La firma electrónica resuelve muchos problemas, pero introduce uno nuevo: ¿cómo saber que quien firma es realmente quien dice ser? En una firma presencial, ves el DNI de la persona. En una firma digital, el riesgo de suplantación de identidad existe, aunque es menor de lo que la mayoría cree. Te explicamos cuáles son los riesgos reales y cómo mitigarlos.
¿Cuál es el riesgo real de fraude en firma electrónica?
El riesgo de suplantación en firma electrónica simple existe pero es bajo, por varias razones. En primer lugar, el enlace de firma llega al email del firmante — para suplantar la identidad, alguien tendría que tener acceso a ese email. En segundo lugar, el certificado de auditoría registra la IP del firmante: si alguien firma desde una IP inusual (otro país, una VPN sospechosa), eso es una anomalía detectable. En tercer lugar, si el firmante niega haber firmado, la carga de la prueba recae sobre él — tiene que demostrar que no tuvo acceso al enlace, lo que implica demostrar que su email fue comprometido.
Niveles de verificación de identidad según el riesgo del contrato
Nivel básico (firma simple): enlace único enviado al email del firmante + registro de IP, timestamp y hash. Suficiente para la gran mayoría de contratos comerciales.
Nivel medio (firma simple + OTP SMS): además del enlace por email, el firmante recibe un código de verificación en su número de teléfono. Para firmar necesita acceso tanto al email como al teléfono. Recomendado para contratos de cierto valor con personas no conocidas previamente.
Nivel alto (firma avanzada o cualificada): requiere un certificado digital acreditado (DNIe, FNMT). Necesario para trámites con administraciones públicas y contratos donde la ley lo exige.
La verificación OTP por SMS: cómo funciona en firmaSimple
Cuando activas la verificación OTP en un documento de firmaSimple, el proceso es el siguiente: introduces el número de teléfono del firmante al configurar el documento. Cuando el firmante intenta acceder al enlace, recibe automáticamente un SMS con un código de 6 dígitos. Debe introducir ese código para poder acceder al documento y firmar. El certificado de auditoría incluye el registro del SMS enviado (con Message SID de Twilio, verificable de forma independiente), lo que añade una capa de evidencia muy sólida.
Señales de alerta que debes conocer
- IP de un país diferente al esperado: si contratas a alguien en España y el certificado muestra una IP de otro continente, investiga antes de asumir que todo está bien.
- Firma completada en segundos: un documento extenso firmado en 10 segundos puede indicar que no fue leído. Aunque no invalida la firma, es una señal.
- Email de dominio genérico para contratos de alto valor: para contratos importantes, prefiere firmantes que usen email corporativo (empresa.com) en lugar de gmail o hotmail.
El fraude más frecuente: no es la suplantación, es el impago
La realidad es que la mayoría del fraude en contratos no viene de suplantación de identidad sino de incumplimiento deliberado: alguien que firma sabiendo que no va a pagar o que no va a cumplir. Contra esto, la firma electrónica con certificado de auditoría es la mejor protección: tienes prueba irrefutable de que esa persona, desde esa IP, en ese momento, aceptó las condiciones del contrato. Eso es lo que necesitas en un proceso monitorio o en una reclamación judicial.
Prueba la firma electrónica que te ahorra tiempo y dinero.
Únete a miles de profesionales que ya gestionan sus acuerdos de forma digital.
Empezar Ahora