¿Por qué mi firma en el PDF aparece como no válida o sin verificar?

Abres un PDF firmado y, en lugar del tranquilizador visto bueno en verde, te aparece un aviso en rojo: “La firma no es válida” o “Firma sin verificar”. Es inquietante verlo en un contrato, una factura o un informe con el que contabas. Antes de dar por hecho que alguien ha manipulado el documento, conviene saber que ese aviso tiene varias causas bastante normales, y solo una de ellas es motivo real de alarma.

Qué comprueba realmente el aviso

Una firma digital no es un dibujo del nombre de alguien pegado en la página. Es criptografía: un certificado ligado a la identidad de quien firma, combinado con una huella matemática del contenido exacto del archivo en el momento de la firma. Cuando un visor de PDF comprueba una firma, en realidad está respondiendo a dos preguntas distintas:

1. ¿Ha cambiado el archivo desde que se firmó? El visor recalcula la huella y la compara con la que quedó incrustada. Cualquier diferencia, aunque sea de un solo byte, rompe la coincidencia.
2. ¿Confío en el certificado que firmó? El visor comprueba si el certificado fue emitido por una autoridad que reconoce y si sigue siendo válido.

Un mensaje de “no válida” o “sin verificar” significa que una de esas dos comprobaciones ha fallado, y fallan por motivos muy distintos.

Los cuatro sospechosos habituales

1. El archivo se editó después de firmarlo. Aquí la comprobación de integridad está detectando algo real. Añadir una página, aplanar un campo de formulario e incluso volver a guardar el PDF desde ciertos editores puede reescribir el archivo sin que te des cuenta y romper la huella de la firma. Si esto le pasa a un documento que sabes que nadie ha tocado con mala intención, suele significar que alguna herramienta de por medio (un controlador de impresora, el “optimizado” automático de un escáner, un compresor demasiado entusiasta) ha vuelto a guardar el archivo. La solución no es ignorar el aviso, sino volver a la copia firmada original y evitar que se toque de nuevo.

2. El certificado no está en la lista de confianza del visor. Hay muchísimas firmas perfectamente legítimas, sobre todo las autofirmadas o las emitidas por autoridades más pequeñas o de ámbito regional, que no están en el almacén de confianza por defecto del lector de PDF que estés usando. La firma puede ser matemáticamente correcta y el archivo estar intacto, pero el visor igualmente muestra un aviso porque no reconoce a quien emitió el certificado. Es habitual con certificados internos de empresa y con países que tienen sus propias autoridades de firma acreditadas.

3. El certificado ha caducado. Los certificados tienen fecha de caducidad. Si un documento se firmó hace años y el certificado ya ha vencido, algunos visores marcan la firma como no válida aunque en el momento de firmar fuera perfectamente correcta, salvo que el programa compruebe la fecha del sello de tiempo de la firma en lugar de la fecha de hoy.

4. El documento tiene varias capas de firma y una de ellas ha cambiado. Si un formulario se firma y luego alguien rellena un campo adicional, esa edición puede invalidar la firma anterior mientras deja intacta la más reciente, y el visor muestra un estado mixto que confunde bastante.

Cómo comprobarlo tú antes de que se convierta en un problema

Si eres tú quien envía el PDF firmado, no te fíes solo de que se vea bien en tu pantalla. Un par de costumbres evitan sorpresas:

• Firma en último lugar, no al principio. Añade tu firma cuando ya hayas terminado el resto de ediciones, uniones o reordenaciones. Firmar y luego seguir editando es la forma más habitual de invalidar tu propia firma sin querer.
• Evita volver a procesar un archivo ya firmado. Una vez firmado, trátalo como definitivo. No lo pases de nuevo por un compresor o un conversor de imágenes “solo para aligerarlo”: ese nuevo guardado es justo lo que rompe la huella.
• Si además necesitas restringir el acceso, protege después de firmar. Añadir una contraseña con la herramienta para proteger el PDF usa cifrado AES para limitar el acceso, y cifrar un archivo cambia sus bytes. Hazlo después de firmar para que la firma no se vea afectada por un paso posterior, o confirma que tu flujo de trabajo firma siempre sobre la versión ya cifrada de forma coherente.
• Abre el detalle del certificado, no solo el resumen. La mayoría de los lectores te dejan entrar en el panel de la firma para ver exactamente qué comprobación ha fallado: la de integridad o la de confianza. Esa diferencia te dice si tienes un problema de verdad o simplemente un emisor que el visor no reconoce.

Todo esto sin entregarle el archivo a nadie

Nada de esto exige subir un contrato sensible a ningún sitio para obtener respuesta. Añadir o comprobar una firma en tu navegador procesa el archivo de forma local, en tu propio dispositivo: el PDF se carga en memoria, se firma o se verifica, y nunca se envía a un servidor. Puedes comprobarlo tú mismo abriendo las herramientas de desarrollador (F12), mirando la pestaña de Red y viendo que no ocurre nada al firmar. Para un documento con peso legal o económico, eso vale más que un simple visto bueno en verde: significa que la única copia que ha salido de tus manos es la que realmente querías enviar.