PDF modificado tras la firma: cómo verificar la firma y el historial de revisiones

Un PDF modificado tras la firma se delata en dos sitios: el panel de firmas, que indica si los bytes cubiertos por la firma siguen coincidiendo con el resumen original, y el historial de revisiones, que enumera cada versión añadida al archivo. Si el panel avisa de que el documento se alteró desde la firma, el contenido que usted lee no es el que aprobó el firmante. Si solo indica «cambios posteriores a la firma», debe abrir la versión firmada y compararla con la actual.

Esta guía se dirige a quien recibe el archivo: oficial de cumplimiento, administrador de arrendamientos, responsable de contratos, analista de recursos humanos. Basta un lector de PDF gratuito. Explica qué significa cada mensaje y qué pedir después al remitente. Este control detecta rastros de modificación. No demuestra que un documento sea auténtico.

Cómo protege una firma electrónica a un PDF y dónde acaba esa protección

Una firma PDF almacena el resumen criptográfico (hash) de un rango de bytes definido, de modo que cualquier cambio dentro de ese rango invalida la firma. El formato está descrito en ISO 32000-2. La firma es un contenedor dentro del archivo. Declara un rango de bytes que cubre todo el archivo salvo el espacio reservado para el propio valor de la firma.

Un PDF puede crecer legítimamente después de firmarse, porque el formato admite actualizaciones incrementales añadidas tras los bytes firmados. Un segundo firmante añade su firma, se rellena un campo de formulario, se inserta un comentario. Los bytes originales no cambian y la primera firma sigue siendo válida. Que la actualización sea aceptable depende de los permisos que fijó el autor.

En México, el marco está en el Código de Comercio, que en su Título Segundo, «Del Comercio Electrónico», reconoce los mensajes de datos y la firma electrónica avanzada o fiable: es fiable la firma cuyos datos de creación están bajo control exclusivo del firmante y en la que cualquier alteración posterior es detectable. La Norma Oficial Mexicana NOM-151-SCFI-2016 regula los requisitos de conservación de mensajes de datos y digitalización de documentos, incluida la constancia emitida por un prestador de servicios de certificación. Si su proceso necesita demostrar integridad ante una autoridad, esa constancia (con sello de tiempo) vale más que un PDF con firma sin respaldo. Una imagen de firma pegada en una página no se puede validar.

Para firmas con e.firma del SAT, el Servicio de Administración Tributaria ofrece información y herramientas en su portal, y la Ley de Firma Electrónica Avanzada regula su uso en el ámbito federal.

Paso 1: leer el panel de firmas, no solo el distintivo

Abra el panel de firmas y lea el texto completo del estado, porque la palomita verde de la barra resume menos de lo que parece. En Adobe Acrobat Reader, abra el panel Firmas (Ver, Mostrar/ocultar, Paneles de navegación). Cada firma aparece con un estado y, si existen revisiones posteriores, con una nota como «Revisión 1 de 3». La opción «Ver versión firmada» abre el archivo tal como estaba cuando esa persona firmó.

Anote para cada firma:

• el nombre del firmante y el emisor del certificado;
• la hora de firma, y si procede de un sello de tiempo de confianza o solo del reloj de la computadora del firmante;
• la línea de estado, palabra por palabra.

En los foros se repite la pregunta: «Firmé un PDF y alguien dice que lo editó después, ¿cómo lo compruebo?». El panel responde a ambas cosas. Si un programa le obliga a eliminar la firma para editar el archivo, el original firmado ha desaparecido desde el punto de vista del editor: pida el archivo firmado de origen, no la copia retocada.

Paso 2: contar las revisiones y extraer la versión firmada

Cada guardado incremental añade una sección que termina en una marca %%EOF, de modo que el número de marcas aproxima el número de revisiones. En una terminal, grep -a -c '%%EOF' archivo.pdf devuelve la cifra. Un archivo recién generado suele tener una marca, uno optimizado para web dos. Tres marcas en un documento que firmó una sola persona merecen una pregunta.

Para leer lo que decía el archivo al firmarse, use «Ver versión firmada» en Acrobat o corte el archivo en el desplazamiento donde termina el rango firmado. Herramientas como qpdf y pdfsig (Poppler) muestran el rango firmado y validan el resumen por línea de comandos: pdfsig archivo.pdf enumera cada firma, su rango de bytes y si el resumen coincide.

Después compare ambas versiones, visualmente y por texto. Busque:

• importes, fechas, nombres o números de cuenta cambiados;
• páginas añadidas, eliminadas o reordenadas;
• un bloque de texto nuevo colocado sobre uno antiguo (el texto antiguo sigue en el archivo bajo la capa nueva);
• anotaciones o sellos que tapan el contenido original.

Si hay muchas páginas, la herramienta Comparar archivos de Acrobat resalta las diferencias de texto. Trabaje sobre una copia local.

Paso 3: conocer los ataques que dejan la firma válida

Algunas ediciones dejan la firma como válida, por eso un estado verde no basta. Un estudio de 2019 de la Universidad del Ruhr en Bochum sobre ataques de guardado incremental mostró que varios lectores presentaban firmas válidas en archivos cuyo contenido visible había cambiado mediante una revisión añadida. Los «Shadow Attacks» (2020) describieron un documento preparado con contenido oculto que se revela mediante una actualización permitida, como rellenar un campo. Ambos están publicados en pdf-insecurity.org, y los fabricantes corrigieron buena parte de los fallos originales.

