Acuse de auditoría de una firma electrónica: qué es y qué debe traer

Qué es

Cuando alguien firma en línea, la firma en sí es el trazo o el clic. El acuse de auditoría es todo lo demás: la bitácora que la plataforma va escribiendo mientras el documento se mueve. A qué correo o teléfono salió la liga, cuándo se abrió, desde qué dirección IP, con qué navegador y sistema, en qué momento se firmó y qué huella tenía el archivo en ese instante.

Se le llama también rastro de auditoría, expediente de evidencias o audit trail. El nombre da igual. Lo que importa es que es la única parte del proceso que sirve de algo el día que la otra parte dice que ella no firmó eso.

Por qué la ley se fija en el acuse y no en la firma

El artículo 1205 del Código de Comercio admite como prueba, entre muchos otros elementos, los mensajes de datos. El que decide cuánto pesan es el 1298-A: "Se reconoce como prueba los mensajes de datos. Para valorar la fuerza probatoria de dichos mensajes, se estimará primordialmente la fiabilidad del método en que haya sido generada, archivada, comunicada o conservada." Qué significa exactamente esa expresión, que se usa como sinónimo de validez y no lo es, está en valor probatorio.

Léelo otra vez. No pregunta qué firma usaste. Pregunta por el método: cómo se generó la información, cómo se comunicó, cómo se archivó. Las tres son preguntas que sólo contesta el acuse.

El artículo que todos citan y que ya tiene fecha de salida

La versión de esa regla que aparece en casi todo lo publicado en México es el artículo 210-A del Código Federal de Procedimientos Civiles. Conviene saber que ese código está siendo sustituido: el Código Nacional de Procedimientos Civiles y Familiares, publicado en el Diario Oficial el 7 de junio de 2023, lo abroga, y entra en vigor de forma gradual —cada congreso local y el federal emiten su declaratoria— sin que pueda exceder del 1 de abril de 2027. En la Ciudad de México la declaratoria se publicó en el Diario Oficial el 2 de agosto de 2024, con aplicación escalonada por materias a partir de diciembre de ese año.

En materia mercantil el relevo ya está escrito: la reforma al artículo 1054 del Código de Comercio publicada el 14 de noviembre de 2025 puso al Código Nacional como ley supletoria de los juicios mercantiles en lugar del Código Federal de Procedimientos Civiles, y su aplicación corre al mismo paso que esas declaratorias.

Lo que no cambia es el estándar. El artículo 348 del Código Nacional reconoce como prueba la información que conste en medios electrónicos, ópticos, digitales, "en una cadena de bloques o en cualquier otra tecnología". El 349 dice cómo se valora: primordialmente por la fiabilidad del método con que se generó, comunicó, recibió o archivó y, en su caso, si es posible atribuir a las personas obligadas el contenido de la información y ser accesible para su ulterior consulta. Esas dos condiciones finales son, literalmente, dos columnas del acuse.

Los seis campos que un acuse tiene que traer

El primero de esos resultados, la atribución, es lo que en otros países se llama no repudio. En México el término está en la Ley de Firma Electrónica Avanzada, que regula trámites con el gobierno federal; en un contrato entre particulares el mismo efecto se construye con el 90 y el 90 bis del Código de Comercio, y quien los alimenta es el acuse. El otro dato que el acuse fija es el momento, con el 91 y el 91 bis, y ése es justo el que se pelea cuando alguien sostiene que su orden de compra todavía no cerraba nada.

Lo que casi ningún acuse trae y sí hace falta

• Con qué algoritmo se calculó la huella. Un "hash: 3f9c…" sin decir si es SHA-256 no le sirve a nadie para recalcularlo, que es el chequeo con el que se confirma que el documento no cambió.
• El huso horario. "14:32" no dice nada si el firmante estaba en Tijuana y el servidor en Virginia. La hora tiene que venir con su referencia.
• Qué versión del archivo se firmó. Si el documento se corrigió después de mandarlo y antes de firmarlo, el acuse tiene que decir cuál de las dos quedó.
• Qué se le mostró al firmante. El texto exacto de lo que aceptó. Es lo que contesta el "yo nunca supe que estaba firmando".
• Un archivo, no una pantalla. Un panel que enseña la bitácora dentro de tu cuenta no es evidencia que puedas entregar.

