Cómo elegir una plataforma de firma electrónica: ocho preguntas que sí puedes comprobar
La respuesta corta
Pregunta sólo lo que puedas comprobar tú mismo esa tarde. Las ocho que sirven: si te dejan mandar un documento real antes de contratar, qué campos trae el acuse y si lo puedes descargar, si el archivo firmado es idéntico cada vez que lo bajas, qué evidencia guardan de quién firmó, si de verdad necesitas un prestador acreditado, desde qué teléfono se puede firmar, cómo te llevas el expediente y qué unidad te cobran. Lo que no se puede verificar no es una pregunta: es conversación de venta.
Por qué las listas que ya existen no ayudan
Busca cómo elegir una plataforma de firma en México y encuentras media docena de listas parecidas: seguridad, cifrado, integraciones, escalabilidad, experiencia de usuario, soporte. Ninguna es falsa. Todas son inservibles por la misma razón: no hay proveedor en el mercado que conteste «no» a una sola de ellas. Una pregunta que todos contestan igual no separa a nadie.
Quién escribe esas listas
El segundo problema es de quién las escribe. Varias de esas listas las publicó un proveedor, y en ellas aparece como requisito legal justo el servicio que ese proveedor vende y sus competidores no. La lista deja de ser un criterio y pasa a ser una descripción de un catálogo.
Una pregunta sirve cuando la respuesta se puede comprobar sin creerle a nadie. Éstas ocho se comprueban en una tarde, con un documento tuyo y sin pedir permiso.
| La pregunta | Lo que contesta un folleto | Cómo lo compruebas tú |
|---|---|---|
| 1. ¿Puedo mandar un documento real antes de contratar? | Con gusto te agendamos una demo | Manda tu propio documento a tu contraparte más difícil, tú solo, sin nadie guiándote |
| 2. ¿Qué trae el acuse y me lo puedo descargar? | Cumplimos con la legislación mexicana | Descárgalo y ábrelo: tiene que decir a quién se envió, cuándo se abrió, con qué se firmó y la huella del archivo |
| 3. ¿El archivo firmado es el mismo cada vez que lo bajo? | Tus documentos están seguros | Descarga el mismo documento dos veces y compara el SHA-256 de los dos archivos |
| 4. ¿Qué evidencia guardan de que firmó esa persona? | Verificación de identidad avanzada | Abre la liga de tu contraparte y trata de firmar en su lugar. Si puedes tú, puede cualquiera que la tenga |
| 5. ¿Eres prestador acreditado, y lo necesito? | Somos PSC autorizado ante la Secretaría de Economía | El directorio es público y tiene doce nombres. Búscalo ahí antes de seguir |
| 6. ¿Desde qué teléfono se puede firmar? | Funciona en cualquier dispositivo | El celular más viejo de la oficina, con datos móviles y el wifi apagado |
| 7. ¿Me puedo llevar el expediente completo? | Exportamos tu información cuando la necesites | Exporta el día uno, antes de firmar nada. Mira qué formato salió y si trae los acuses |
| 8. ¿Qué unidad me cobras? | Planes flexibles que se adaptan a ti | Cuenta cuántos documentos, firmantes y usuarios movió tu operación el mes pasado y multiplica |
1. ¿Puedo mandar un documento real antes de contratar?
Es la pregunta madre y la que más se esquiva. Una demo no la contesta: en una demo el vendedor maneja, usa su documento y su cuenta, y te enseña la ruta que ya sabe que funciona.
La prueba es al revés. Toma un documento tuyo de bajo riesgo —una carta de confidencialidad, una responsiva de equipo— y mándalo a firmar a la contraparte más difícil que tengas: el cliente que contesta a las tres de la mañana, el proveedor cuyo correo rebota, el señor que sólo usa el teléfono. Si el proveedor no te deja hacer eso sin contrato firmado, ya contestó.
2. ¿Qué trae el acuse y me lo puedo descargar hoy?
«Cumplimos con el Código de Comercio» no significa nada por sí solo. Lo que se defiende en un juicio no es el cumplimiento declarado: es el registro que quedó. Los artículos 90 y 90 bis del Código de Comercio son los que presumen que un mensaje de datos proviene de quien dice provenir, y el 92 regula el acuse de recibo; ninguno se satisface con una leyenda al pie del PDF.
Pide el acuse del documento que firmaste en la prueba anterior, descárgalo y léelo. Los campos que tienen que estar y el porqué de cada uno están en qué es un acuse de auditoría y qué debe traer. Si el acuse sólo existe dentro del panel del proveedor y no se puede bajar, tu evidencia vive en una cuenta ajena.
