PDF modificado tras la firma: cómo verificar la firma y el historial de revisiones

Un PDF modificado tras la firma se delata en dos sitios: el panel de firmas, que indica si los bytes cubiertos por la firma siguen coincidiendo con el resumen original, y el historial de revisiones, que enumera cada versión añadida al archivo. Si el panel avisa de que el documento se alteró desde la firma, el contenido que lee no es el que aprobó el firmante. Si solo indica «cambios posteriores a la firma», debe abrir la versión firmada y compararla con la actual.

Esta guía se dirige a quien recibe el archivo: analista de prevención de blanqueo, gestor de alquileres, responsable de contratos, técnico de RR. HH. Basta un lector de PDF gratuito. Explica qué significa cada mensaje y qué pedir después al remitente. Este control detecta rastros de modificación. No demuestra que un documento sea auténtico.

Cómo protege una firma digital a un PDF y dónde acaba esa protección

Una firma PDF almacena el resumen criptográfico (hash) de un rango de bytes definido, de modo que cualquier cambio dentro de ese rango invalida la firma. El formato está descrito en ISO 32000-2 y el perfil europeo de PDF firmados se llama PAdES (ETSI EN 319 142). La firma es un contenedor dentro del archivo. Declara un rango de bytes que cubre todo el archivo salvo el espacio reservado para el propio valor de la firma.

De ahí se deriva algo que suele pasarse por alto. Un PDF puede crecer legítimamente después de firmarse, porque el formato admite actualizaciones incrementales añadidas tras los bytes firmados. Un segundo firmante añade su firma, se rellena un campo de formulario, se inserta un comentario. Los bytes originales no cambian y la primera firma sigue siendo válida. Que la actualización sea aceptable depende de los permisos que fijó el autor.

Un anclaje jurídico ayuda a explicarlo internamente. Según el artículo 26 del Reglamento (UE) n.º 910/2014 (eIDAS), una firma electrónica avanzada debe estar vinculada a los datos de modo que cualquier modificación ulterior sea detectable. Esa detectabilidad es la propiedad en la que se apoya. En España, la Ley 6/2020, reguladora de determinados aspectos de los servicios electrónicos de confianza, desarrolla el marco nacional. Una imagen de firma pegada en una página, en cambio, no se puede validar.

Paso 1: leer el panel de firmas, no solo el distintivo

Abra el panel de firmas y lea el texto completo del estado, porque el tic verde de la barra resume menos de lo que parece. En Adobe Acrobat Reader, abra el panel Firmas (Ver, Mostrar/ocultar, Paneles de navegación). Cada firma aparece con un estado y, si existen revisiones posteriores, con una nota como «Revisión 1 de 3». La opción «Ver versión firmada» abre el archivo tal como estaba cuando esa persona firmó.

Anote para cada firma:

• el nombre del firmante y el emisor del certificado;
• la hora de firma, y si procede de un sello de tiempo de confianza o solo del reloj del ordenador del firmante;
• la línea de estado, palabra por palabra.

En los foros se repite la pregunta: «Firmé un PDF y alguien dice que lo editó después, ¿cómo lo compruebo?». El panel responde a ambas cosas. Si un programa le obliga a eliminar la firma para editar el archivo, el original firmado ha desaparecido desde el punto de vista del editor: pida el archivo firmado de origen, no la copia retocada.

Paso 2: contar las revisiones y extraer la versión firmada

Cada guardado incremental añade una sección que termina en una marca %%EOF, de modo que el número de marcas aproxima el número de revisiones. En un terminal, grep -a -c '%%EOF' archivo.pdf devuelve la cifra. Un archivo recién generado suele tener una marca, uno optimizado para web dos. Tres marcas en un documento que firmó una sola persona merecen una pregunta.

Para leer lo que decía el archivo al firmarse, use «Ver versión firmada» en Acrobat o corte el archivo en el desplazamiento donde termina el rango firmado. Herramientas como qpdf y pdfsig (Poppler) muestran el rango firmado y validan el resumen por línea de comandos: pdfsig archivo.pdf enumera cada firma, su rango de bytes y si el resumen coincide.

Después compare ambas versiones, visualmente y por texto. Busque:

• importes, fechas, nombres o números de cuenta cambiados;
• páginas añadidas, eliminadas o reordenadas;
• un bloque de texto nuevo colocado sobre uno antiguo (el texto antiguo sigue en el archivo bajo la capa nueva);
• anotaciones o sellos que tapan el contenido original.

Si hay muchas páginas, la herramienta Comparar archivos de Acrobat resalta las diferencias de texto. Trabaje sobre una copia local.

Paso 3: conocer los ataques que dejan la firma válida

Algunas ediciones dejan la firma como válida, por eso un estado verde no basta. Conviene conocer dos trabajos de investigación. Un estudio de 2019 de la Universidad del Ruhr en Bochum sobre ataques de guardado incremental mostró que varios lectores presentaban firmas válidas en archivos cuyo contenido visible había cambiado mediante una revisión añadida. Los «Shadow Attacks» (2020) describieron un documento preparado con contenido oculto que se revela mediante una actualización permitida, como rellenar un campo. Ambos están publicados por el grupo de investigación en pdf-insecurity.org, y los fabricantes corrigieron buena parte de los fallos originales.

