¿El documento que se presenta en juicio es exactamente el mismo que fue firmado, sin alteraciones posteriores? Esto se verifica mediante el valor hash del documento. Si el hash del documento presentado coincide con el hash declarado al momento de la firma, el documento no fue modificado.

Autenticidad de las firmas. En el caso de la firma electrónica avanzada, la firma es técnicamente el resultado de cifrar el hash del documento con la llave privada del firmante. Si la firma puede verificarse con la llave pública del certificado correspondiente, la firma es auténtica. Este mecanismo es por definición independiente: cualquier parte puede hacer la verificación sin acceder a los sistemas de la plataforma.

Validez del certificado. También en el contexto de la firma avanzada, el certificado utilizado debe haber sido emitido por una autoridad reconocida, estar vigente al momento de la firma y no haber sido revocado. Esto se verifica validando la cadena de certificación hasta una autoridad raíz confiable.

En la firma electrónica simple, la acreditación de autenticidad funciona de manera distinta: depende de la evidencia de atribución disponible (biometría, OTP, correo electrónico). Si esa evidencia vive en los sistemas de la plataforma y no puede producirse en formato auditable para un perito externo, el problema de verificabilidad es exactamente el mismo que con los bancos, solo que sin el respaldo criptográfico de la firma avanzada. Ese es el tema del quinto artículo de esta serie.

El argumento que ya operó en la banca

La Suprema Corte resolvió en 2021, mediante la jurisprudencia 1a./J. 17/2021 (10a.), que no puede presumirse la fiabilidad de un sistema de firma electrónica a partir de la mera acreditación de que se usaron credenciales. La resolución surgió de disputas bancarias por transferencias supuestamente no autorizadas, pero el criterio está formulado en términos de firma electrónica en general.

Lo que ocurrió en esos casos tiene una estructura precisa. El cliente negaba haber autorizado la operación y solicitaba que el banco entregara los elementos técnicos necesarios para que un perito externo pudiera verificar cómo se generó la firma. El banco no podía hacerlo en formato auditable. Ante esa imposibilidad, el juzgador aplicó el principio de facilidad probatoria: quien tiene el control del sistema y puede acreditar los hechos con mayor facilidad, debe hacerlo. Si no puede, la presunción de que el cliente autorizó la operación se desactiva y la carga probatoria se invierte.

La aplicación de este mismo esquema a documentos firmados electrónicamente fuera del contexto bancario tiene bases jurídicas establecidas. La pregunta ya no es si el principio aplica, sino si la plataforma específica que se usó puede o no producir los elementos técnicos que la pericial requiere.

Por qué el formato no es lo que importa

Un error frecuente es pensar que la discusión es de formato: que un XML es válido y un PDF no. No es así. Un PDF puede contener firmas digitales embebidas con elementos criptográficos completos, y herramientas estándar como Adobe Reader permiten verificarlas. El formato por sí solo no determina si el documento es verificable.

Lo que determina la verificabilidad es si la comprobación puede realizarse sobre el documento mismo, con herramientas públicas y auditables, sin requerir acceso a sistemas internos. Una herramienta de verificación de código abierto que corre sobre el propio documento, aunque la provea quien lo generó, permite que cualquier perito corra las mismas verificaciones y llegue al mismo resultado de forma independiente.

El problema ocurre cuando verificar requiere que un perito externo acceda a bases de datos internas, logs de servidor o sistemas propietarios que solo la plataforma controla. Eso fue exactamente lo que ocurrió con los bancos: la evidencia de autenticación vivía en sus sistemas internos, y cuando los peritos externos solicitaron acceso para verificarla, los bancos se negaron. Esa negativa, combinada con la imposibilidad de producir la evidencia en otro formato, fue lo que activó el principio de facilidad probatoria.

Qué tiene que poder entregarse

Un documento firmado electrónicamente que puede someterse a pericial permite que cualquier parte verifique su integridad y la autenticidad de sus firmas corriendo verificaciones sobre el documento mismo, con herramientas auditables.

Esto generalmente implica la existencia de un mensaje de datos en formato técnicamente auditable que contiene los valores hash del documento, las firmas electrónicas en formato verificable, los certificados de los firmantes y, si existe, la constancia de conservación NOM-151. Cuando ese archivo existe y hay herramientas públicas para verificarlo, cualquier parte puede tomar el documento, correr las verificaciones y obtener el mismo resultado. La prueba no depende de la palabra de nadie.

Cuando ese archivo no existe, cuando la plataforma no puede producirlo, o cuando verificarlo requiere acceso a sistemas internos que la plataforma controla y puede negar, la cadena de custodia de la evidencia vive fuera del alcance de quien necesita verificarla. En ese escenario, el principio de facilidad probatoria empieza a operar.

Lo que estamos viendo

En el contexto bancario, este argumento tiene jurisprudencia. En el contexto de plataformas de firma electrónica comercial, los fundamentos jurídicos son los mismos pero el recorrido judicial está comenzando.

Lo que sí hemos documentado, y que es consistente con la lógica de la Suprema Corte, es que los juzgadores no aceptan explicaciones sobre cómo funciona un sistema como sustituto de la verificación técnica del documento. Un representante de la plataforma que explica en estrado que “el sistema registra todo correctamente” no produce el mismo efecto probatorio que un perito que verifica criptográficamente que la firma es auténtica y el documento es íntegro.

La diferencia entre estos dos escenarios no es de credibilidad. Es de verificabilidad.

La verificabilidad es el primer filtro. Cuando el documento lo pasa, la siguiente pregunta es sobre la constancia de conservación: si existe, y si cubre lo que debería cubrir. Eso es lo que analiza el siguiente artículo de la serie.

The post ¿Puede el documento que te presentan someterse a una pericial en informática? appeared first on Mifiel Blog.