3. ¿El archivo que descargo hoy es idéntico al que descargue en tres años?
Ésta casi nadie la hace y es de las que más duelen. Algunas plataformas vuelven a generar el PDF cada vez que alguien lo baja: le reponen el sello visual, le actualizan metadatos, le cambian el productor. El documento se ve igual y el archivo es otro, así que su huella tampoco coincide con la que quedó escrita en el acuse.
La comprobación es de dos minutos: descarga el mismo documento firmado dos veces con unos días de diferencia y saca el SHA-256 de los dos archivos. Si no coinciden, la huella del acuse dejó de servir para lo único que sirve. Los comandos por sistema operativo están en cómo verificar que un documento firmado no fue alterado, y en /verificar puedes hacer la comparación sin instalar nada.
4. ¿Qué evidencia guardan de que fue esa persona?
Aquí la respuesta de folleto es «verificación de identidad avanzada», que puede querer decir cualquier cosa desde un código por mensaje hasta una selfie contra el INE. Lo que importa es más simple: qué queda registrado que no esté bajo el control de quien mandó el documento.
La prueba es incómoda y por eso vale: pídele a un compañero que te mande un documento a firmar, y luego intenta firmarlo tú desde su propia bandeja, con la liga que a él le llegó reenviada. Si con tener la liga basta, entonces el registro no dice quién firmó, dice quién tuvo la liga. Y eso es exactamente lo que la contraparte va a alegar cuando desconozca la firma.
5. ¿Eres prestador acreditado, y de verdad lo necesito?
Las dos mitades importan y casi siempre se contesta sólo la primera. El directorio de Prestadores de Servicios de Certificación de la Secretaría de Economía es público y hoy, 8 de septiembre de 2026, lista doce prestadores acreditados, con el detalle de qué servicio tiene autorizado cada uno: emisión de certificados, conservación de mensajes de datos, sellado digital de tiempo, digitalización. Si tu proveedor no aparece ahí, no es prestador acreditado, diga lo que diga su página. Qué es exactamente esa figura está en qué es un prestador de servicios de certificación.
La segunda mitad de la pregunta
La segunda mitad es la que ningún proveedor acreditado te va a contestar de buena gana: para firmar un contrato privado, la ley no exige que la plataforma sea prestador acreditado. El artículo 89 del Código de Comercio somete todo el título al principio de neutralidad tecnológica, y el 97 define la firma avanzada por resultados —control exclusivo de los datos de creación y detección de alteraciones—, no por quién la emite. La acreditación del artículo 100 es para expedir certificados y prestar servicios relacionados, y ese mismo artículo aclara en su segundo párrafo que esas facultades no conllevan fe pública por sí misma. Un proveedor acreditado no es un notario.
Eso no vuelve inútil la acreditación: si lo que quieres es una constancia de conservación, tiene que emitirla alguien de esa lista, y ahí sí la pregunta cambia. Qué da y qué no da esa constancia está en NOM-151: qué te da y qué no.
6. ¿Desde qué teléfono se puede firmar?
Ninguna lista de requisitos trae esta pregunta y es la que más contratos detiene. «Funciona en cualquier dispositivo» quiere decir que funcionó en los dispositivos donde lo probaron, que son los de las personas que hacen software.
Del otro lado hay el teléfono que la persona tiene: un iPhone de hace seis años que no se actualiza porque ya no le llegan actualizaciones, un Android de gama de entrada, datos móviles en un almacén con dos rayas de señal. Un visor de documentos que use una función reciente del navegador se atora ahí sin decir por qué, y lo que ves tú es un documento que nadie firma y un cliente que dejó de contestar. La prueba es literal: el celular más viejo que encuentres en la oficina, wifi apagado, y que alguien que no trabaje contigo intente firmar.
7. ¿Me puedo llevar el expediente completo, y en qué formato?
El artículo 49 del Código de Comercio obliga a los comerciantes a conservar por un plazo mínimo de diez años los originales de los documentos en que se consignen contratos, convenios o compromisos que den nacimiento a derechos y obligaciones. Esa obligación es tuya. No se transfiere al proveedor por contratarlo, y no se cumple con que él los guarde en su panel.
