Cómo verificar que un documento firmado no fue alterado
Se hace en tres pasos y en este orden. Uno: abre la liga de verificación que trae el acuse y mira el hash que ahí aparece. Dos: calcula ese mismo hash sobre el archivo que tú tienes, con una línea en tu computadora —sha256sum en Linux, shasum -a 256 en Mac, certutil -hashfile o Get-FileHash en Windows— y compara los 64 caracteres. Tres: si no coinciden, vuelve a descargar el documento desde la liga original y repite; si esa copia recién bajada sí coincide, lo que cambió fue tu archivo, no el contrato. Un hash distinto no prueba fraude: prueba que ese archivo no es el mismo archivo.
Qué estás comprobando exactamente
Integridad no es identidad. Comprobar que un documento no fue alterado no dice quién firmó ni si esa persona quiso obligarse: dice que el archivo que tienes enfrente es el mismo que se firmó. La identidad la sostiene el resto del acuse. Aquí hablamos de una sola pregunta —¿es el mismo documento?— y es la que aparece el día que la otra parte exhibe su copia con una cifra distinta.
La ley mexicana usa casi esas palabras. El artículo 93 bis del Código de Comercio da por satisfecho el requisito de presentar o conservar la información en su forma original cuando existe garantía confiable de que la integridad se conservó desde que se generó por primera vez en su forma definitiva, y cuando esa información puede mostrarse a quien deba presentársele. Su segundo párrafo define íntegro: que el contenido haya permanecido completo e inalterado, independientemente de los cambios que hubiere podido sufrir el medio que lo contiene como resultado del proceso de comunicación, archivo o presentación.
Las tres comprobaciones, de la más rápida a la más sólida
1. La liga de verificación que trae el acuse
Un acuse bien hecho trae el identificador del documento y una liga —a veces como código QR— que abre la página de verificación de la plataforma. En SignSolú es la página de verificación: muestra el número de certificado, el título del documento, la fecha de creación y la de firma, cuántos firmantes completaron y el hash SHA-256 del PDF firmado. No pide cuenta ni contraseña, así que la puede abrir tu contraparte, tu abogado o el juzgado. Sin identificador no muestra nada: eso no es una falla, es una liga incompleta.
Esta revisión toma medio minuto y resuelve la mayoría de los casos. Lo que no hace es mirar tu archivo. Para eso está la segunda.
2. El hash que calculas tú, en tu computadora
Es la única comprobación que no le pide confianza a nadie: la haces sobre el archivo que tienes, con una herramienta que ya viene en tu sistema, sin conexión y sin mandarle el contrato a nadie. Es un hash SHA-256, 64 caracteres que cambian por completo si cambia una coma.
| Dónde estás | Qué escribes | Qué te devuelve |
|---|---|---|
| Windows, PowerShell | Get-FileHash contrato.pdf -Algorithm SHA256 | Los 64 caracteres, en mayúsculas |
| Windows, símbolo del sistema | certutil -hashfile contrato.pdf SHA256 | Los 64 caracteres, a veces separados por espacios |
| macOS | shasum -a 256 contrato.pdf | Los 64 caracteres y el nombre del archivo |
| Linux | sha256sum contrato.pdf | Lo mismo que en macOS |
| Un teléfono | No trae herramienta para esto | Pásalo a una computadora. Evita las páginas de "calcular hash en línea" |
Sobre la última fila: una página que calcula el hash "en línea" necesita que le subas el contrato. Estás mandando el documento completo —con nombres, montos y domicilios— a un servidor del que no sabes nada, para ahorrarte una línea que tu computadora ya sabe correr. Si el documento trae datos personales, además estás decidiendo por tu cuenta transferirlos a un tercero.
3. Que el original siga siendo original dentro de diez años
Las dos comprobaciones anteriores sirven mientras tengas las dos piezas: el archivo y el acuse. El artículo 49 del Código de Comercio obliga a conservar por un mínimo de diez años los originales de los mensajes de datos donde consten contratos, y agrega la condición que casi nadie lee: que la información se haya mantenido íntegra e inalterada desde que se generó en su forma definitiva y sea accesible para su ulterior consulta. Un contrato que sólo existe dentro de una plataforma que dejaste de pagar no es accesible; eso también es parte del costo de firmar en línea. Qué hay que bajar antes de cancelar una cuenta está en cambiar de plataforma de firma.
La regla práctica: el día que se firma, baja el PDF y el acuse, guárdalos juntos en el mismo lugar donde guardas la contabilidad, y anota el hash en el nombre del archivo o en tu expediente. Tres segundos entonces valen una tarde de peritaje después.
Cuando el hash no coincide: cinco razones, y sólo una es fraude
- 1Estás comparando la copia equivocada. La más común de todas. Descargaste el documento cuando iba a la mitad de las firmas y lo comparas contra el acuse del documento completo. Son dos archivos distintos y los dos son legítimos.
- 2Lo abriste y le diste guardar. Varios visores de PDF reescriben el archivo al guardarlo, aunque no hayas escrito nada. El contenido es el mismo; los bytes ya no.
- 3Es una exportación, no el archivo. Imprimir a PDF, "exportar", combinar páginas, rotarlas o firmar encima con otra herramienta produce un archivo nuevo que se ve igual y no lo es.