La lección para el revisor es práctica:

• una firma válida con una revisión posterior es motivo para comparar, no para relajarse;
• una firma sobre un documento cuyo autor permitió rellenar formularios o anotar es una prueba más débil que una firma de certificación con «no se permiten cambios»;
• abra el archivo en un segundo lector: una discrepancia entre dos lectores es ya una señal.

Compruebe también el nivel de certificación. Una firma de certificación lleva un ajuste de permisos (sin cambios, rellenar formularios y firmar, anotaciones permitidas). Si el autor eligió «sin cambios» y existe una revisión, el lector debe avisarlo.

Paso 4: validar al firmante, no solo el archivo

Una firma puede ser matemáticamente válida y no valer nada si el certificado es autofirmado, está vencido o lo emitió alguien sin crédito. Mire quién emitió el certificado. Adobe mantiene su propia lista de confianza aprobada, y un certificado de una plataforma comercial de firma normalmente se enlaza a ella; uno autofirmado mostrará «validez desconocida». Para una opinión independiente de su lector, la Comisión Europea ofrece una herramienta web gratuita de validación DSS que muestra la cadena de certificados, el sello de tiempo y si el resumen coincide. Como sube el archivo, úsela solo con documentos de prueba: la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) obliga a proteger los datos personales que usted trate, y el aviso de privacidad debe cubrir las transferencias.

El riesgo vecino de los certificados inventados se trata en el artículo sobre certificados de firma electrónica falsos.

Paso 5: contrastar el contenido firmado

Compare los importes e identificadores de la versión firmada con una fuente que el remitente no controle. Incluso una firma perfecta solo prueba que el firmante aprobó esos bytes. No prueba que los importes fueran ciertos. En una constancia laboral firmada, compruebe la empresa por su RFC y su inscripción en el Registro Público de Comercio. En un contrato firmado, verifique las partes y el CURP o RFC de los firmantes. En un recibo de nómina firmado, concilie el neto con el depósito bancario; si es un CFDI, valide su folio fiscal en el verificador del SAT.

Los solicitantes preguntan algo sencillo: «Ya firmé, ¿por qué el banco quiere el original del portal?». Porque el banco verifica el origen y la coherencia del documento, no solo su integridad. La guía para saber si un PDF ha sido editado y la de manipulación de metadatos PDF cubren los controles a nivel de archivo que complementan este.

Qué pedir al remitente y cuándo escalar

Pida el archivo firmado original directamente a la plataforma de firma o al firmante, y conserve la versión recibida. No reconstruya ni «arregle» el archivo usted mismo. Un remitente de buena fe casi siempre puede volver a descargar la copia sellada o enviar la pista de auditoría del servicio de firma.

• El panel indica modificación desde la firma: solicite el original y no tramite la copia.
• Existe una revisión posterior pero el panel es válido: compare y pregunte por qué hacía falta la actualización.
• Validez desconocida: compruebe el emisor del certificado y valide en una segunda herramienta antes de concluir.
• No hay firma aunque se anunció una: solicite la versión firmada.

Escale cuando un cambio coincida con una incoherencia, por ejemplo un importe alterado y una revisión creada días después de firmar. Decide el siguiente paso el oficial de cumplimiento, a quien corresponde valorar un aviso a la Unidad de Inteligencia Financiera (UIF); el revisor de primera línea no acusa a nadie. Las disposiciones de la CNBV para las entidades financieras exigen identificar al cliente con documentos oficiales vigentes, y la LFPIORPI fija las actividades vulnerables y sus obligaciones de identificación y aviso. El uso de documentos falsos puede constituir delito conforme al Código Penal Federal.

Para el proceso completo, consulte la guía de verificación de documentos. Si recibe archivos firmados en volumen, las señales de generación por IA y manipulación de CheckFile complementan sus controles actuales, y la solución para banca y KYC describe qué compara una verificación: campos, fechas y registros. La página de precios enumera los planes.

Preguntas frecuentes

¿Se puede modificar un PDF después de firmarlo?

Sí, de dos maneras. Un cambio dentro del rango de bytes firmado rompe la firma, y el lector lo indica. Un cambio añadido como nueva revisión deja válida la primera firma, así que debe abrir la versión firmada y compararla con la actual.

¿Cómo veo la versión que se firmó?

En Adobe Acrobat Reader, abra el panel Firmas, haga clic derecho sobre la firma y elija «Ver versión firmada». Por línea de comandos, pdfsig (Poppler) enumera cada firma y su rango de bytes, y qpdf puede extraer revisiones anteriores.

¿Por qué mi PDF muestra «validez desconocida»?

Lo habitual es que su lector no tenga al emisor en su lista de confianza o no pueda comprobar la revocación sin conexión. No significa que el archivo cambiara. Valide el mismo archivo en una segunda herramienta antes de concluir.

¿Una firma válida prueba que el contenido es cierto?

No. Prueba que los bytes no han cambiado desde que se aplicó la firma y los vincula a un certificado. La exactitud de importes, nombres y fechas se comprueba contrastando con registros u otros documentos.

¿Puedo quitar la firma y volver a firmar un PDF corregido?

Se puede, pero el resultado es un documento nuevo con una firma nueva. Quien se apoyó en la versión firmada anterior debería recibir también el original, para que la cadena de versiones siga visible.