Así que la pregunta no es si exportan, es qué sale cuando exportas: si los acuses vienen con los documentos o por separado, si el formato se abre sin su software, y si puedes hacerlo el primer día y no sólo al cancelar. Compruébalo antes de mover ahí tus contratos, no después. El costo de quedarse dentro está desarrollado en firma electrónica gratis: qué obtienes y qué no.
8. ¿Qué unidad me cobras?
Documento, sobre, firma, firmante, usuario, plantilla. Cada proveedor cobra por una unidad distinta y ninguna es forzosamente la que tu operación consume: si mandas pocos contratos con muchos firmantes, cobrar por firmante te sale caro aunque el precio por firma sea bajo. Saca los números de tu mes pasado antes de mirar un tabulador. Cómo hacer esa cuenta, y por qué el denominador correcto son los contratos cerrados y no los documentos enviados, está en cuánto cuesta firmar contratos en línea.
Las que no vale la pena preguntar
- «¿Es legal en México?» Todos van a decir que sí y todos van a tener razón: el artículo 89 del Código de Comercio admite los medios electrónicos en los actos de comercio. La pregunta no separa a nadie.
- «¿Tienen certificaciones de seguridad?» Sirve para el área de sistemas y no para el expediente. Una certificación dice cómo opera el proveedor su infraestructura; no dice qué evidencia queda de tu firma.
- «¿Cuántos clientes tienen?» No es comprobable y no cambia lo que pasa cuando tu contraparte desconoce la firma.
- «¿Con qué sistemas se integra?» Vale sólo si vas a integrar de verdad este año. Si no, es una lista de logotipos.
El orden en que conviene hacerlas
Las preguntas 1, 6 y 4 primero, porque descartan rápido y no cuestan dinero: si tu contraparte no puede firmar desde su teléfono, lo demás da igual. Las 2 y 3 después, porque son las que se pelean en un juicio y sólo se ven bajando archivos. Las 5, 7 y 8 al final, cuando ya quedan dos o tres candidatos y la decisión es de contrato y no de producto.
Si quieres empezar por lo que la ley pide en tu caso concreto antes de mirar proveedores, en la FAQ legal están las respuestas cortas a lo que más se pregunta sobre validez de la firma electrónica en México.
De dónde salen las citas
- Código de Comercio, en el texto vigente que publica la Cámara de Diputados.
Preguntas frecuentes
¿Una plataforma de firma tiene que ser prestador acreditado para que mi contrato valga?
Para un contrato privado, no. El artículo 97 del Código de Comercio define la firma electrónica avanzada por resultados —que los datos de creación correspondan y estén bajo control exclusivo del firmante, y que sea posible detectar alteraciones posteriores—, no por quién la emite. La acreditación del artículo 100 es para expedir certificados y prestar servicios relacionados como la conservación o el sellado de tiempo, y el propio artículo aclara que esas facultades no conllevan fe pública por sí misma. La acreditación sí importa si lo que necesitas es una constancia de conservación NOM-151.
¿Cómo compruebo que el proveedor está acreditado de verdad?
El directorio de Prestadores de Servicios de Certificación de la Secretaría de Economía, en psc.economia.gob.mx, es público y dice, para cada uno, qué servicios tiene acreditados. Consultado el 8 de septiembre de 2026 lista doce prestadores. Si el proveedor no aparece en esa lista, no está acreditado; y si aparece, revisa para qué servicio lo está, porque la acreditación se otorga por servicio y no en bloque.
¿Sirve una demo para evaluar una plataforma de firma?
Sirve para ver la pantalla, no para evaluar. En una demo el proveedor usa su documento, su cuenta y la ruta que sabe que funciona. La prueba que informa es mandar un documento tuyo, tú solo, a la contraparte más difícil que tengas, y ver qué pasa cuando esa persona lo abre en su propio teléfono.
¿Por qué me importa que el PDF cambie cada vez que lo descargo?
Porque el acuse guarda la huella del archivo firmado, y esa huella sólo sirve si el archivo que puedes enseñar mañana sigue produciendo la misma. Algunas plataformas regeneran el PDF en cada descarga y el resultado es un documento que se ve idéntico y da otra huella. Se detecta descargando el mismo documento dos veces y comparando su SHA-256.
¿Qué pasa con mis contratos si dejo de usar la plataforma?
La obligación de conservarlos sigue siendo tuya: el artículo 49 del Código de Comercio pide un mínimo de diez años para los documentos en que consten contratos, convenios o compromisos que den nacimiento a derechos y obligaciones. Por eso conviene exportar el primer día y no el último, y revisar si la exportación incluye los acuses o sólo los documentos.