- 4Pasó por un filtro que lo reescribe. Algunos servidores de correo corporativo estampan avisos de seguridad o reprocesan los adjuntos, y devuelven un archivo distinto del que salió.
- 5Alguien lo modificó. Existe, pasa, y es lo último de la lista porque es lo menos frecuente.
Separar las cuatro primeras de la quinta toma dos minutos: vuelve a descargar el documento desde la liga original y recalcula el hash sobre esa copia recién bajada. Si esa sí coincide con el acuse, el problema era tu archivo. Si tampoco coincide, ahí sí tienes algo que revisar en serio.
Por qué tu PDF no muestra la palomita verde de Adobe
Un visor de PDF sólo enseña el panel de "firmado y verificado" cuando el archivo trae incrustado un certificado digital que el propio visor sabe validar. Muchas plataformas no incrustan certificado: dejan la evidencia en el acuse y en el hash, que es lo que la ley mexicana valora. Que Adobe no diga nada no significa que el documento no valga, y que diga "firmado" tampoco garantiza que quien firmó sea quien dice ser: eso lo contesta la verificación de identidad, no el panel. Y la duda de antes de firmar —si la liga que llegó por correo o por WhatsApp es lo que dice ser— se revisa aparte, en me llegó un contrato para firmar por internet.
El estándar aplicable a un contrato mercantil es el del artículo 1298-A del Código de Comercio: la fuerza probatoria de un mensaje de datos se estima primordialmente por la fiabilidad del método con que fue generado, archivado, comunicado o conservado. Ningún artículo pide una palomita verde en pantalla.
| Comprobación | Prueba que… | No prueba… |
|---|---|---|
| Liga de verificación del acuse | Que la plataforma registró ese documento, sus fechas y su huella | Que el archivo que tú tienes sea ése |
| Hash calculado por ti | Que tu archivo es idéntico al que se firmó, hasta el último byte | Quién firmó, desde dónde ni cuándo |
| Panel de firma del visor de PDF | Que el archivo trae un certificado incrustado y no se tocó después | Nada, si la plataforma no incrusta certificado |
| Constancia de conservación NOM-151 | Que un prestador acreditado fechó y conservó ese contenido | Que la persona que firmó sea quien dice ser |
| Abrir el archivo y ver que "se ve igual" | Nada | Nada |
Si de verdad te cambiaron el documento
Entonces el trabajo deja de ser técnico y se vuelve procesal. Impugnar un documento no es una sola cosa —objetar su alcance y valor probatorio, redargüirlo de falso y desconocer la firma son actos distintos, con plazos y requisitos propios—, y el detalle que decide más juicios de los que parece es el artículo 1242 del Código de Comercio: los documentos privados se presentan en originales. Cómo se hace y qué pasa si el original no aparece está en qué pasa cuando impugnan una firma electrónica.
Y el original de un contrato electrónico no es la impresión. Es el mensaje de datos íntegro, inalterado y accesible, en los términos del 93 bis. La hoja impresa es una representación; sirve para leer, no para acreditar integridad.
De dónde salen las citas
- Código de Comercio, en el texto vigente que publica la Cámara de Diputados.
Preguntas frecuentes
¿Cómo sé si un contrato firmado fue modificado después de la firma?
Calculando el hash SHA-256 del archivo que tienes y comparándolo con el que quedó registrado en el acuse al momento de firmar. Si los 64 caracteres coinciden, es exactamente el mismo documento. Si no coinciden, todavía no sabes que lo alteraron: primero vuelve a descargar el archivo desde la liga original y recalcula, porque abrir y volver a guardar un PDF cambia el archivo sin cambiar el contrato.
¿Por qué el hash de mi PDF no coincide con el del acuse?
Casi siempre por una de cuatro razones inofensivas: estás comparando una versión anterior del documento, lo abriste en un visor que lo reescribió al guardar, es una exportación o una impresión a PDF, o el correo corporativo reprocesó el adjunto. La quinta razón es que alguien lo modificó, y se distingue de las demás bajando otra vez el archivo desde la liga original: si esa copia coincide, el problema era tu archivo.
¿La impresión de un contrato firmado sirve como original?
No. Conforme al artículo 93 bis del Código de Comercio, el original de un contrato que consta en un mensaje de datos es el mensaje mismo, siempre que exista garantía confiable de que se conservó íntegro desde su forma definitiva y pueda mostrarse a quien deba presentársele. La impresión es una representación en papel: se lee igual, pero no permite recalcular la huella ni acreditar que nadie tocó el contenido.
¿Puedo verificar un documento sin tener cuenta en la plataforma?
Sí, y es el punto. La página de verificación de SignSolú se abre con el identificador del documento, sin cuenta ni contraseña, para que la comprobación la pueda hacer la otra parte, su abogado o quien reciba el expediente. El cálculo del hash tampoco necesita cuenta: se hace en tu propia computadora sobre tu propio archivo.
¿Es seguro calcular el hash en una página de internet?
No conviene. Esas páginas necesitan que les subas el documento completo, con nombres, montos y domicilios, a un servidor del que no sabes nada, y si el contrato trae datos personales estás transfiriéndolos a un tercero por tu cuenta. Windows, macOS y Linux traen el cálculo incluido y funciona sin conexión.