La lección para el revisor es práctica:

• una firma válida con una revisión posterior es motivo para comparar, no para relajarse;
• una firma sobre un documento cuyo autor permitió rellenar formularios o anotar es una prueba más débil que una firma de certificación con «no se permiten cambios»;
• abra el archivo en un segundo lector: una discrepancia entre dos lectores es ya una señal.

Compruebe también el nivel de certificación. Una firma de certificación lleva un ajuste de permisos (sin cambios, rellenar formularios y firmar, anotaciones permitidas). Si el autor eligió «sin cambios» y existe una revisión, el lector debe avisarlo.

Paso 4: validar al firmante, no solo el archivo

Una firma puede ser matemáticamente válida y no valer nada si el certificado es autofirmado, está caducado o lo emitió alguien sin crédito. Mire quién emitió el certificado. Los prestadores cualificados figuran en el navegador de listas de confianza de la UE; en España, el Ministerio para la Transformación Digital publica la lista nacional en la sede electrónica. Adobe mantiene su propia lista aprobada; ambas se solapan sin ser idénticas, lo que explica muchos avisos de «validez desconocida».

Para una opinión independiente de su lector, la Comisión Europea ofrece una herramienta web gratuita de validación DSS. Indica el nivel de firma, la cadena de certificados, el sello de tiempo y si el resumen del documento coincide. Como sube el archivo, úsela solo con documentos de prueba o dentro de su marco de protección de datos.

Compruebe también las fechas:

El riesgo vecino de los certificados inventados se trata en el artículo sobre certificados de firma electrónica falsos.

Paso 5: contrastar el contenido firmado

Compare los importes e identificadores de la versión firmada con una fuente que el remitente no controle. Incluso una firma perfecta solo prueba que el firmante aprobó esos bytes. No prueba que los importes fueran ciertos. En un certificado de empresa firmado, compruebe la sociedad en el Registro Mercantil. En un contrato firmado, verifique las partes y el CIF. En una nómina firmada, concilie el neto con el abono bancario.

Los solicitantes preguntan algo sencillo: «Ya firmé, ¿por qué el banco quiere el original del portal?». Porque el banco verifica el origen y la coherencia del documento, no solo su integridad. La guía para saber si un PDF ha sido editado y la de manipulación de metadatos PDF cubren los controles a nivel de archivo que complementan este.

Qué pedir al remitente y cuándo escalar

Pida el archivo firmado original directamente a la plataforma de firma o al firmante, y conserve la versión recibida. No reconstruya ni «arregle» el archivo usted mismo. Un remitente de buena fe casi siempre puede volver a descargar la copia sellada o enviar la pista de auditoría del servicio de firma.

• El panel indica modificación desde la firma: solicite el original y no tramite la copia.
• Existe una revisión posterior pero el panel es válido: compare y pregunte por qué hacía falta la actualización.
• Validez desconocida: compruebe el emisor del certificado y valide en una segunda herramienta antes de concluir.
• No hay firma aunque se anunció una: solicite la versión firmada.

Escale cuando un cambio coincida con una incoherencia, por ejemplo un importe alterado y una revisión creada días después de firmar. Decide el siguiente paso el responsable de cumplimiento o el representante ante el SEPBLAC; el revisor de primera línea no acusa a nadie. La Ley 10/2010 de prevención del blanqueo de capitales exige identificar y comprobar la identidad del cliente mediante documentos fehacientes.

Para el proceso completo, consulte la guía de verificación de documentos. Si recibe archivos firmados en volumen, las señales de generación por IA y manipulación de CheckFile complementan sus controles actuales, y la solución para banca y KYC describe qué compara una verificación: campos, fechas y registros. La página de precios enumera los planes.

Preguntas frecuentes

¿Se puede modificar un PDF después de firmarlo?

Sí, de dos maneras. Un cambio dentro del rango de bytes firmado rompe la firma, y el lector lo indica. Un cambio añadido como nueva revisión deja válida la primera firma, así que debe abrir la versión firmada y compararla con la actual.

¿Cómo veo la versión que se firmó?

En Adobe Acrobat Reader, abra el panel Firmas, haga clic derecho sobre la firma y elija «Ver versión firmada». Por línea de comandos, pdfsig (Poppler) enumera cada firma y su rango de bytes, y qpdf puede extraer revisiones anteriores.

¿Por qué mi PDF muestra «validez desconocida»?

Lo habitual es que su lector no tenga al emisor en su lista de confianza o no pueda comprobar la revocación sin conexión. No significa que el archivo cambiara. Valide el mismo archivo en una segunda herramienta, como el validador DSS de la Comisión Europea, antes de concluir.

¿Una firma válida prueba que el contenido es cierto?

No. Prueba que los bytes no han cambiado desde que se aplicó la firma y los vincula a un certificado. La exactitud de importes, nombres y fechas se comprueba contrastando con registros u otros documentos.

¿Puedo quitar la firma y volver a firmar un PDF corregido?

Se puede, pero el resultado es un documento nuevo con una firma nueva. Quien se apoyó en la versión firmada anterior debería recibir también el original, para que la cadena de versiones siga visible.

Para situar este riesgo en la oferta CheckFile, consulte nuestro enfoque de detección IA y deepfake.