La prueba que se muere por no poder exportarla

Este es el punto que más se ignora y el que más caro sale. En materia laboral, el artículo 836-D de la Ley Federal del Trabajo manda someter los documentos digitales a peritaje, y su fracción II es tajante: si el oferente de la prueba no pone a disposición de los peritos los medios para dictaminar, la prueba se declara desierta. No se valora mal: no se valora.

La versión mercantil del problema no viene con esa frase, pero llega al mismo sitio. Un juez que no puede ver el expediente completo no tiene sobre qué evaluar la fiabilidad del método, y sin eso el 1298-A se queda sin materia. Por eso la pregunta que hay que hacerle a una plataforma antes de contratarla no es si su firma es válida, sino: enséñame el acuse de un documento firmado y déjame descargarlo. Es una de las ocho preguntas que sí se pueden comprobar antes de contratar.

El caso laboral completo —quién carga con la prueba y qué hay que poder exhibir— está en contrato individual de trabajo con firma electrónica.

Cuánto tiempo hay que guardarlo

El artículo 49 del Código de Comercio obliga a conservar por un plazo mínimo de diez años los originales de las cartas, telegramas, mensajes de datos o cualesquiera otros documentos en que se consignen contratos, convenios o compromisos que den nacimiento a derechos y obligaciones. Y para que un mensaje de datos cuente como original, el mismo artículo pide que la información se haya mantenido íntegra e inalterada desde que se generó por primera vez en su forma definitiva y siga siendo accesible para su ulterior consulta.

Diez años contados desde el documento, no desde que terminó el contrato. Un acuse que sólo vive dentro de una plataforma que quizá no exista en 2036 no cumple esa obligación: hay que descargarlo y guardarlo junto al PDF firmado, como se guarda cualquier otro papel que importa. Dónde termina guardado —dentro de tu propio sistema o en la plataforma— no es un detalle de informática: está desarmado en firmar dentro de tu sistema o en una plataforma aparte.

El acuse no es la hoja de firmas

La página que muchas plataformas pegan al final del PDF —nombres, horas y un folio— es la representación visual del acuse, no el acuse. Sirve para que un humano lea de un vistazo qué pasó, y no sirve para comprobar nada: vive dentro del mismo archivo que se quiere verificar. Quien alteró el PDF alteró también esa hoja.

Lo que sí comprueba algo es la huella guardada fuera del archivo. Se recalcula la huella del PDF que tienes en la mano y se compara contra la que quedó registrada al firmar; si coinciden, es el mismo archivo, byte por byte. Eso es lo que hace la página de verificación, y lo puede correr cualquiera que tenga el documento, sin cuenta y sin pedirte permiso. Que un tercero pueda comprobarlo sin ti es justo lo que le da valor.

Qué preguntar antes de contratar

1. 1¿Puedo descargar el acuse como archivo, hoy y dentro de cinco años?
2. 2¿Qué algoritmo de huella usan, y viene declarado dentro del acuse?
3. 3¿La hora trae huso horario, y de dónde sale ese reloj?
4. 4¿El acuse registra la apertura de la liga, o sólo el momento de la firma?
5. 5¿Qué pasa con mis documentos si dejo de pagar? Si la respuesta es que se borran, tu obligación del artículo 49 se borra con ellos. Dos acuses comparados con lo que publica cada sitio están en SignSolú o ZapSign.

Si todavía estás decidiendo qué tipo de firma te toca, la comparación está en firma electrónica simple o avanzada, y la categoría legal a la que pertenece todo esto, en qué es un mensaje de datos.

Hay una pregunta más que sólo aparece cuando la plataforma es de fuera, y es en qué idioma sale ese registro y qué campos trae, porque desde el sitio del proveedor casi nunca se comprueba. El caso de quien ya paga una suscripción y da por hecho que está cubierto está en SignSolú o Adobe Acrobat Sign.

De dónde salen las citas

• Código de Comercio, en el texto vigente que publica la Cámara de Diputados.
• Ley de Firma Electrónica Avanzada, en el texto vigente que publica la Cámara de Diputados.
• Ley Federal del Trabajo, en el texto vigente que publica la Cámara de Diputados.
• Código Nacional de Procedimientos Civiles y Familiares, en el texto vigente que publica la Cámara de Diputados.